Se acontecer um incidente

Se um incidente de segurança atingir dados dos seus pacientes, você é avisada em até 24 horas — individualmente, com o que aconteceu, o que foi atingido na sua conta, o que já foi feito, e a hora exata em que eu soube.

Essa hora não é detalhe: é dela que começa a contar o prazo que a lei dá a você. Por isso ela vai escrita na mensagem.

Pela LGPD, quem decide as finalidades do tratamento de um dado é o controlador, e quem o trata por conta dele é o operador. No prontuário dos seus pacientes, a controladora é você e o operador é o Sessões.

A consequência é direta: num incidente que atinja dado de paciente, quem comunica a ANPD e os pacientes é você. O meu dever é te dar, a tempo, tudo o que essa comunicação exige — e é por isso que a seção 4 existe.

Nos dados da sua conta — o seu e-mail, a sua senha, as suas faturas —, o controlador sou eu, e quem comunica sou eu.

A Resolução CD/ANPD nº 15/2024 dá três dias úteis para comunicar à ANPD e aos titulares, contados do conhecimento de que o incidente afetou dados pessoais — não da data em que ele aconteceu, e não do fim da apuração.

A norma dá seis dias úteis a agentes de pequeno porte, e o Sessões é um. Aqui dentro o plano opera em três: a classificação pode ser contestada no pior momento possível, e um plano que mira o prazo longo perde o curto. Os seis dias são folga, não meta.

Não saber ainda a extensão não adia nada. Comunica-se no prazo com o que se sabe, e complementa-se em até vinte dias úteis. Esperar a apuração terminar é o erro mais comum e o mais caro.

Está pronto porque texto escrito às três da manhã sai errado. É um modelo — os colchetes são o que você preenche —, e ele já vem na ordem dos sete itens que a norma exige da comunicação ao titular.

A norma pede linguagem simples e comunicação individual — não é estilo, é o art. 9º. E o modelo deliberadamente não pede desculpas em três parágrafos, não explica a arquitetura do sistema e não sugere que a pessoa não precisa se preocupar: quem decide isso é ela.

Para a sua comunicação à ANPD, a parte técnica — o que foi atingido, quais medidas existiam antes e depois, qual foi a causa — eu escrevo para você. É a parte que só eu tenho como responder.

Nesta ordem, e a ordem tem motivo: anotar a hora em que soube; cortar o caminho do incidente rotacionando as credenciais; congelar os registros antes que eles rotacionem sozinhos; e só então delimitar o que foi atingido, conta por conta.

Derrubar o produto não é a primeira medida, e isso é decisão: uma psicóloga que não abre a agenda no meio da manhã tem paciente na porta. Cortar o caminho vem antes de cortar o acesso de quem está trabalhando.

E cada psicóloga afetada recebe um aviso com o que aconteceu na conta dela, e não uma nota geral dizendo que “algumas contas podem ter sido afetadas” — isso transferiria para dezenas de pessoas a tarefa de descobrir se são elas.

A LGPD fala em acesso não autorizado e em situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão. Perder registro é o caso mais óbvio de perda — e, num sistema que guarda prontuário, é o pior dos três cenários previstos no plano.

Se acontecer, você recebe o que foi perdido, com precisão — quais dias, quais registros. A guarda de cinco anos é obrigação sua perante o Conselho, e uma comunicação vaga aqui te impediria de reconstruir o que falta.

O que existe hoje contra isso está escrito, com número, na página de segurança: backup diário, sete dias de retenção, e o que a granularidade diária custa no pior caso.

Não existe SLA de disponibilidade aqui. Prometer um tempo no ar que não se mede é a mesma classe de frase que “seus dados estão 100% seguros” — não significa nada, e vira citação de e-mail no dia do incidente.

E não há promessa de que não vai acontecer. Há um plano escrito para quando acontecer, e a parte dele que é sua está nesta página.

Escreva para oi@sessoes.com.br. Todo incidente fica registrado — inclusive o que, depois de avaliado, não precisou ser comunicado, e nesse caso com o motivo escrito. É exigência da norma, e é o que separa uma decisão de uma omissão.

Não temos programa de recompensa. Temos o compromisso de não tratar quem avisa como problema.