Um notebook com prontuários é roubado, um e-mail com a evolução de uma sessão sai para o destinatário errado, o sistema da clínica é sequestrado por ransomware. O que fazer em caso de vazamento de dados de paciente tem uma parte técnica e uma parte com prazo contado: havendo risco ou dano relevante, o controlador tem três dias úteis para comunicar o incidente à Autoridade Nacional de Proteção de Dados (ANPD) e também ao paciente, contados de quando soube que dados pessoais foram atingidos. O controlador, num consultório, é você.
Este texto foi conferido em 16 de setembro de 2026 contra o art. 48 da Lei nº 13.709/2018 (LGPD) e contra os artigos 5º, 6º, 9º e 10 do Regulamento de Comunicação de Incidente de Segurança, aprovado pela Resolução CD/ANPD nº 15, de 24 de abril de 2024. Não substitui a consulta ao seu CRP nem a orientação jurídica diante de um caso concreto.
O que a ANPD considera incidente de segurança
O art. 3º, XII do regulamento define incidente como "qualquer evento adverso confirmado, relacionado à violação das propriedades de confidencialidade, integridade, disponibilidade e autenticidade da segurança de dados pessoais". Duas palavras dessa definição costumam passar batido.
Confirmado. Suspeita não é incidente, e falha de sistema também não: a página oficial da ANPD sobre Comunicação de Incidente de Segurança registra que a mera vulnerabilidade não constitui incidente, embora a exploração dela possa resultar em um.
Disponibilidade. Vazamento não se resume a dado que saiu. Dado que sumiu ou ficou inacessível entra na mesma categoria: perder o único arquivo de prontuários por falha de disco é incidente tanto quanto um acesso indevido. A regra 3-2-1 de backup do prontuário eletrônico reduz esse risco, mas não dispensa a avaliação quando ele se concretiza.
Os exemplos da própria Agência incluem envio de informação para o destinatário errado, invasão de sistema e furto de dispositivo.
Vazamento de dados de paciente: quando a comunicação é obrigatória
Nem todo incidente precisa ser comunicado. O art. 5º traz um teste de dois andares, satisfeitos ao mesmo tempo.
Primeiro, o incidente tem de poder afetar significativamente interesses e direitos fundamentais dos titulares. O § 1º exemplifica: impedir o exercício de direitos ou o uso de um serviço, causar dano material ou moral, discriminação, violação à integridade física, à imagem e à reputação, fraude financeira ou roubo de identidade.
Segundo, cumulativamente, o incidente precisa envolver pelo menos um destes seis itens:
- Dados pessoais sensíveis. Dado referente à saúde é sensível pela LGPD, e conteúdo de atendimento psicológico cai aqui sem discussão.
- Dados de crianças, de adolescentes ou de idosos. Atendimento infantojuvenil marca este item por definição.
- Dados financeiros. Recibo, cobrança, dados de pagamento do paciente.
- Dados de autenticação em sistemas. Login, token, senha.
- Dados protegidos por sigilo legal, judicial ou profissional. O art. 3º, X define esse item como o dado cujo sigilo decorre do exercício de profissão e cuja revelação possa produzir dano a outrem. É a descrição exata do que o art. 9º do Código de Ética Profissional do Psicólogo protege.
- Dados em larga escala.
A consequência prática é desconfortável: material de consultório costuma marcar o segundo andar por dois caminhos ao mesmo tempo, dado sensível e sigilo profissional. Sobra avaliar o primeiro, e vazamento de conteúdo clínico atinge reputação e imagem.
Vazamento de dados de paciente: o que fazer nas primeiras horas
A comunicação é o terceiro passo, não o primeiro.
- Contenha. Troque senhas, encerre sessões abertas, acione a remoção remota do aparelho, bloqueie o chip. Se foi mensagem para a pessoa errada, peça a exclusão e registre o pedido.
- Levante os fatos. Quais dados foram atingidos, de quantas pessoas, em que data o evento ocorreu e em que data você soube. As duas datas são campos distintos do formulário da ANPD, e a segunda faz o prazo correr.
- Decida sobre a comunicação, aplicando o teste do art. 5º.
- Registre tudo, tenha havido comunicação ou não.
O art. 48, § 3º da LGPD compensa cada minuto gasto em criptografia antes do incidente: no juízo de gravidade, a autoridade avalia a comprovação de que foram adotadas medidas técnicas que tornem os dados afetados ininteligíveis para terceiros não autorizados. Notebook cifrado roubado é cenário diferente de notebook sem senha roubado. O que perguntar ao fornecedor antes de confiar dados a um sistema está em prontuário em nuvem ou papel. Quando esse fornecedor guarda o dado fora do Brasil, a garantia que precisa estar formalizada antes da transferência está em dados de paciente em servidor no exterior.
De quando começam a correr os três dias úteis
O art. 6º fixa o prazo de três dias úteis para a comunicação à ANPD, ressalvada a existência de prazo previsto em legislação específica. O § 1º diz de quando ele é contado: "do conhecimento pelo controlador de que o incidente afetou dados pessoais".
Não é da data do vazamento. Um pendrive extraviado em março e identificado como contendo lista de pacientes em setembro faz o prazo correr em setembro. Por isso a data de conhecimento precisa estar registrada: sem ela, a discussão sobre prazo fica sem âncora.
O prazo para comunicar ao paciente é o mesmo e corre em paralelo: o art. 9º repete os três dias úteis, contados do mesmo marco. Uma comunicação não substitui a outra: o art. 48 da LGPD manda comunicar o incidente à autoridade nacional e também ao titular, e cada uma tem artigo próprio no regulamento.
O prazo em dobro que se ouve por aí existe: o art. 6º, § 8º manda contá-lo em dobro para agentes de tratamento de pequeno porte, e o art. 9º, § 6º faz o mesmo na comunicação ao titular. O conceito vem da Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, cujo art. 2º, I inclui "pessoas naturais e entes privados despersonalizados que realizam tratamento de dados pessoais, assumindo obrigações típicas de controlador ou de operador". O psicólogo autônomo está descrito ali. Duas ressalvas impedem que isso vire um "eu tenho seis dias" automático:
- Art. 3º, I da Resolução nº 2/2022. Não se beneficia do tratamento diferenciado quem realiza tratamento de alto risco, e o art. 4º define alto risco como a soma de um critério geral (larga escala, ou tratamento que afete significativamente direitos fundamentais) com um critério específico. Entre eles, na alínea d, está o uso de dados pessoais sensíveis.
- Art. 14, II da mesma resolução. O prazo em dobro é concedido "exceto quando houver potencial comprometimento à integridade física ou moral dos titulares ou à segurança nacional", hipótese em que valem os prazos dos demais agentes.
O regulamento não declara que todo vazamento de prontuário psicológico cai nessa exceção, e este texto não vai afirmar isso. O que dá para dizer é o desenho do risco: quem aposta no prazo dobrado assume o ônus de sustentar depois que não havia potencial de comprometimento moral. Três dias úteis é a leitura que não depende de discussão.
As doze informações que a comunicação à ANPD precisa ter
O art. 6º, § 2º lista o conteúdo mínimo:
- natureza e categoria dos dados pessoais afetados;
- número de titulares afetados, discriminando crianças, adolescentes e idosos quando aplicável;
- medidas técnicas e de segurança adotadas antes e depois do incidente;
- riscos relacionados ao incidente, com os possíveis impactos aos titulares;
- os motivos da demora, se a comunicação passou do prazo;
- as medidas adotadas ou previstas para reverter ou mitigar os efeitos;
- a data da ocorrência, quando possível determiná-la, e a data do conhecimento;
- os dados do encarregado ou de quem representa o controlador;
- a identificação do controlador e, se for o caso, a declaração de que se trata de agente de tratamento de pequeno porte;
- a identificação do operador, quando aplicável;
- a descrição do incidente, incluindo a causa principal, se identificável;
- o total de titulares cujos dados são tratados nas atividades afetadas pelo incidente.
Não ter todas as respostas em três dias úteis é previsto, não é falha. O § 3º permite complementar as informações, de maneira fundamentada, em vinte dias úteis contados da data da comunicação. Mas a ANPD registra que a comunicação preliminar, sozinha, não cumpre a obrigação do art. 48.
Pela página oficial da ANPD, modificada em 26 de agosto de 2026, o protocolo é feito por peticionamento no SEI!ANPD, com login do gov.br: "Peticionamento", "Processo Novo", tipo de processo "ANPD – Comunicados de Incidentes à Agência Nacional de Proteção de Dados", com o formulário de incidente (preliminar ou completo) como documento principal. Junte a documentação que comprova legitimidade para representar o controlador: o art. 6º, § 6º exige esses documentos dentro do mesmo prazo. O complemento vai no mesmo processo, por peticionamento intercorrente, e não em processo novo.
Comunicar ao paciente: linguagem simples e contato direto
O art. 9º define o conteúdo da comunicação ao titular, mais enxuto que o da ANPD: natureza e categoria dos dados afetados, medidas de segurança utilizadas, riscos e possíveis impactos, motivos da demora se houver, medidas de mitigação, data do conhecimento e um contato para informações.
O § 1º impõe dois critérios de forma: linguagem simples e de fácil entendimento, e comunicação direta e individualizada quando for possível identificar os titulares. Pelo § 2º, "direta e individualizada" é pelos meios que você já usa com a pessoa: telefone, e-mail, mensagem eletrônica ou carta. Num consultório, com lista nominal, isso quase sempre é possível, e então é o que se aplica, não um aviso genérico. Se o seu canal usual é mensagem, valem os cuidados descritos em WhatsApp no consultório: avisar sobre um vazamento não é motivo para escrever ali o conteúdo clínico que vazou.
Quando a comunicação individual é inviável, o § 3º manda divulgar pelos meios disponíveis, com visualização fácil, por no mínimo três meses. E o § 4º exige juntar ao processo uma declaração de que os titulares foram comunicados, com os meios utilizados, em até três dias úteis contados do fim do prazo do caput.
O registro que fica cinco anos, mesmo sem comunicação
O art. 10 determina que o controlador mantenha registro do incidente, "inclusive daquele não comunicado à ANPD e aos titulares", pelo prazo mínimo de cinco anos contados da data do registro.
O conteúdo mínimo está no § 1º: data do conhecimento, descrição das circunstâncias, natureza e categoria dos dados afetados, número de titulares atingidos, avaliação do risco e dos possíveis danos, medidas de correção e mitigação, forma e conteúdo da comunicação quando houver. E o campo decisivo: os motivos da ausência de comunicação, quando for o caso.
É esse último item que torna defensável a decisão de não comunicar. Concluir que o incidente não trazia risco ou dano relevante é avaliação legítima do controlador, prevista no regulamento; não escrever por que você concluiu isso deixa a avaliação sem prova. A rotina de documentação que sustenta esse registro está em LGPD para psicólogos; aqui o recorte é o incidente e o prazo.
Erros que agravam a situação depois do vazamento
- Esperar apurar tudo para só então comunicar. A comunicação preliminar com complemento em vinte dias úteis existe para isso; silêncio até ter certeza consome o prazo.
- Contar com o prazo em dobro sem examinar a exceção do art. 14, II da Resolução nº 2/2022.
- Assumir que o fornecedor do sistema comunica por você. A obrigação do art. 48 é do controlador. Quem é controlador e quem é operador nessa relação está em migrar prontuário de um sistema para outro.
- Avisar o paciente com detalhe clínico desnecessário. O art. 9º pede natureza e categoria dos dados, risco e medidas, não a transcrição do que vazou.
Perguntas frequentes
Perdi o celular com o aplicativo do prontuário aberto. Preciso comunicar?
Depende do teste do art. 5º do regulamento. Se o aparelho tinha bloqueio e os dados estavam cifrados, o risco concreto cai, e isso pesa pelo art. 48, § 3º da LGPD. Sem bloqueio e com acesso a conteúdo clínico, a comunicação tende a ser devida. Registre a avaliação nos dois casos.
Sou autônomo e não tenho encarregado. Como protocolo?
A Resolução CD/ANPD nº 2/2022, art. 11, dispensa o agente de pequeno porte de indicar encarregado, exigindo um canal de comunicação com o titular. A página da ANPD, por sua vez, indica que a comunicação seja feita pelo encarregado ou por representante legalmente constituído, com a documentação de legitimidade anexada.
Se eu concluir que não havia risco relevante, preciso fazer alguma coisa?
Precisa registrar. O art. 10 exige manter o registro do incidente por no mínimo cinco anos, inclusive daquele não comunicado, e o § 1º, VIII pede os motivos da ausência de comunicação. Esse registro é o que sustenta a sua avaliação diante de uma fiscalização posterior.
Conteúdo informativo, escrito para apoiar a sua prática. Não substitui a leitura das normas vigentes do CFP nem a orientação do seu conselho regional.