Um vazamento de dados de pacientes é um dos piores pesadelos de uma instituição de saúde — e um dos principais gatilhos de fiscalização da ANPD. O que se faz nas primeiras horas define o tamanho do estrago.
Antes do incidente: ter um plano
A melhor resposta começa antes. Instituições preparadas têm um plano de resposta a incidentes: quem aciona quem, o que fazer, como registrar. Improvisar no meio da crise custa caro.
As primeiras horas
- Conter: isolar sistemas afetados e estancar o vazamento;
- Preservar evidências: logs, prints, registros — não apague nada;
- Acionar o encarregado (DPO) e a liderança;
- Avaliar o alcance: quais dados, quantos titulares, qual o risco;
- Registrar tudo de forma cronológica.
Na crise, a documentação é dupla defesa: ajuda a resolver e demonstra diligência à ANPD depois.
Comunicar a ANPD e os titulares
A LGPD prevê a comunicação à ANPD e aos titulares quando o incidente puder acarretar risco ou dano relevante. A comunicação deve ser feita em prazo razoável e conter informações mínimas: a natureza dos dados, os titulares envolvidos, as medidas adotadas e os riscos. Omitir ou demorar demais agrava a situação.
O que evitar
- Esconder o incidente ou minimizá-lo internamente;
- Apagar rastros (pode configurar má-fé e prejudicar a apuração);
- Comunicar de forma atabalhoada, sem avaliação do risco;
- Deixar de corrigir a causa, permitindo a repetição.
Depois: aprender com o incidente
Concluída a resposta, vem a análise: o que falhou, o que corrigir, quais controles reforçar. Um incidente bem conduzido pode, inclusive, demonstrar maturidade — o contrário de um incidente encoberto.
Ter um plano, agir rápido e comunicar corretamente: é isso que separa um susto administrável de uma sanção.
Este conteúdo é informativo e não substitui a análise individual do seu caso por um advogado.
Quer preparar sua instituição para a LGPD?
Faço o diagnóstico, estruturo a documentação e atuo como encarregado externo — no ritmo da sua instituição.
Falar com o Dr. Denis no WhatsApp