O que fazer em caso de vazamento de dados?

Quando o vazamento precisa ser comunicado?

A LGPD, no art. 48, manda o controlador comunicar a ANPD e o titular quando o incidente de segurança puder causar risco ou dano relevante. No consultório, o controlador costuma ser o próprio consultório ou o profissional.

A Resolução CD/ANPD nº 15/2024 explica o que é relevante (art. 5º): o incidente que pode afetar significativamente os direitos dos titulares e envolve pelo menos um critério, como dados sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros, senhas de acesso ou dados protegidos por sigilo profissional. Prontuário já reúne dois desses critérios. Fica a pergunta: o vazamento pode causar discriminação, fraude, dano à imagem ou impedir o paciente de usar um serviço?

Qual é o prazo e o que dizer?

• ANPD: três dias úteis, contados de quando você soube que o incidente afetou dados pessoais (art. 6º, caput e § 1º), pelo formulário eletrônico da ANPD (§ 4º). Dá para completar as informações em até 20 dias úteis, contados da data da comunicação (§ 3º).
• Pacientes: no mesmo prazo de três dias úteis (art. 9º), em linguagem simples e de forma individual, pelo telefone, e-mail, mensagem ou carta que o consultório já usa (§§ 1º e 2º).
• Pequeno porte: os prazos contam em dobro para o agente de tratamento de pequeno porte (art. 6º, § 8º, e art. 9º, § 6º), nos termos da Resolução CD/ANPD nº 2/2022 (art. 14, II), salvo risco à integridade física ou moral dos pacientes; o benefício não vale para quem faz tratamento de alto risco (art. 3º). Na dúvida, conte três dias úteis.

A comunicação à ANPD inclui, entre outros pontos, os dados afetados, quantos pacientes foram atingidos, as medidas de segurança, os riscos e o que será feito para reduzir o dano (art. 6º, § 2º).

O que fazer na primeira hora

1. Contenha: troque senhas, desconecte o aparelho perdido ou o acesso invadido e avise o fornecedor do sistema.
2. Anote a hora em que soube: é dela que corre o prazo.
3. Registre tudo: o art. 10 manda guardar o registro de qualquer incidente, comunicado ou não, por no mínimo cinco anos, com data, circunstâncias, dados afetados, número de pacientes, avaliação de risco e medidas tomadas.
4. Decida se comunica e, se for o caso, comunique dentro do prazo.

O passo a passo completo, com o checklist de LGPD do consultório, está no guia Prontuário eletrônico e LGPD: o que o consultório precisa cumprir.