Só 30% dos estabelecimentos de saúde têm plano de resposta a incidentes de dados: exigências e protocolo prático

13 min. de leitura

Resposta rápida: Segundo a pesquisa TIC Saúde 2025 (divulgada em maio de 2026 pelo Cetic.br/NIC.br), apenas 30% dos estabelecimentos de saúde com internet possuem um plano de resposta a incidentes de segurança para dados pessoais, e somente 42% contam com uma política formal de segurança da informação. Embora ferramentas operacionais de base estejam disseminadas — como antivírus (84%) e proteção por senha (83%) —, a maioria dos serviços não possui fluxos documentados para conter vazamentos ou investigar acessos indevidos. Sob a Resolução CD/ANPD nº 15/2024, o controlador tem o prazo de três dias úteis para comunicar incidentes com risco ou dano relevante à ANPD e aos titulares, exigindo governança compartilhada entre TI, corpo clínico, diretoria e encarregado de dados (DPO).

A digitalização dos serviços médicos no Brasil avançou com mais rapidez do que a estruturação dos processos de governança de dados. Ter antivírus e senhas ativas protege a infraestrutura de rede, mas não define quem toma decisões, como conter um vazamento de prontuários ou quais medidas operacionais adotar perante as autoridades.

O descompasso entre proteção perimetral e resposta a incidentes

Os resultados da TIC Saúde apontam uma separação nítida entre a contratação de ferramentas básicas de tecnologia e a capacidade real de gerenciar crises de privacidade:

Para comparar o nível de adoção entre controles técnicos e processos formais de governança, a tabela a seguir consolida os indicadores apurados pelo levantamento:

Prática investigada pela TIC Saúde 2025	Percentual de estabelecimentos	Classificação do controle
Uso de software antivírus	84%	Segurança tecnológica de perímetro
Proteção por senha no acesso a sistemas	83%	Autenticação e controle de acesso
Treinamento de funcionários em segurança	47%	Capacitação e cultura organizacional
Criptografia da base de dados	42%	Proteção técnica de dados em repouso
Política de segurança da informação formal	42%	Governança e diretrizes institucionais
Plano de resposta a incidentes de dados pessoais	30%	Capacidade de ação e resposta a crises

Esse contraste revela uma vulnerabilidade operacional: grande parte das instituições prepara-se apenas para tentar barrar ameaças externas, mas não possui procedimentos para conter falhas internas, desvios de conduta ou acessos indevidos.

O que é um plano de resposta a incidentes de segurança de dados?

O plano de resposta a incidentes é o documento operacional que orienta as decisões de clínicas, laboratórios e hospitais diante de qualquer evento adverso que comprometa a confidencialidade, integridade ou disponibilidade de dados pessoais.

Na saúde, esses incidentes envolvem dados pessoais sensíveis, prontuários eletrônicos, traçados de exames, imagens diagnósticas (DICOM) e histórico de prescrições.

Ações mínimas que o plano de resposta precisa estruturar:

• Triagem imediata: canais objetivos para recepção de alertas de falhas ou comportamentos anômalos;
• Diagnóstico de alcance: identificação rápida dos servidores, softwares, pacientes e tipos de dados afetados;
• Contenção técnica: isolamento de redes, suspensão de integrações via API ou revogação de credenciais comprometidas;
• Preservação de evidências: guarda de logs de auditoria e registros de acesso para apuração pericial;
• Avaliação de impacto: verificação da probabilidade de risco ou dano relevante aos pacientes;
• Rito de notificação regulatória: avaliação do dever de comunicação formal à ANPD e aos titulares;
• Plano de remediação: aplicação de correções estruturais para impedir a reincidência do vetor de ataque.

O plano abrange eventos que vão além de invasões por hackers ou ataques de ransomware. Envio de laudo médico ao paciente errado, descarte incorreto de formulários físicos, perda de notebooks corporativos ou visualização de prontuários por profissionais sem relação com o atendimento exigem investigação e registro formal.

Por que a resposta a incidentes envolve a diretoria e não apenas o time de TI?

Embora a equipe de tecnologia execute a contenção técnica dos servidores, as consequências de uma violação de dados clínicos atingem a continuidade assistencial, a responsabilidade civil da clínica e a reputação da marca.

Para organizar o fluxo de tomada de decisão, a matriz abaixo descreve a divisão de responsabilidades durante uma crise:

Área ou função institucional	Atribuição direta durante a gestão do incidente
Diretoria e Alta Gestão	Autorizar recursos emergenciais, definir prioridades assistenciais e aprovar posicionamentos institucionais.
TI e Segurança da Informação	Conter o vetor de ataque, isolar bases de dados, preservar evidências técnicas e restabelecer sistemas.
Encarregado de Dados (DPO)	Coordenar a investigação sob a ótica da LGPD, articular equipes e conduzir a comunicação com a ANPD.
Assessoria Jurídica	Analisar riscos de litígio, avaliar obrigações regulatórias e revisar termos contratuais com fornecedores.
Corpo Clínico e Enfermagem	Acionar protocolos manuais de atendimento para evitar prejuízos à segurança do paciente internado.
Comunicação Institucional	Centralizar o contato com titulares afetados e imprensa, evitando desencontro de informações.

Centralizar a resposta a incidentes em uma única pessoa traz riscos operacionais críticos caso ela esteja inacessível. O protocolo deve designar substitutos formais para cada função-chave.

Desigualdades entre os setores público e privado

A pesquisa TIC Saúde 2025 registrou diferenças expressivas na maturidade de segurança da informação conforme a gestão dos estabelecimentos:

Para evidenciar os contrastes setoriais, a tabela a seguir compara a adoção de governança entre as redes pública e privada:

Prática de governança investigada	Estabelecimentos públicos	Estabelecimentos privados
Política formal de segurança da informação	28%	54%
Plano de resposta a incidentes de dados pessoais	15%	42%

No setor público, a gestão de TI costuma ser centralizada pelas secretarias municipais ou estaduais de saúde, o que por vezes afasta o plano de resposta da ponta que atende o paciente.

No setor privado, a contratação direta de fornecedores múltiplos exige atenção redobrada: a clínica precisa verificar se seus parceiros de prontuário eletrônico e telediagnóstico cumprem requisitos compatíveis de segurança cibernética.

Resposta a incidentes de dados versus contingência operacional

Embora frequentemente acionados em conjunto, o plano de resposta a incidentes e o plano de contingência possuem naturezas distintas.

Para evitar confusões conceituais na operação, a tabela abaixo confronta os dois instrumentos:

Cenário operacional	Instrumento acionado	Foco central da resposta
Queda do link de fibra óptica da clínica	Plano de Contingência	Manter a rotina de exames e consultas via fluxos manuais pré-aprovados.
Laudo com diagnóstico enviado ao e-mail errado	Resposta a Incidentes	Mapear o vazamento de dados sensível, conter o acesso e apurar danos ao titular.
Ataque cibernético com bloqueio de prontuários	Ambos os planos	Contingência assume a assistência; Resposta a Incidentes isola e perícia a rede.

Uma indisponibilidade de internet não implica vazamento de dados, assim como um acesso não autorizado a prontuários pode ocorrer silenciosamente sem que o sistema saia do ar.

Para aprofundar as medidas de suporte contra quedas sistêmicas, leia nosso protocolo sobre plano de contingência em telemedicina e manutenção de laudos.

Prazos e regras da ANPD para comunicação de incidentes

A Lei Geral de Proteção de Dados (Art. 48 da Lei nº 13.709/2018) determina que o controlador deve comunicar à autoridade e aos titulares a ocorrência de incidentes que possam acarretar risco ou dano relevante.

A Resolução CD/ANPD nº 15/2024 estabelece:

• Prazo de notificação: o controlador deve comunicar a ocorrência à ANPD e aos titulares afetados em até três dias úteis, contados a partir do momento em que teve ciência de que o incidente afetou dados pessoais;
• Conteúdo obrigatório da notificação: descrição dos dados sensíveis violados, número de titulares impactados, riscos assistenciais e medidas de reversão adotadas;
• Registro compulsório de incidentes: as instituições de saúde devem manter um registro interno de todos os incidentes por no mínimo cinco anos, incluindo as ocorrências avaliadas como de baixo impacto que não foram remetidas à autoridade.

Postergar a resposta técnica sob a alegação de “aguardar a conclusão da perícia forense” pode acarretar sanções administrativas graves da ANPD por descumprimento do prazo regulatório.

Roteiro em quatro etapas para estruturar a resposta na sua unidade

1. Estabelecer um canal seguro de reporte interno: colaboradores da recepção, enfermagem e corpo clínico devem saber a quem reportar comportamentos anômalos em telas ou extravio de papéis, sem burocracia ou receio de retaliação;
2. Mapear inventário de dados e parceiros de TI: identificar detalhadamente quais dados clínicos trafegam entre prontuário, PACS e plataformas de telediagnóstico, alinhando as responsabilidades contratuais detalhadas em nosso material sobre integração de sistemas em saúde;
3. Simular cenários de crise (Tabletop Exercises): treinar a equipe administrativa e de TI com exercícios práticos (ex.: entrega de exames trocados ou ataque de vírus);
4. Auditar fornecedores de serviços digitais: assegurar que contratos com plataformas em nuvem estipulem prazos compatíveis para notificação de instabilidades e contenção de vazamentos.

O que muda para operações de telemedicina e telelaudos?

Em serviços de saúde digital, o tráfego de dados é descentralizado: o exame é adquirido no equipamento local (Raio-X, Tomografia, ECG), enviado via rede para a nuvem e distribuído para médicos especialistas laudadores em diferentes regiões.

Adotar um fluxo automatizado de laudos médicos confere agilidade diagnóstica, mas exige governança sobre o tráfego do arquivo:

• Criptografia ponta a ponta na transmissão dos dados;
• Acesso restrito a médicos especialistas com validação por CRM e RQE;
• Rastreabilidade por meio de logs de auditoria para cada visualização ou download de laudo.

A Portal Telemedicina opera com arquitetura em nuvem de alta segurança, em conformidade com as diretrizes do CFM e os parâmetros da LGPD. Ao fornecer telediagnóstico para redes de clínicas e hospitais em todo o país, nossa plataforma assegura a rastreabilidade integral dos laudos emitidos e oferece suporte técnico estruturado para apoiar a governança de dados das instituições parceiras.

Governança contínua e proteção de dados sensíveis na saúde

Os indicadores da pesquisa TIC Saúde evidenciam que a maturidade em saúde digital exige ultrapassar a simples aquisição de antivírus e firewalls. Em um ambiente assistencial onde os registros clínicos determinam condutas médicas vitais, a governança de dados pessoais tornou-se uma extensão direta da segurança do paciente.

Instituições de saúde que estruturam planos objetivos de resposta a incidentes, capacitam suas equipes e alinham suas operações tecnológicas às diretrizes da ANPD protegem não apenas seu patrimônio jurídico, mas a confiança de seus pacientes. Ao integrar tecnologias em nuvem de ponta com protocolos de governança maduros, como os disponibilizados pela Portal Telemedicina, hospitais e redes de atendimento consolidam uma operação resiliente, ética e plenamente preparada para os desafios da medicina digital.

Perguntas Frequentes (FAQ)

 

O que o índice de 30% da TIC Saúde indica sobre a segurança hospitalar?

Indica que a maioria dos serviços médicos brasileiros adota soluções básicas de proteção (antivírus e senhas), mas ainda carece de processos formalizados para investigar, conter e reportar falhas de privacidade quando as barreiras de proteção são rompidas.

Qual é o prazo legal para notificar a ANPD sobre um vazamento de dados de saúde?

De acordo com a Resolução CD/ANPD nº 15/2024, o prazo é de três dias úteis, contados a partir da ciência formal de que o incidente envolveu dados pessoais com potencial de risco relevante aos titulares.

Ter antivírus corporativo dispensa a necessidade de um plano de resposta?

Não. O antivírus é um controle técnico de barreira perimetral. Ele não estabelece protocolos de escalonamento, investigações de responsabilidade, análise de dano aos pacientes nem atende às exigências legais de notificação da LGPD.

Todo incidente de dados na clínica deve ser notificado à ANPD?

Não. A notificação é obrigatória quando o evento acarretar risco ou dano relevante aos titulares (como exposição pública de prontuários com diagnósticos). Contudo, todas as ocorrências, mesmo as de menor gravidade, devem ser formalmente arquivadas no registro interno de incidentes da instituição por cinco anos.