Quando os dados dos pacientes de uma clínica odontológica vazam, a resposta segue seis passos: registrar a data e a hora do conhecimento, avaliar se o incidente pode acarretar risco ou dano relevante, comunicar a Agência Nacional de Proteção de Dados (ANPD), comunicar os pacientes afetados, complementar a comunicação à ANPD se faltar informação e manter o registro do incidente. Não é um plano para improvisar sob pressão: é um roteiro curto que a clínica escreve antes e executa quando o problema acontece.
Por que um vazamento de dados na clínica odontológica importa
Prontuário, anamnese, odontograma e imagens fazem parte do que a clínica guarda sobre cada paciente, e dado de saúde é dado pessoal sensível. Um vazamento não atinge só o sistema: atinge a confiança de quem entregou à clínica uma informação que não entrega a qualquer empresa. O controle de quem abre esse conteúdo está em quem pode acessar o prontuário do paciente na clínica, e o que o paciente pode pedir da própria ficha, em o paciente pode pedir uma cópia do próprio prontuário.
A dimensão jurídica vem junto. Pela Lei nº 13.709/2018 (LGPD), art. 48, “o controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares”. A clínica que decide sobre o dado do paciente é o controlador; o paciente é o titular, e o direito de ser informado é dele. A obrigação nasce com o incidente que possa acarretar risco ou dano relevante, não com qualquer anomalia interna.
O que conta como relevante está na Resolução CD/ANPD nº 15/2024, art. 5º: o incidente pode acarretar risco ou dano relevante quando puder afetar significativamente interesses e direitos fundamentais dos titulares e, cumulativamente, envolver pelo menos um critério da lista, entre eles dados pessoais sensíveis, dados de crianças, de adolescentes ou de idosos, dados financeiros, dados de autenticação em sistemas, dados protegidos por sigilo legal, judicial ou profissional e dados em larga escala. Como dado de saúde é dado sensível, a base de pacientes de uma clínica toca essa lista com frequência. O dever de comunicar nasce quando a avaliação indica risco ou dano relevante.
O que fazer no dia do conhecimento
A ordem importa tanto quanto a velocidade: primeiro registrar, depois avaliar, depois comunicar. O prazo não corre da ocorrência, e sim do momento em que a clínica soube que o incidente afetou dados pessoais.
- Registre a data e a hora do conhecimento. Anote quem identificou o incidente, como e quando, e preserve os registros que ajudam a explicar o que aconteceu.
- Avalie se o incidente pode acarretar risco ou dano relevante, cruzando os critérios do art. 5º com o que a clínica sabe sobre a natureza dos dados e o número de pacientes afetados.
- Comunique à ANPD em até 3 dias úteis, se o incidente puder acarretar risco ou dano relevante (Resolução CD/ANPD nº 15/2024, art. 6º), contados do conhecimento de que o incidente afetou dados pessoais, ressalvada a existência de prazo previsto em legislação específica. A comunicação é feita pelo encarregado pela proteção de dados ou por representante legalmente constituído do controlador, por peticionamento eletrônico no sistema SEI!ANPD.
- Comunique os pacientes afetados também em até 3 dias úteis (Resolução CD/ANPD nº 15/2024, art. 9º). A página de comunicação de incidente de segurança da ANPD, consultada em outubro de 2026, é explícita: a obrigação do art. 48 não se cumpre com a mera comunicação à ANPD, porque, havendo risco ou dano relevante, a clínica deve comunicar os titulares dos dados violados. A comunicação usa linguagem simples e de fácil entendimento e é direta e individualizada, quando for possível identificá-los (art. 9º, § 1º).
- Complemente a comunicação à ANPD se faltar informação. As informações podem ser complementadas, de maneira fundamentada, no prazo de 20 dias úteis, contados da data da comunicação (art. 6º, § 3º), o que não autoriza adiar a primeira comunicação.
- Mantenha o registro do incidente por no mínimo 5 anos, contados da data do registro (art. 10), inclusive quando a clínica concluir que não havia risco relevante.
Um ponto de atenção: os prazos do art. 6º são contados em dobro para os agentes de pequeno porte (art. 6º, § 8º, e Resolução CD/ANPD nº 2/2022). Se a clínica conta como agente de pequeno porte depende do volume e do tipo de dado que trata: o tratamento de alto risco fica de fora, e o uso de dado sensível é um dos critérios de alto risco, quando somado a um critério geral. Os critérios gerais são o tratamento de dados pessoais em larga escala e o tratamento que possa afetar significativamente interesses e direitos fundamentais dos titulares (Resolução CD/ANPD nº 2/2022, art. 4º). Na dúvida, inclusive sobre o que conta como risco relevante, vale confirmar com o advogado ou o encarregado de dados.
O que reunir para comunicar
Para a primeira comunicação, reúna o que já se sabe sobre os pontos abaixo; o que faltar pode ser complementado na comunicação à ANPD em até 20 dias úteis (art. 6º, § 3º), sem adiar a primeira.
- Natureza e categoria dos dados afetados, ou seja, o que exatamente estava exposto.
- Número de titulares atingidos, ainda que a contagem seja aproximada no primeiro momento.
- Medidas de segurança que protegiam os dados antes do incidente.
- Riscos identificados, isto é, o que a exposição pode causar a quem teve o dado vazado.
- Medidas de correção e mitigação adotadas, o que a clínica já fez para conter o problema.
- Data do incidente e data do conhecimento, que são diferentes e importam as duas.
Como escrever a mensagem ao paciente
A comunicação ao paciente não é um ofício jurídico: é uma mensagem direta, sem jargão, que responde ao que ele precisa saber. Um modelo simples funciona como ponto de partida e se adapta ao caso.
“Prezado(a) [nome], identificamos um incidente de segurança que pode ter exposto dados do seu cadastro na clínica, como [natureza dos dados]. Assim que soubemos, adotamos as seguintes medidas: [medidas de segurança e de correção]. Os riscos identificados são [riscos], e recomendamos [orientação]. Se você tiver dúvidas, fale com a clínica pelo canal [contato]. Registramos o ocorrido em [data do conhecimento].”
Entre os itens que a Resolução CD/ANPD nº 15/2024 (art. 9º) lista para essa comunicação, que deve sair em até 3 dias úteis, estão os motivos da demora, quando houver. O texto evita duas armadilhas: prometer que nada aconteceu e detalhar informação que ainda não está confirmada. Se a clínica ainda está apurando a extensão do vazamento, a mensagem pode dizer o que já se sabe e informar que a apuração continua.
O que entra no registro do incidente
O registro não serve só para o incidente comunicado. Ele precisa existir também quando a clínica conclui que não havia risco relevante, e o conteúdo mínimo é o mesmo. O registro fica guardado por, no mínimo, cinco anos, contados da data do registro; se outras obrigações pedirem prazo maior de manutenção, vale o maior (Resolução CD/ANPD nº 15/2024, art. 10). Vale guardar a data do conhecimento, as circunstâncias do incidente, a natureza e a categoria dos dados, o número de titulares, a avaliação do risco, as medidas adotadas e a forma e o conteúdo da comunicação, ou o motivo de não ter comunicado.
Papel ou planilha para organizar a resposta
Registrar, avaliar, decidir e comunicar são atos humanos, e uma clínica que ainda trabalha no papel consegue organizar o roteiro com uma pasta, um modelo de mensagem e uma pessoa responsável por conduzir; a comunicação à ANPD segue por peticionamento eletrônico.
| Critério | Papel | Planilha |
|---|---|---|
| Começar hoje, sem configurar nada | Uma pasta, o modelo e a pessoa responsável | Exige montar as colunas |
| Reunir a lista de pacientes afetados | Só pela busca manual no prontuário | Uma linha por paciente |
| Guardar o registro pelo prazo mínimo | Cópia física em arquivo | Arquivo versionado |
Saber quem são os pacientes afetados depende de um cadastro em ordem, tema de como organizar o cadastro de pacientes da clínica odontológica. Para o que acontece com os dados quando o contrato do software termina, veja o que acontece com os dados da clínica se eu cancelar o software.
A Capim é uma plataforma de gestão para clínicas odontológicas que reúne gestão, soluções financeiras e crédito ao paciente. A Capim, fundada em 2021, tem mais de 12 mil clínicas e dentistas e presença em mais de 400 cidades (página de impacto da Capim). O Capim Dash, software de gestão da Capim, reúne agenda, prontuário eletrônico, odontograma, anamnese digital, assinatura eletrônica, financeiro e aplicativo para iOS e Android. Se a clínica depende de um recurso muito específico, vale confirmar na demonstração.
Perguntas frequentes
A clínica é obrigada a comunicar todo vazamento de dados à ANPD?
Nem todo incidente gera o dever de comunicar. A obrigação nasce quando o incidente pode acarretar risco ou dano relevante aos titulares, conforme o art. 48 da LGPD e os critérios do art. 5º da Resolução CD/ANPD nº 15/2024; a avaliação é caso a caso.
Qual é o prazo para comunicar o incidente à ANPD?
Três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, quando ele puder acarretar risco ou dano relevante aos titulares (art. 6º da Resolução CD/ANPD nº 15/2024, ressalvado prazo previsto em legislação específica). Para agente de pequeno porte, o prazo pode ser em dobro, conforme o enquadramento.
A clínica precisa avisar os pacientes, ou basta comunicar a ANPD?
Sim, quando há risco ou dano relevante: avisar a ANPD não dispensa avisar os pacientes (art. 48 da LGPD), também em até 3 dias úteis (art. 9º da Resolução CD/ANPD nº 15/2024).
Por quanto tempo a clínica deve guardar o registro do incidente?
No mínimo cinco anos, contados da data do registro, inclusive para o incidente que a clínica decidiu não comunicar (art. 10 da Resolução CD/ANPD nº 15/2024), salvo se outras obrigações exigirem prazo maior.
O que fazer se a clínica ainda não sabe a extensão do vazamento?
A primeira comunicação à ANPD não deve ser adiada: o prazo do art. 6º segue valendo, e as informações que faltarem podem ser complementadas, de maneira fundamentada, em até 20 dias úteis, contados da comunicação (§ 3º).
Em resumo
Responder a um vazamento de dados na clínica odontológica é executar seis passos na ordem, com os prazos da Resolução CD/ANPD nº 15/2024: registrar o conhecimento, avaliar o risco, comunicar a ANPD e os pacientes afetados em até 3 dias úteis quando o incidente puder acarretar risco ou dano relevante, complementar a comunicação à ANPD em até 20 dias úteis se faltar informação e manter o registro por no mínimo 5 anos. Um roteiro escrito antes ajuda a clínica a agir dentro do prazo.
Sobre a autora
Carla Duarte é redatora da Capim e graduanda de Odontologia. Escreve sobre gestão, recebimento e crédito ao paciente para clínicas.