Se um computador da recepção for sequestrado por ransomware hoje de manhã, a clínica tem três dias úteis, contados do momento em que tomou conhecimento do incidente, para comunicar o caso à ANPD quando houver risco ou dano relevante ao paciente. Esse prazo está na Resolução CD/ANPD nº 15/2024, que regulamenta o artigo 48 da LGPD. Como prontuário, laudo e exame são dados sensíveis pelo artigo 11 da Lei 13.709/2018, o cenário quase sempre puxa o caso para a faixa do risco relevante.
A parte boa é que quase tudo que evita esse dia começa fora da área técnica. As dez medidas deste artigo cabem em uma semana de trabalho de uma clínica sem TI própria, a maioria custa R$ 0 e depende de decisão da gestão, não de investimento. O que sai caro é o contrário: descobrir, no meio de uma investigação, que a clínica não consegue provar quem acessou o prontuário do paciente porque a recepção inteira usa o mesmo login.
Por que a clínica pequena virou alvo e o que exatamente vaza
Um registro de saúde completo vale mais no mercado criminoso do que um número de cartão. O cartão é cancelado em minutos; nome, CPF, telefone, diagnóstico e histórico de exames não são canceláveis. Servem para fraude de identidade, golpe direcionado contra o paciente e até extorsão, porque o conteúdo é constrangedor por natureza.
O atacante quase nunca escolhe a clínica. Ele varre faixas inteiras de endereços da internet procurando máquina desatualizada, acesso remoto aberto e senha fraca. Consultório com dois profissionais aparece na mesma lista que empresa grande, com a diferença de que não tem quem responda ao alerta.
Só que a maioria dos vazamentos em consultório não envolve invasão sofisticada. Envolve processo frouxo, e as cenas se repetem:
- pendrive com a tomografia de um paciente esquecido no balcão da recepção;
- laudo em PDF enviado do e-mail pessoal da recepcionista, com o histórico inteiro guardado em uma caixa que ninguém controla;
- estação de trabalho logada no sistema enquanto a sala fica vazia, com a agenda do dia aberta na tela;
- foto do prontuário no WhatsApp pessoal do profissional, que continua no celular depois que ele sai da clínica;
- ex-colaborador que segue com login ativo semanas após o desligamento.
Nenhum desses casos exige criminoso. Exige apenas um pedido de informação, uma auditoria de conselho ou um paciente incomodado para virar problema formal. Vale a leitura complementar sobre prontuário eletrônico e LGPD, que trata da guarda do registro em si.
As 10 medidas que dá para aplicar esta semana, sem TI própria
A ordem abaixo não é aleatória. Ela começa pelo que reduz mais risco por hora de trabalho investida.
1. Fim do login compartilhado. Um usuário por pessoa, com perfil restrito ao papel. Recepção não precisa ver financeiro. Auxiliar não precisa ver o prontuário inteiro. Técnico em radiologia precisa do pedido e da imagem, não da ficha clínica completa.
2. Senha forte e gerenciador de senhas. Existem gerenciadores gratuitos e confiáveis. A regra prática: senha longa, diferente por sistema, nunca em papel colado no monitor, planilha compartilhada ou grupo de WhatsApp da equipe.
3. Autenticação em dois fatores em tudo que aceitar. Comece por e-mail, banco e sistema de gestão. O segundo fator neutraliza a maior parte dos golpes de phishing, porque a senha roubada sozinha deixa de abrir a porta.
4. Bloqueio automático de tela entre dois e cinco minutos. Configure no sistema operacional e transforme em hábito: Win+L no Windows, Ctrl+Cmd+Q no Mac, sempre que a pessoa levanta da mesa. É a medida mais barata e a que mais evita acesso indevido dentro da própria clínica.
5. E-mail corporativo com domínio próprio. Assunto de paciente não trafega por conta pessoal, e isso precisa estar escrito na política interna, não apenas combinado. Conta pessoal não pode ser auditada, não pode ser revogada no desligamento e costuma ficar logada no celular particular.
6. Aposente o pendrive. Mídia removível se perde, não tem senha, não deixa rastro e sai da clínica no bolso. Exame e documentação devem ser compartilhados por link com acesso controlado ou área restrita, em que se sabe quem acessou e quando.
7. Backup automático fora da clínica, com teste de restauração. Vale a regra 3 2 1: três cópias dos dados, em dois tipos de mídia diferentes, com uma delas fora da clínica. E atenção ao detalhe que derruba muita gente: o HD externo que fica plugado na máquina é criptografado junto no ataque de ransomware. Backup nunca testado é hipótese, não é backup.
8. Atualização automática ligada. Sistema operacional, navegador e antivírus atualizando sozinhos. Máquina fora do período de suporte do fabricante precisa de plano de troca, porque falha conhecida em sistema sem correção é o caminho preferido do ataque automatizado.
9. Revogação de acesso no mesmo dia do desligamento. Junto com termo de confidencialidade assinado por toda a equipe, incluindo estagiário, profissional que atende alguns dias por semana e TI terceirizado. O termo não impede o vazamento, mas define responsabilidade e comunica seriedade.
10. Treinamento de 30 minutos contra phishing. Mostre exemplos reais de mensagem falsa de banco, de convênio e de fornecedor. Estabeleça a regra de ouro: nenhum dado de paciente sai por canal não autorizado, nem quando a mensagem diz que "o doutor pediu com urgência". Pedido urgente por canal estranho é justamente o roteiro da engenharia social.
| Medida | Quem executa | Tempo | Custo |
|---|---|---|---|
| Usuário individual e perfil por papel | Gestor com apoio do suporte do sistema | 1 a 2 horas | R$ 0 na maioria dos sistemas |
| Senha forte e gerenciador de senhas | Cada colaborador, com o gestor conferindo | 30 minutos | R$ 0 em versão gratuita |
| Autenticação em dois fatores | Gestor e cada usuário | 15 minutos por conta | R$ 0 |
| Bloqueio automático de tela | Quem cuida das máquinas | 5 minutos por computador | R$ 0 |
| E-mail corporativo e proibição do pessoal | Dono ou gestor | 2 horas | Baixo, por caixa postal |
| Fim do pendrive, compartilhamento por link | Recepção e responsável técnico | 1 hora de treino | R$ 0 se já houver área restrita |
| Backup externo com teste de restauração | TI terceirizada ou fornecedor do sistema | 2 horas para configurar | De R$ 0 a baixo mensal |
| Atualização automática e antivírus | Quem cuida das máquinas | 30 minutos por computador | R$ 0 a moderado |
| Revogação no desligamento e termo assinado | Gestor, com apoio jurídico no modelo | 1 hora inicial | R$ 0 após o modelo pronto |
| Treinamento contra phishing | Gestor ou encarregado de dados | 30 minutos, a cada seis meses | R$ 0 |
Login único na recepção: a falha mais cara da clínica
Não, a recepção inteira não deve usar um login só. E o motivo principal não é regra de fornecedor, é prova.
Sem usuário individual não existe trilha de auditoria com valor nenhum. O registro do sistema vai mostrar que o usuário "recepcao" abriu, imprimiu e exportou o prontuário de 34 pacientes às 14h20. Se cinco pessoas usam esse login, e o vigia da noite também, a clínica não consegue dizer quem foi. Em um pedido de esclarecimento da ANPD, em uma sindicância de conselho profissional ou em uma ação movida pelo paciente, quem precisa demonstrar que adotou boas práticas é a clínica, na condição de controladora dos dados.
Some a isso o princípio da necessidade da LGPD, que manda limitar o tratamento ao mínimo indispensável para a finalidade, e o sigilo profissional previsto nos códigos de ética médica e odontológica. Login coletivo dá a todo mundo acesso a tudo. É o oposto exato dos dois.
A migração é mais simples do que parece e não trava o atendimento:
- liste as pessoas e o que cada função realmente precisa enxergar, em uma folha só;
- crie os usuários com perfil restrito, o que costuma levar cerca de uma hora;
- escolha o turno menos cheio da semana para virar a chave;
- treine a troca rápida de sessão, que é o ponto de resistência real da equipe;
- desative o login antigo em até sete dias, senão ele sobrevive para sempre.
Vale revisar isso junto com a rotina da secretária de clínica, porque perfil de acesso mal desenhado gera atrito no balcão e a equipe volta a burlar o controle.
Ransomware: a primeira hora, o primeiro dia e a primeira semana
Ransomware é o programa que criptografa os arquivos da clínica e cobra resgate. Hoje ele quase sempre vem em dose dupla: além de embaralhar os dados, o criminoso copia tudo antes e ameaça publicar. Por isso pagar não resolve o vazamento, apenas compra uma promessa.
Hora 0 a 1. Isole a máquina da rede tirando o cabo e desligando a conexão sem fio, mas não desligue o equipamento e não formate nada. Memória e registros são evidência. Avise, nessa ordem, o responsável pela clínica, o parceiro de TI e o encarregado pelo tratamento de dados. Verifique se outras máquinas e o servidor apresentam o mesmo comportamento.
Dia 1. Mapeie o que foi acessado: quais pastas, quantos titulares, quais categorias de dado (identificação, contato, imagem, diagnóstico, financeiro). Troque todas as senhas a partir de uma máquina comprovadamente limpa, nunca da infectada. Registre boletim de ocorrência, de preferência em delegacia especializada em crimes cibernéticos. Acione o plano de contingência para não parar o atendimento: agenda do dia impressa, ficha de papel temporária e lançamento posterior no sistema.
Dias 1 a 3 úteis. Avalie, com apoio jurídico, o dever de comunicar à ANPD e aos pacientes afetados. Essa avaliação corre em paralelo com a recuperação técnica, não depois dela.
Semana 1. Restaure a partir de backup validado, e só reconecte a máquina depois de limpa e atualizada. Revise todos os acessos, encerre contas antigas e escreva a linha do tempo do incidente: o que aconteceu, quando, quem soube, o que foi feito em cada etapa. Esse documento é o que demonstra diligência depois.
Uma decisão que precisa estar tomada antes: não pague o resgate. Não há garantia de devolução, não existe como apagar a cópia que já saiu e o pagamento identifica a clínica como alvo que paga.
Sou obrigado a avisar a ANPD e o paciente? Prazo, canal e conteúdo
A base é o artigo 48 da LGPD combinado com a Resolução CD/ANPD nº 15/2024. A obrigação de comunicar nasce quando o incidente pode acarretar risco ou dano relevante ao titular, e o prazo é de três dias úteis a partir do conhecimento do incidente. Dado de saúde é dado sensível pelo artigo 11, o que empurra a avaliação para o lado do risco relevante com facilidade.
A comunicação à autoridade é feita por formulário eletrônico no site da ANPD. A comunicação ao paciente é separada, precisa ser em linguagem clara e por canal direto, sem juridiquês e sem esconder a informação no rodapé de um aviso genérico.
O que a comunicação precisa trazer, em resumo:
- descrição da natureza dos dados afetados;
- número aproximado de titulares envolvidos e as categorias atingidas;
- data do incidente e data em que a clínica tomou conhecimento;
- medidas técnicas e administrativas já adotadas;
- riscos prováveis para o paciente e o que ele pode fazer;
- canal de contato do encarregado ou responsável.
Registre o incidente por escrito mesmo quando concluir que não há dever de comunicar. Esse registro interno é a prova de que houve avaliação, e não omissão. As sanções previstas na LGPD vão de advertência a multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, além de bloqueio e eliminação dos dados envolvidos. Este texto orienta o caminho, mas não substitui a análise do jurídico da sua clínica sobre o caso concreto.
Vale lembrar que a guarda do prontuário tem regra própria, com prazo de vinte anos a contar do último registro pela Resolução CFM nº 1.821/2007, e que a Lei 13.787/2018 trata da digitalização e da guarda do prontuário. Segurança e prazo de guarda caminham juntos: perder o prontuário em um ataque também é descumprir a obrigação de guardar. Se a clínica ainda coleta autorizações no papel, o termo de consentimento LGPD para clínica costuma ser o próximo item da lista.
Sistema na nuvem ou servidor na recepção: quem responde pelo dado
Aqui existe uma confusão cara. A clínica é controladora dos dados e o fornecedor do sistema é operador. Contratar bem reduz risco, mas não transfere a responsabilidade: ela é compartilhada, e o paciente reclama com quem o atendeu.
O que exigir de qualquer fornecedor, seja ele qual for:
- tráfego criptografado por HTTPS/TLS em todo o sistema, inclusive na área do paciente;
- senha armazenada apenas em hash, nunca recuperável em texto;
- acesso por perfil de usuário, com visibilidade restrita ao papel;
- trilha de auditoria acessível ao gestor da clínica;
- backup automático, com informação clara sobre frequência e restauração;
- contrato ou adendo de proteção de dados definindo papéis, subcontratados e obrigação de avisar a clínica em caso de incidente.
O servidor físico na recepção acumula riscos que ninguém enxerga no dia a dia: backup manual que alguém esquece de trocar, sala sem tranca, energia instável, sistema operacional sem atualização há anos e a máquina que também roda o PACS com as imagens em DICOM. Vale lembrar que imagem e laudo são dado sensível igual ao texto do prontuário, e viajam junto com ele, assim como os documentos guardados no GED da clínica.
Sobre esse ponto, o Transfermed trabalha 100% na nuvem, com tráfego criptografado por HTTPS/TLS, senhas armazenadas em hash, acesso por perfil de usuário, acesso separado para equipe e para o paciente, backup diário automático e tratamento alinhado à LGPD. Na hora de comparar fornecedores, o roteiro do artigo sobre software para clínicas e as perguntas antes de assinar ajuda a transformar promessa comercial em cláusula de contrato.
Checklist para colar no mural da recepção
| Quando | Ação | Responsável |
|---|---|---|
| Faço hoje | Ligar bloqueio de tela em todas as máquinas | Quem cuida dos computadores |
| Faço hoje | Encerrar acessos de quem já saiu da clínica | Gestor |
| Faço hoje | Retirar senhas de papéis, planilhas e grupos | Toda a equipe |
| Faço hoje | Ativar dois fatores no e-mail e no banco | Dono ou gestor |
| Esta semana | Criar usuário individual com perfil por papel | Gestor e suporte do sistema |
| Esta semana | Instalar gerenciador de senhas para a equipe | Cada colaborador |
| Esta semana | Publicar por escrito a proibição do e-mail pessoal | Dono |
| Esta semana | Treinamento de 30 minutos contra phishing | Gestor ou encarregado |
| Este mês | Backup externo automático e teste de restauração | TI terceirizada ou fornecedor |
| Este mês | Atualização automática e troca de máquina sem suporte | Quem cuida dos computadores |
| Este mês | Termo de confidencialidade assinado por todos | Gestor, com modelo do jurídico |
| Este mês | Escrever a política de segurança em duas páginas | Dono e encarregado |
Depois disso, entra a rotina trimestral, que é o que impede tudo voltar ao estado anterior: conferir a lista de usuários ativos e desativar o que sobrou, testar de fato a restauração de um backup, revisar quem acessa o quê e reler a trilha de auditoria procurando acesso fora do horário ou volume estranho de exportação.
Segurança da informação em clínicas não é um projeto com data de término. É um conjunto pequeno de hábitos que, uma vez instalados, custam poucos minutos por mês e evitam o único cenário que realmente machuca: descobrir o problema pelo telefonema de um paciente perguntando por que os dados dele estão circulando.
Perguntas frequentes
Em quanto tempo a clínica precisa comunicar um vazamento de dados à ANPD?
O prazo é de três dias úteis contados do conhecimento do incidente, conforme a Resolução CD/ANPD nº 15/2024, que regulamenta o artigo 48 da LGPD. A comunicação é devida quando o incidente puder acarretar risco ou dano relevante ao titular, situação comum em clínicas porque dado de saúde é dado sensível pelo artigo 11 da lei. Mesmo quando a clínica conclui que não há dever de comunicar, o incidente deve ser registrado internamente como prova de diligência.
É permitido a recepção inteira usar um único login no sistema da clínica?
Não é uma prática defensável. Sem usuário individual não existe trilha de auditoria útil, e a clínica fica sem como demonstrar quem abriu, imprimiu ou exportou cada prontuário. Isso colide com o princípio da necessidade da LGPD e com o sigilo profissional, e deixa a clínica sem prova justamente quando ela é a parte que precisa comprovar boas práticas.
O que fazer nas primeiras horas se o computador da clínica for atingido por ransomware?
Isole a máquina da rede tirando o cabo e desligando a conexão sem fio, mas não desligue o equipamento, não formate e não apague arquivos, porque isso destrói evidência. Avise o responsável pela clínica, o parceiro de TI e o encarregado pelo tratamento de dados, e verifique se outras máquinas foram atingidas. Não pague resgate: não há garantia de devolução e a cópia que o criminoso já levou não é apagada pelo pagamento.
Consultório pequeno é obrigado a ter um encarregado de dados (DPO)?
A LGPD exige que o controlador indique um encarregado, mas o regulamento da ANPD para agentes de tratamento de pequeno porte flexibiliza essa indicação, desde que a clínica disponibilize um canal de comunicação claro com o titular dos dados. Na prática, mesmo o consultório pequeno precisa ter alguém nomeado como responsável interno e um endereço público para receber pedidos e reclamações. Como dado de saúde é sensível, a recomendação é formalizar esse papel por escrito.
Posso enviar exame ou laudo de paciente por WhatsApp ou e-mail pessoal?
Conta pessoal não pode ser auditada nem revogada quando o colaborador sai, e o arquivo permanece no aparelho e na nuvem particular dele por tempo indeterminado. O caminho seguro é o compartilhamento por área restrita ou link com acesso controlado, em que se sabe quem acessou e quando. Se o envio por mensagem for inevitável, ele deve estar previsto na política interna, com autorização registrada do paciente e o mínimo de dado necessário.
Backup em HD externo dentro da clínica é suficiente para proteger o prontuário?
Não. HD conectado à máquina é criptografado junto no ataque de ransomware, e HD guardado na gaveta se perde no mesmo incêndio, furto ou alagamento que atinge o servidor. Siga a lógica de três cópias, dois tipos de mídia e uma cópia fora da clínica, e agende um teste de restauração, porque backup nunca testado costuma falhar exatamente no dia em que é necessário.
