Ransomware em saúde: o que a LGPD exige nas primeiras 72 horas

Em agosto de 2023, um hospital universitário do Sul do Brasil foi atingido por ransomware. Os atacantes criptografaram servidores de prontuários, PACS e sistemas de agendamento. O hospital demorou 9 dias para notificar a ANPD. A multa não foi o maior problema: foi a cobertura do Fantástico comparando a resposta brasileira com hospitais americanos que notificaram o HHS em 24 horas.

O incidente não foi excepcional. Foi rotina para 2026.

O cenário real

De acordo com o relatório CrowdStrike 2024, saúde é o terceiro setor mais atacado por ransomware globalmente — e o mais atacado no Brasil, segundo dados da Trend Micro compilados pelo CERT.br. O tempo médio entre invasão e descoberta no setor de saúde é de 197 dias (IBM Security, Cost of a Data Breach 2023). Quando o ataque usa dados de saúde como alavanca de extorsão pública, o custo reputacional se acumula durante cada um desses dias de silêncio.

O que a LGPD realmente exige

O Art. 48 da LGPD e a Resolução CD/ANPD nº 15/2024 (Regulamento de Comunicação de Incidente de Segurança) estabelecem:

Prazo de comunicação à ANPD: 3 dias úteis a partir do conhecimento do incidente (comunicação preliminar). O prazo complementar, com detalhes da investigação, é de 20 dias úteis.

Conteúdo obrigatório da comunicação preliminar:

• Natureza dos dados afetados e categorias (dados sensíveis de saúde têm tratamento diferenciado)
• Número estimado de titulares afetados
• Medidas técnicas e de segurança adotadas
• Riscos e medidas mitigatórias
• DPO responsável pelo acompanhamento

Comunicação aos titulares: obrigatória quando o incidente pode causar risco ou dano relevante. Em saúde, a presunção é sempre de risco relevante — dados de saúde são categoria especial.

O erro mais comum

A maioria dos hospitais notifica a ANPD com base no que sabe no momento. O problema: a equipe técnica ainda está em modo de contenção e não quer emitir declarações definitivas. O resultado é uma comunicação inicial que subestima o impacto — e uma comunicação complementar que contradiz a primeira.

A solução é separar funções: a comunicação à ANPD é responsabilidade do DPO, com suporte jurídico. O incident response técnico corre em paralelo. Os dois não podem se bloquear mutuamente.

Comunicação pública: o que dizer antes de saber tudo

A tentação de esperar pela investigação completa é fatal. A imprensa não espera. As famílias de pacientes não esperam. O vácuo informacional é preenchido por especulação — sempre no pior cenário.

O modelo de comunicado preliminar recomendado inclui:

• Confirmação do incidente (sem especificar vetor se ainda em investigação)
• Medidas imediatas adotadas (sistemas isolados, equipe técnica acionada)
• O que não foi afetado (quando verificável)
• Canal de contato para dúvidas de pacientes
• Previsão de próxima comunicação (com data e hora)

Não inclui: confirmação de pagamento de resgate, nome do grupo atacante (se não confirmado), número exato de registros afetados (se ainda em apuração).

Prontidão preventiva

O Retainer de Prontidão da frente saude.cc | Resposta inclui playbook completo para incidentes cibernéticos: checklist de 72h, modelos de comunicados regulatórios e públicos, cadeia de notificação por cargo, e linha direta para ativação emergencial.

Em ransomware, cada hora de atraso na comunicação amplifica o dano reputacional. Não improvise no momento do incidente.