apointoo.
Solicitar acesso
Privacidade e Compliance

Incidente com dados de saúde no agendamento: quem comunica à ANPD e em quanto tempo?

cmsapointoo··9 min de leitura

O controlador comunica à ANPD e aos titulares quando o incidente satisfaz o teste de risco relevante da Resolução CD/ANPD nº 15/2024. O prazo geral é de três dias úteis, contado do conhecimento pelo controlador de que o incidente afetou dados pessoais. O operador não substitui o controlador nessa obrigação. Ele deve informar o controlador sem demora injustificada e entregar as informações necessárias.

Dados de saúde não dispensam o teste completo. A resolução exige possível impacto significativo sobre interesses e direitos fundamentais e, cumulativamente, pelo menos um critério listado, como dados sensíveis. A comunicação pode ser complementada em vinte dias úteis. O controlador registra o incidente por pelo menos cinco anos, mesmo sem comunicação.

Quem comunica e qual prazo se aplica?

Lei: o artigo 48 da LGPD atribui ao controlador a comunicação à autoridade nacional e ao titular quando um incidente de segurança puder acarretar risco ou dano relevante. A lei define controlador como a pessoa natural ou jurídica que toma as decisões referentes ao tratamento.

Regulamento: a Resolução CD/ANPD nº 15/2024 fixa três dias úteis para o controlador comunicar à ANPD, salvo prazo específico em outra legislação. A contagem começa quando ele sabe que o incidente afetou dados pessoais. A comunicação exigida aos titulares segue o mesmo prazo.

Orientação da ANPD: a página atual de comunicação de incidente repete essa divisão de papéis e prazos. O formulário, a agenda ou o fornecedor podem detectar o problema primeiro, mas o dever regulatório continua com o controlador. A relação entre papéis reais e documentos contratuais é aprofundada no conteúdo sobre BAA, DPA e contrato de operador LGPD.

O teste de comunicação tem dois requisitos cumulativos

Regulamento: a resolução considera relevante o risco ou dano quando o incidente puder afetar significativamente interesses e direitos fundamentais dos titulares e, ao mesmo tempo, envolver pelo menos um critério enumerado. Dados pessoais sensíveis são um desses critérios. A lista também inclui, entre outros, dados de crianças, adolescentes ou idosos, dados financeiros e dados de autenticação em sistemas.

O impacto pode ser significativo quando impede direitos ou serviços, ou pode provocar dano material ou moral, discriminação, roubo de identidade ou fraude. Aplique esses critérios aos fatos. Não trate todo alerta como reportável, nem descarte o caso porque o dano ainda não ocorreu.

Recomendação editorial: use um formulário de decisão com duas perguntas separadas. Primeiro, descreva como interesses ou direitos podem ser afetados. Depois, marque qual critério regulamentar aparece e qual evidência sustenta a marcação. O envolvimento de saúde satisfaz um critério, mas não documenta sozinho a primeira parte.

Quando começa a contagem dos três dias úteis?

Regulamento: o marco é o conhecimento do controlador de que o incidente afetou dados pessoais. Uma suspeita técnica sem vínculo identificado com dados pessoais pode exigir investigação imediata, mas o texto regulamentar liga o prazo ao conhecimento desse efeito. A equipe precisa preservar quando e como essa conclusão foi alcançada.

O relógio não deve depender da reunião semanal, da conclusão de perícia completa ou da aprovação final de um relatório. A resolução permite comunicação preliminar e complemento posterior. Esperar certeza sobre todos os detalhes pode consumir o prazo mesmo quando já existe conhecimento suficiente de que dados pessoais foram afetados.

Recomendação editorial: registre detecção, aviso do operador, confirmação de que dados pessoais foram afetados e decisão. Inclua fuso horário, responsável e evidência, sem copiar conteúdo clínico para tickets amplos.

O que o operador precisa fazer?

Orientação da ANPD: o operador deve informar o controlador sem demora injustificada quando souber de incidente de segurança com dados pessoais. Também deve fornecer as informações necessárias para que o controlador cumpra suas obrigações.

Recomendação editorial: o contrato pode definir um prazo interno mais curto, mas não deve tratar essa cláusula como transferência da responsabilidade do controlador.

Recomendação editorial: o aviso do operador traz fatos disponíveis, hora da detecção, sistemas, possíveis categorias de dados, contenção, lacunas e próxima atualização. O operador evita conclusão jurídica definitiva sem conhecer titulares e impacto do fluxo.

Para uma agenda terceirizada, teste o caminho antes de um incidente real. Confirme contato de plantão, canal alternativo, autenticação, modelo de evidência e autoridade para preservar logs. O contrato deve tratar incidente como operação executável, não apenas como cláusula. A distinção entre origem do agendamento e origem de marketing também ajuda a localizar quais sistemas receberam cada dado.

Como funciona a comunicação inicial e o complemento?

Regulamento: a comunicação à ANPD deve apresentar as informações previstas na resolução, incluindo descrição da natureza e categoria dos dados, número de titulares afetados quando disponível, medidas técnicas e de segurança, riscos relacionados e ações adotadas para reverter ou mitigar efeitos. Quando uma informação ainda não estiver disponível, o controlador pode complementar a comunicação de forma fundamentada.

O complemento vence vinte dias úteis após a comunicação inicial. A primeira comunicação não pode ser vazia: entregue os fatos conhecidos, identifique lacunas e explique a investigação. Mantenha cada atualização ligada ao mesmo incidente.

Recomendação editorial: separe campos confirmados, estimados e desconhecidos. Não misture hipótese com fato. Preserve a origem de cada informação e a data da verificação. Essa estrutura reduz contradições entre o aviso inicial, a comunicação aos titulares e o relatório técnico posterior.

O que deve ser comunicado aos titulares?

Regulamento: quando o teste é satisfeito, o controlador deve comunicar os titulares em linguagem simples e de fácil entendimento, de forma direta e individualizada sempre que for possível identificá-los. A resolução define conteúdo mínimo, como natureza e categoria dos dados afetados, riscos e medidas adotadas ou recomendadas para mitigar efeitos.

A mensagem não deve criar nova exposição. Notificação visível no bloqueio de tela, enviada ao contato errado ou com o motivo da consulta pode ampliar o incidente. Considere o risco de revelar a relação de saúde.

Recomendação editorial: prepare um modelo sem preencher detalhes clínicos. Faça revisão por privacidade, segurança, atendimento e responsável jurídico. Se o controlador não consegue contatar alguém de forma individual, documente a avaliação do meio adotado segundo a resolução. O conteúdo sobre agendamento pediátrico ajuda a lembrar que titular, responsável e contato podem não ser a mesma pessoa.

Por que registrar até os incidentes não comunicados?

Regulamento: o controlador deve manter registro dos incidentes de segurança com dados pessoais por pelo menos cinco anos, contados da data do registro, inclusive quando não houver comunicação à ANPD ou aos titulares. O registro precisa conter os elementos exigidos pela resolução e sustentar a conclusão adotada.

Decidir não comunicar não apaga o incidente. O registro mostra como a equipe aplicou o teste cumulativo, relaciona eventos repetidos e sustenta eventual resposta à autoridade.

Recomendação editorial: guarde cronologia, sistemas, categorias, volumes estimados, titulares, análise de risco, decisões, comunicações, medidas e aprovadores. Controle o acesso e evite armazenar cópias desnecessárias dos dados afetados. Evidência de processo não exige duplicar informação de saúde.

Um runbook curto para clínicas e plataformas

Recomendação editorial: um runbook útil separa contenção técnica, avaliação regulatória e comunicação. Cada etapa precisa de responsável, substituto, prazo e evidência.

  1. Conter o acesso ou exposição sem destruir logs necessários à investigação.
  2. Abrir um identificador de incidente e registrar detecção, sistemas e responsáveis.
  3. Determinar se dados pessoais foram afetados e registrar o momento do conhecimento pelo controlador.
  4. Classificar categorias, titulares, escala, impacto e critérios da resolução.
  5. Aplicar o teste cumulativo e preservar a decisão fundamentada.
  6. Preparar comunicação inicial dentro do prazo, mesmo com complemento pendente.
  7. Coordenar mensagem aos titulares sem revelar informação adicional.
  8. Entregar complemento em até vinte dias úteis quando necessário.
  9. Manter o registro protegido por pelo menos cinco anos e acompanhar correções.

Use dados sintéticos nos exercícios. Teste falha de email, ausência do contato principal e detecção fora do horário comercial. Em arquiteturas regionais, o artigo sobre analytics global sem centralizar dados de saúde oferece um modelo relacionado para limitar cópias durante investigação.

Perguntas frequentes

Todo incidente com dado de saúde deve ser comunicado?

Não automaticamente. Dado sensível satisfaz um dos critérios da resolução, mas o incidente também precisa poder afetar significativamente interesses e direitos fundamentais. A decisão deve aplicar e registrar as duas partes do teste cumulativo.

O operador pode comunicar diretamente à ANPD?

A obrigação tratada pela LGPD e pela resolução é do controlador. O operador deve avisá-lo sem demora injustificada e fornecer as informações necessárias. Arranjos adicionais precisam de análise própria e não eliminam a responsabilidade do controlador.

É preciso esperar a investigação terminar?

Não. O prazo começa quando o controlador sabe que dados pessoais foram afetados. A resolução permite complementar informações, com justificativa, em vinte dias úteis após a comunicação inicial.

Por quanto tempo guardar um incidente não comunicado?

Por pelo menos cinco anos a partir do registro, segundo a Resolução CD/ANPD nº 15/2024. Guarde a análise, a decisão e as medidas sem duplicar desnecessariamente os dados pessoais envolvidos.

Referências

Leia também

Incidente com dados de saúde no agendamento: quem comunica à ANPD e em quanto tempo? | Apointoo