A ANPD abriu processo por vazamento de dados de 500 mil pacientes. Os três itens de LGPD que faltam em quase todo consultório.

Em resumo

• Em 8 de julho de 2026, a ANPD instaurou processo sancionador após a exposição de cerca de 500 mil registros de pacientes por ransomware.
• As infrações apuradas não foram o ataque: faltaram medidas de segurança, comunicação adequada aos titulares e divulgação do encarregado pelo tratamento de dados.
• No consultório, cabe nomear e publicar o encarregado, revisar quem acessa o prontuário e testar se o link de laudo abre sem login.
• Em Santa Catarina, duas clínicas foram condenadas solidariamente por exame acessível no buscador, sem invasão, e o artigo 52 prevê suspensão da atividade de tratamento.

Três infrações, e nenhuma delas é o ataque

Em 8 de julho de 2026, a Autoridade Nacional de Proteção de Dados instaurou processo sancionador contra o Instituto Saúde e Cidadania, organização social que administra unidades públicas de saúde. O caso nasceu de um ataque de ransomware, o tipo de invasão que sequestra os dados e os torna inacessíveis. Cerca de 500 mil registros de pacientes foram expostos, entre eles 78.772 crianças e adolescentes e 47.921 idosos. Traduzindo: um em cada quatro registros pertence a alguém que a lei protege com camada adicional.

O detalhe que interessa a quem administra consultório está na lista de infrações apuradas. A ANPD não abriu o processo pelo ataque em si. Abriu por três falhas anteriores e posteriores a ele: ausência de medidas de segurança técnicas e administrativas, comunicação inadequada aos titulares afetados e não divulgação das informações sobre o encarregado pelo tratamento de dados. A nota cita ainda descumprimento dos princípios da prevenção e da responsabilização e prestação de contas.

A distinção não é jurídica, é operacional. Invasão é evento, e nenhum sistema fica imune a evento. O que a autoridade cobra é o que existia antes e o que foi feito depois. Uma organização pode ser atacada e responder bem. Pode também ser atacada e descobrir, no meio do processo, que nunca documentou nada e não tinha um nome publicado para receber a reclamação do paciente.

Em Santa Catarina, não houve invasão nenhuma

No dia 28 de maio de 2026, a 2ª Turma Recursal do Judiciário catarinense julgou o processo 5024963-39.2023.8.24.0033. Uma paciente encontrou o resultado do próprio exame acessível em site de busca, sem login e sem senha. Duas clínicas foram condenadas de forma solidária. O valor caiu de R$ 10 mil para R$ 5 mil no recurso, e a decisão determinou a remoção do conteúdo.

O valor é pequeno. A tese não. A relatora registrou que a divulgação de informações de saúde configura violação à intimidade e à vida privada, independentemente da comprovação de prejuízo material concreto. Em linguagem de consultório: o paciente não precisa provar que perdeu emprego, contrato ou casamento por causa do exame exposto. A exposição basta. O tribunal fundamentou a decisão na LGPD e no Código de Defesa do Consumidor.

A turma anotou também que as clínicas não demonstraram a implementação de medidas técnicas e administrativas eficazes para impedir o acesso não autorizado. Repare na simetria com o caso da ANPD. Nos dois, o que pesou não foi a intenção nem a qualidade do cuidado clínico, foi a falta de prova de que havia estrutura. E ninguém precisou de um invasor para chegar ao exame de Itajaí: bastou um portal de resultados mal configurado e um buscador fazendo o trabalho dele.

O artigo 52 da LGPD, traduzido para a rotina

O artigo 52 lista as sanções administrativas em escala. Começa em advertência, com prazo para medidas corretivas. Passa por multa simples de até 2% do faturamento da pessoa jurídica no Brasil, limitada a R$ 50 milhões por infração, e por multa diária. Prevê ainda publicização da infração, bloqueio dos dados até a regularização, eliminação dos dados, suspensão parcial do banco de dados, suspensão da atividade de tratamento por até seis meses e proibição parcial ou total do exercício de atividades de tratamento.

Para um consultório, o número da manchete raramente é o número que importa. Dois por cento do faturamento de uma clínica pequena é uma quantia administrável. A suspensão da atividade de tratamento é outra conversa: sem tratar dado pessoal não há agenda, não há prontuário e não há faturamento de convênio. E a publicização da infração toca a reputação, que no consultório é o ativo que sustenta a indicação de um paciente para o próximo.

Vale registrar dois pontos específicos, porque são os que mais faltam. O artigo 41 determina que o controlador indique um encarregado pelo tratamento de dados e que a identidade e o contato dessa pessoa sejam divulgados publicamente, de forma clara. O artigo 48 determina a comunicação à autoridade nacional e ao titular sempre que houver incidente com risco ou dano relevante. As duas obrigações são de estrutura, não de tecnologia. Nenhuma exige comprar software novo.

O que auditar no consultório, item por item

Nada nesta lista depende de investimento alto. Depende de alguém reservar uma tarde e verificar. A ordem segue a lógica das duas decisões: o que existe, o que está documentado e quem responde por isso.

1. Portal de resultados e link de laudo. Abra, numa janela anônima e sem estar logado, o mesmo link que a recepção envia ao paciente. Se o exame aparecer, qualquer pessoa com aquele endereço chega nele. Depois troque o número final do link por outro: se abrir o laudo de outra pessoa, o portal está sequencial e exposto.

2. Arquivo indexável. Pesquise no buscador por site seguido do seu domínio e de palavras como exame, laudo, resultado e evolução. Se aparecer arquivo de paciente, peça a remoção e bloqueie a pasta à indexação. Um PDF que o buscador enxerga é exatamente o caso julgado em Santa Catarina.

3. Quem abre o prontuário. Liste nome por nome quem tem acesso ao sistema, com qual perfil e desde quando. Inclua ex-funcionários, estagiários, o contador e quem atende uma vez por mês. Acesso que ninguém revoga é acesso que ninguém controla.

4. Backup. Confirme três coisas: que existe, que está fora da mesma máquina e da mesma rede, e que alguém já testou restaurar. Backup nunca testado é hipótese, não é backup. Num ransomware, essa é a diferença entre um susto de um dia e uma agenda parada por semanas.

5. Mensagens com dado de paciente. Mapeie quais aparelhos recebem exame, foto clínica e áudio de anamnese. Verifique se são aparelhos pessoais, quem mais desbloqueia cada um e o que acontece com as conversas quando o celular é trocado, vendido ou perdido.

6. Contrato com fornecedores. Sistema de prontuário, laboratório parceiro, empresa de agendamento, contabilidade, agência. Todo terceiro que toca dado de paciente precisa de cláusula de proteção de dados e de obrigação de avisar você em caso de incidente. A condenação catarinense foi solidária: dividir a operação não divide a responsabilidade.

7. Encarregado nomeado e publicado. Escolha uma pessoa, registre a nomeação por escrito e publique nome e canal de contato no site e na recepção. Não precisa ser advogado nem especialista em tecnologia. Precisa existir, ser localizável e saber a quem escalar. Foi essa ausência que entrou na lista de infrações da ANPD.

8. Plano de resposta a incidente. Uma página resolve: quem é avisado na primeira hora, quem fala com o paciente, quem comunica a autoridade, qual é o texto base do aviso e onde ficam os registros do que foi feito. Escrever isso com calma custa uma tarde. Escrever no dia do incidente custa o prazo.

Nenhuma das duas decisões cobrou perfeição. Cobraram a prova de que havia estrutura antes de o problema aparecer. Na DAMA, é assim que se lê um caso como esse: o que protege o consultório não é a sorte de não ser atacado, é o que está escrito, restrito e sob responsabilidade de alguém com nome.

Fonte: Autoridade Nacional de Proteção de Dados, nota sobre a instauração de processo de sanção por falha na proteção de dados de 500 mil pacientes, publicada em 8 de julho de 2026, disponível em gov.br/anpd. Decisão da 2ª Turma Recursal de Santa Catarina no processo 5024963-39.2023.8.24.0033, julgado em 28 de maio de 2026, com repercussão em Migalhas e Consultor Jurídico. Texto legal: Lei 13.709/2018, artigos 41, 48 e 52.