Vazamento de dados de pacientes: o que fazer nas primeiras 72 horas
O celular com as anotações de sessão sumiu, o link do Google Drive com os prontuários foi compartilhado por engano, ou você recebeu um aviso de que o app de notas que você usa teve uma falha de segurança. Seja qual for o gatilho, agora tem dado de paciente exposto e você não sabe qual é o primeiro passo. Este texto é esse primeiro passo: uma sequência prática, na ordem certa, para os momentos em que o problema já aconteceu e o que importa é reagir bem, não se lamentar.
Respire: os primeiros passos importam mais que o pânico
O impulso mais comum diante de um vazamento é duas reações opostas, e as duas atrapalham. A primeira é o pânico que trava: ficar remoendo o quanto isso pode custar caro sem tomar nenhuma atitude concreta. A segunda é a pressa de "resolver tudo agora", que leva a apagar arquivos, desinstalar aplicativos ou reformatar um computador antes de entender o que realmente aconteceu, destruindo justamente as evidências que ajudariam a avaliar o tamanho do problema.
O que separa uma resposta profissional de uma reação de pânico é a ordem das ações: primeiro contém, depois avalia, depois notifica quem precisa ser notificado, depois documenta e corrige a causa. Nenhuma dessas etapas exige que você já tenha lido a Lei Geral de Proteção de Dados (Lei 13.709/2018) de cabo a rabo. Exige que você siga a sequência.
Um ponto que vale adiantar: nem todo vazamento é igual perante a lei. Um e-mail com o nome de um paciente enviado para o destinatário errado não tem o mesmo peso que uma pasta inteira de prontuários exposta publicamente na internet. A gravidade do incidente é o que vai determinar, mais adiante, se existe ou não dever de notificar a Autoridade Nacional de Proteção de Dados (ANPD) e os próprios pacientes afetados. Isso não muda a ordem dos passos, mas muda a intensidade da resposta em cada um deles.
Contenção: parar o vazamento antes de qualquer outra coisa
Antes de pensar em quem avisar, pare o sangramento. Contenção significa impedir que o dado continue se espalhando ou que mais gente tenha acesso a ele, sem apagar o que já aconteceu.
Na prática, isso costuma significar ações como estas, dependendo do caso:
- Revogar o compartilhamento de um link ou pasta na nuvem (Google Drive, Dropbox) assim que ele foi enviado para a pessoa errada ou ficou público sem querer.
- Trocar a senha da conta ou do aplicativo comprometido e, se o serviço permitir, encerrar sessões ativas em outros dispositivos.
- Bloquear remotamente ou localizar um celular ou notebook perdido ou roubado, se o aparelho tiver esse recurso configurado.
- Avisar o fornecedor do sistema que você usa (prontuário eletrônico, app de notas, planilha na nuvem) se a falha está do lado dele, e pedir por escrito o que ele já sabe sobre o incidente.
O que não fazer nesta etapa: apagar logs, desinstalar o aplicativo envolvido ou formatar o equipamento antes de anotar o que aconteceu. Esses registros são exatamente o que vai te ajudar a responder, no passo seguinte, quantos pacientes foram afetados e que tipo de dado ficou exposto.
Depois de conter, faça um levantamento rápido e honesto: quais dados exatamente ficaram expostos (nomes, telefones, evoluções de sessão, diagnóstico presuntivo), para quantas pessoas, e por quanto tempo o dado ficou acessível antes da contenção. Essa avaliação de risco é o que orienta a decisão de notificar ou não, e para quem.
O que a LGPD exige notificar, e para quem (ANPD, titulares afetados)
O artigo 48 da LGPD estabelece que o controlador (você, quando decide o que registrar e onde guardar) deve comunicar à ANPD e ao titular dos dados a ocorrência de um incidente de segurança que possa acarretar risco ou dano relevante aos titulares. A palavra chave é "relevante": nem todo incidente pequeno gera dever de notificação, mas quando o dado é sensível (e dado de saúde mental é dado sensível por definição, artigo 5º, inciso II), o limiar para considerar o risco relevante é mais baixo do que para um vazamento de e-mails de marketing, por exemplo.
O Regulamento de Comunicação de Incidente de Segurança da ANPD (Resolução CD/ANPD nº 15/2024) detalha o prazo: a comunicação à ANPD e aos titulares afetados deve ocorrer em até 3 (três) dias úteis, contados do momento em que o controlador toma conhecimento de que o incidente afetou dados pessoais. Esse prazo curto reforça por que a etapa de contenção e avaliação precisa ser rápida: o relógio começa a contar assim que você percebe o problema, não quando termina de investigá-lo por completo.
Na prática, para um psicólogo que atende sozinho, isso significa duas comunicações possíveis, não uma só:
- À ANPD, pelo canal oficial de comunicação de incidente de segurança, quando o incidente representa risco ou dano relevante.
- Aos pacientes afetados, de forma direta e clara, mesmo que a comunicação à ANPD não seja obrigatória no caso concreto. Um paciente tem o direito de saber que o registro da própria terapia foi exposto, independente do que a lei formalmente exige, e essa transparência costuma preservar a relação terapêutica melhor do que o silêncio.
Sobre multa: o artigo 52 da LGPD prevê sanção administrativa de até 2% do faturamento da pessoa jurídica no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração. Essa fórmula foi desenhada pensando em empresas com faturamento, e a própria ANPD leva em conta porte e natureza do agente de tratamento na hora de calcular uma sanção (o que inclui considerar que um psicólogo autônomo pessoa física não tem "faturamento de empresa" no mesmo sentido). Na prática, o risco maior para um consultório solo raramente é uma multa nesse patamar: é o dano à confiança do paciente e, em casos graves, uma representação ao Conselho Regional de Psicologia por quebra de sigilo profissional.
Documentar o incidente (mesmo que pequeno)
Documentar não é burocracia para inglês ver, é o que te protege se alguém perguntar depois "o que vocês fizeram quando isso aconteceu". A própria Resolução CD/ANPD nº 15/2024 exige que o controlador mantenha registro do incidente de segurança, mesmo os que não foram comunicados à ANPD nem aos titulares, por um período mínimo de 5 anos a partir do registro.
Um registro mínimo e honesto cobre:
- Data e hora em que você percebeu o incidente.
- O que aconteceu, em uma ou duas frases (ex: "link de compartilhamento de pasta configurado como público por engano, pasta continha 12 prontuários em PDF").
- Quais dados e quantos pacientes foram afetados.
- O que foi feito para conter (com data e hora de cada ação).
- Se houve ou não notificação à ANPD e aos pacientes, e quando.
- O que mudou depois, para reduzir a chance de repetição.
Vale ter esse registro num lugar separado do prontuário clínico, um documento administrativo próprio, não uma anotação dentro da ficha do paciente. É aqui que uma ferramenta com histórico de edições e trilha de auditoria ajuda de verdade: o Sessão mantém um histórico de alterações append-only nas evoluções de sessão e permite exportar o prontuário completo de um paciente em PDF ou JSON a qualquer momento, o que facilita reconstruir exatamente o que existia, quando, se você precisar responder a uma pergunta sobre um incidente meses depois. Não é uma ferramenta de resposta a incidente por si só, mas evita que a reconstrução dos fatos dependa só da sua memória.
Como reduzir a chance de isso acontecer de novo
Depois que o incidente está contido, notificado quando cabível e documentado, vale um raio-x rápido de três pontos que concentram a maior parte do risco num consultório solo:
Onde os prontuários vivem. Caderno físico trancado, computador pessoal sem senha, aplicativo de notas do celular, planilha na nuvem, sistema de prontuário eletrônico: cada um tem um perfil de risco diferente. Se a resposta for "num app de notas genérico sem senha própria", essa é a lacuna mais barata de fechar primeiro.
Compartilhamento por WhatsApp. Reagendamento e lembrete de sessão por WhatsApp são práticos e comuns, mas evoluções de sessão, laudos ou anexos com conteúdo clínico não deveriam trafegar pelo mesmo canal usado para conversa informal. Um grupo errado ou um encaminhamento por engano nesse canal é, na experiência de consultórios que já passaram por isso, a causa mais comum de vazamento pequeno.
Senha e autenticação em duas etapas. Ativar verificação em duas etapas na conta de e-mail, no Google Drive ou Dropbox e no sistema de prontuário elimina boa parte dos incidentes causados por senha roubada ou reaproveitada de outro serviço.
Nenhum desses três pontos exige investimento grande ou uma tarde inteira de trabalho. Exige decidir, hoje, revisar cada um deles antes que o próximo incidente aconteça, e não depois.