Incidente de segurança em clínica: o que fazer nas primeiras 72 horas

São 8h da manhã. A recepcionista abre o sistema de gestão da clínica e percebe que dados de pacientes estão acessíveis de forma indevida, ou que o sistema simplesmente não responde.

O servidor foi comprometido. Há um ransoware. Alguém acessou prontuários sem autorização. Os dados de centenas de pacientes podem ter sido expostos.

O que acontece nas próximas horas determina a dimensão do problema. Um incidente de segurança mal gerenciado nas primeiras 72 horas pode transformar uma crise controlável em uma catástrofe regulatória, reputacional e jurídica.

A Lei Geral de Proteção de Dados estabelece obrigações claras para situações de incidente com dados pessoais, e dados de saúde, por serem sensíveis, têm tratamento ainda mais rigoroso.

Clínicas que não têm um plano de resposta estruturado descobrem essas obrigações no pior momento possível: enquanto a crise está acontecendo.

A LGPD define incidente de segurança como qualquer acesso não autorizado e qualquer situação acidental ou ilícita de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado de dados pessoais.

Na prática clínica, isso inclui uma lista mais ampla do que a maioria dos gestores imagina:

Cada uma dessas situações pode configurar um incidente que ativa as obrigações legais de notificação, dependendo do risco que representa para os titulares afetados.

Quando um incidente ocorre, a LGPD estabelece obrigações específicas para o controlador, no caso da clínica, o responsável pelo tratamento dos dados dos pacientes:

Incidentes que possam acarretar risco ou dano relevante aos titulares devem ser comunicados à Autoridade Nacional de Proteção de Dados.

A ANPD tem interpretado o prazo razoável para essa comunicação como 72 horas a partir do conhecimento do incidente.

A notificação deve conter informações sobre a natureza dos dados afetados, os titulares envolvidos, as medidas técnicas e de segurança adotadas, os riscos relacionados ao incidente e as medidas que estão sendo tomadas para reverter ou mitigar os efeitos.

Quando o incidente pode causar risco ou dano relevante aos pacientes cujos dados foram afetados, a clínica deve comunicá-los de forma adequada.

A comunicação precisa ser clara, tempestiva e conter informações suficientes para que os titulares possam tomar as providências necessárias para se proteger.

Independentemente de o incidente precisar ser notificado ou não, ele deve ser documentado.

O registro do incidente, o que aconteceu, quando foi descoberto, quais dados foram afetados, quais medidas foram tomadas, é evidência de que a clínica agiu com diligência.

Clínica que descobre um incidente e aguarda para ver se é grave o suficiente para notificar já está atrasada. A avaliação precisa acontecer imediatamente, não depois.

Um plano de resposta a incidentes estruturado divide as primeiras 72 horas em fases com ações específicas.

O protocolo abaixo representa o que uma clínica com adequação real precisa ser capaz de executar:

Com base na experiência de resposta a incidentes em ambientes de saúde, alguns erros aparecem com frequência, e todos eles agravam as consequências:

A primeira reação de muitas clínicas é tentar consertar o problema imediatamente, reiniciar o sistema, apagar arquivos suspeitos, mudar senhas.

Sem documentar o estado antes das correções, as evidências são destruídas. Isso dificulta a análise de causa raiz e, em casos de litígio, elimina provas que poderiam proteger a clínica.

O Encarregado de Dados precisa ser comunicado imediatamente, não depois que a gravidade for avaliada. A avaliação de risco e a decisão sobre notificação é parte das atribuições do DPO.

Aguardar consome tempo do prazo de 72 horas sem nenhum benefício.

Ligar para pacientes, mandar mensagem no WhatsApp, comunicar verbalmente na recepção, essas formas de comunicação não atendem ao requisito legal de comunicação formal aos titulares.

A comunicação precisa ser documentada, adequada ao perfil dos titulares e conter as informações mínimas exigidas pela ANPD.

Incidentes com dados de saúde têm implicações jurídicas que vão além da conformidade à LGPD, podem envolver responsabilidade civil perante os pacientes afetados e, em alguns casos, implicações em outros regimes regulatórios da saúde.

Gerenciar um incidente sem orientação jurídica especializada é assumir riscos desnecessários.

Um incidente de segurança é, por definição, um momento de pressão. Sistemas comprometidos, informações incompletas, equipe em estado de alerta, decisões precisando ser tomadas em minutos.

Nesse contexto, uma clínica sem plano estruturado improvisa. Uma clínica com plano executa. A diferença no resultado, tanto para os pacientes afetados quanto para a clínica do ponto de vista regulatório e reputacional, é substancial.

O plano de resposta a incidentes não é um documento para ficar arquivado. É um protocolo que precisa ser conhecido pela equipe, testado periodicamente e atualizado quando a operação da clínica muda. A adequação real à LGPD inclui o plano, não como anexo, mas como capacidade operacional.

Clínica que descobre como responder a um incidente durante o incidente já chegou tarde. O plano precisa existir antes.

Sua clínica tem um plano de resposta a incidentes estruturado?

Um incidente de segurança gerenciado com plano é uma crise controlável. O mesmo incidente sem plano é uma crise que se multiplica, com prazo de 72 horas correndo e consequências se acumulando a cada hora de atraso.

Estruturar o plano de resposta a incidentes faz parte da adequação à LGPD para clínicas. Uma análise jurídica do ambiente de segurança da sua clínica identifica onde estão as vulnerabilidades e o que precisa ser estruturado antes que o incidente aconteça.