Minha clínica sofreu um ataque de ransomware: o que a LGPD exige que eu faça com os dados dos pacientes?

O ataque chega de um jeito banal: e-mail com anexo infectado, senha fraca de acesso remoto, sistema desatualizado. Em poucas horas, o prontuário eletrônico fica inacessível ou, pior, os arquivos aparecem à venda em um fórum. A partir daí, o relógio da LGPD já está correndo, e a maioria dos médicos descobre as regras tarde demais.

O que fazer nas primeiras 72 horas

Isole e documente antes de "limpar" qualquer coisa. Desconecte os equipamentos afetados, mas preserve logs e evidências. Apagar tudo às pressas destrói a prova de diligência que pode reduzir uma sanção depois.

Avalie se há dado sensível envolvido. Praticamente todo prontuário tem: diagnóstico, exame, prescrição e histórico são dado referente à saúde, classificado como sensível pela LGPD (art. 5º, II).

Comunique a ANPD em até três dias úteis. O prazo corre do momento em que a clínica toma conhecimento de que o incidente afetou dados pessoais, não da data em que o ataque começou (Resolução CD/ANPD nº 15/2024, art. 6º, caput). Faltando informação completa, vale comunicação preliminar.

Avise os pacientes afetados no mesmo prazo. A obrigação de comunicar o titular também corre em três dias úteis (art. 9º, caput da mesma Resolução), por canal rastreável, não só aviso genérico no site.

Clínica de pequeno porte tem o prazo em dobro: seis dias úteis, tanto para a ANPD quanto para os pacientes (art. 6º, §8º e art. 9º, §6º).

Por que dado de saúde muda a régua da ANPD

Nem todo incidente precisa ser comunicado: a LGPD só exige aviso quando há risco ou dano relevante ao titular (art. 48). O detalhe é que a Resolução CD/ANPD nº 15/2024 presume esse risco quando o incidente envolve dados sensíveis, de crianças, adolescentes ou idosos (art. 5º). Como o prontuário quase sempre carrega dado de saúde, essa presunção se aplica à maioria dos ataques a sistemas médicos, eliminando a margem para a clínica decidir sozinha que "não era grave o suficiente" para avisar. É a mesma lógica que já aparece na forma como a Resolução CFM nº 2.314/2022 trata a guarda do prontuário na telemedicina e a responsabilidade pelos dados do paciente: quanto mais sensível o dado, menor a margem de decisão informal.

O que diz a lei

A obrigação de comunicar incidente de segurança está no art. 48 da LGPD. A Resolução CD/ANPD nº 15/2024, em vigor desde 2024 e sem alteração nesse ponto, detalhou o procedimento: prazo de três dias úteis contados do conhecimento do incidente (arts. 6º e 9º) e conteúdo mínimo da comunicação, incluindo categorias de dados afetados, número de titulares, medidas de segurança adotadas e motivo de eventual demora (art. 6º, §2º).

Quanto a quem responde, o art. 42 da LGPD obriga o controlador que causar dano ao titular, por violação à legislação de proteção de dados, a repará-lo. Contratar fornecedor de nuvem ou de software de prontuário não tira a clínica da condição de controladora, o que também aparece na discussão sobre quem responde por erro em sistema de IA que transcreve consulta: a responsabilidade não desaparece porque a tarefa foi delegada a um sistema.

Em sanção, o art. 52 da LGPD vai de advertência a multa simples de até 2% do faturamento da pessoa jurídica no Brasil no último exercício, limitada a R$ 50 milhões por infração, além de publicização do fato e, em casos graves, bloqueio ou eliminação dos dados. Essas sanções estão em vigor desde agosto de 2021 e consideram gravidade, boa-fé e cooperação do infrator.

O caso que a ANPD está apurando

Em julho de 2026, a ANPD abriu processo de sanção contra uma organização social que administra unidades públicas de saúde em seis estados, depois que um ataque de ransomware ocorrido em 2025 expôs dados de cerca de 500 mil pacientes, entre eles crianças, adolescentes e idosos. A apuração verifica se houve medida de segurança insuficiente e falha na comunicação aos titulares, exatamente os pontos que a Resolução CD/ANPD nº 15/2024 exige documentar. O caso mostra, em escala grande, o mesmo risco de qualquer clínica pequena: a investigação nasce não só do ataque, mas de como a instituição reagiu a ele.

Erros que aumentam a responsabilidade do médico

Esconder o incidente na esperança de que não vaze. Silêncio descoberto depois pesa contra a clínica, porque a ANPD avalia a pronta adoção de medidas corretivas.

Não ter política de segurança nem registro de quem acessa o quê. Sem isso, fica difícil provar diligência, o mesmo cuidado documental que já vale para o prontuário como principal material de defesa do médico em qualquer processo.

Deixar o backup na mesma rede do sistema atacado. Backup acessível pelo invasor não é backup, é cópia extra para ser sequestrada também.

Tratar a nuvem como responsabilidade só do fornecedor. O contrato deve prever quem faz o quê, mas a obrigação legal de comunicar continua sendo da clínica, controladora dos dados.

Guardar prontuário além do necessário, em sistema sem segurança. Quanto mais dado acumulado sem controle de acesso, maior a superfície de ataque. Vale revisar por quanto tempo o prontuário precisa ser guardado antes do descarte seguro.

Quando a ANPD já abriu apuração ou o paciente busca indenização, a defesa técnica da clínica costuma se cruzar com a responsabilidade civil do médico em outras frentes, e vale buscar orientação com antecedência. Nesse momento, contar com um escritório especializado em defesa de médicos, como este, ajuda a organizar a resposta ao incidente, a comunicação à ANPD e a defesa em eventual processo administrativo.

Perguntas frequentes