Glossário

O que é incidente de segurança?

Incidente de segurança é qualquer evento confirmado que comprometa a confidencialidade, a integridade, a disponibilidade ou a autenticidade de dados pessoais, como acesso indevido, vazamento, perda ou alteração não autorizada. No consultório de psicologia, pode atingir prontuários e outros dados sensíveis e, conforme o risco, exige comunicação à ANPD e aos pacientes.

Incidente de segurança é qualquer evento confirmado que comprometa a confidencialidade, a integridade, a disponibilidade ou a autenticidade de dados pessoais, como acesso indevido, vazamento, perda ou alteração não autorizada. No consultório de psicologia, pode atingir prontuários e outros dados sensíveis e, conforme o risco, exige comunicação à ANPD e aos pacientes.

No contexto do trabalho do psicólogo

O psicólogo lida todos os dias com informações que a LGPD classifica como dado pessoal sensível: dados de saúde, histórico familiar, relatos íntimos. Quando essas informações escapam do controle, o prejuízo para o paciente pode ser grande, e o dever de sigilo profissional também é afetado.

Na maioria dos consultórios, o psicólogo é o controlador de dados, ou seja, quem decide como os dados dos pacientes são tratados. Por isso, cabe a ele adotar medidas de segurança para evitar incidentes e saber o que fazer se um deles acontecer.

Situações que podem ser incidentes

• Celular ou notebook com prontuários perdido ou roubado, sem senha.
• Envio de um relatório ou de uma mensagem para o paciente errado.
• Acesso de outra pessoa à conta do psicólogo em um sistema ou e-mail.
• Pasta física com fichas esquecida em local público.
• Arquivos apagados sem cópia de segurança, tornando os registros indisponíveis.
• Vazamento em um fornecedor que guarda dados do consultório.

Nem todo problema técnico é um incidente com dados pessoais. Uma queda do sistema por algumas horas, sem perda nem exposição de dados, por exemplo, é diferente de um acesso indevido a prontuários.

O que diz a regra de comunicação

A LGPD, no artigo 48, determina que o controlador comunique à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares o incidente que possa causar risco ou dano relevante. A Resolução CD/ANPD nº 15/2024 regulamentou essa comunicação e definiu o prazo de três dias úteis, contados a partir do conhecimento de que o incidente afetou dados pessoais, salvo prazo diferente em legislação específica.

Incidentes que envolvem dados sensíveis, como os de saúde, merecem atenção especial nessa avaliação de risco. Como as regras podem ser atualizadas, confira sempre a orientação vigente no site da ANPD.

Exemplo fictício

Um psicólogo percebe que o notebook onde guarda as evoluções dos pacientes foi furtado do carro. O aparelho tinha senha, mas os arquivos não estavam criptografados. Ele registra o ocorrido, anota quais pacientes podem ter sido afetados, troca as senhas das contas que usava no aparelho e avalia, com orientação especializada, se o caso exige comunicação à ANPD e aos pacientes dentro do prazo. Todos os dados deste exemplo são fictícios.

Cuidados importantes

• Prevenir é mais barato que remediar: senha nos aparelhos, autenticação de dois fatores, criptografia e cópias de segurança reduzem muito o risco.
• Registre tudo: data, o que aconteceu, quais dados e pacientes foram afetados e quais medidas foram tomadas. A trilha de auditoria de um sistema ajuda a reconstruir os fatos.
• Aja rápido: conter o problema primeiro, como trocar senhas ou bloquear um aparelho, limita o dano.
• Busque orientação: em caso de dúvida sobre a necessidade de comunicar, procure apoio jurídico ou do encarregado de dados, se houver.

Este verbete é uma orientação geral e não substitui a consulta à legislação, às normas da ANPD e a um profissional especializado.

Para ver como proteger o registro clínico no dia a dia, leia prontuário psicológico e LGPD e como proteger gravações e transcrições de sessões psicológicas. Para começar, Criar conta grátis leva menos de um minuto.