Incidente de segurança LGPD: lições do FGC para a saúde

O vazamento no FGC mostra, fora da saúde, os prazos e o conteúdo de comunicação que hospitais e operadoras precisam dominar.

O que aconteceu

O incidente de segurança LGPD mais comentado da semana envolve o Fundo Garantidor de Créditos (FGC). Em 5 de novembro de 2026, o fundo informou ter sofrido acesso não autorizado a seu sistema, com exposição de dados pessoais de investidores. Segundo a imprensa, a suspeita foi identificada em 26 de outubro. O FGC afirmou ter comunicado a ANPD, adotado medidas de contenção, restringido acessos, revisado permissões e preservado evidências. Até o momento, não há indício de divulgação ou uso indevido dos dados, nem de perda financeira.

Entre os dados citados estão nome, CPF, e-mail e data de nascimento. O número de afetados não foi divulgado, e há relatos divergentes sobre o estágio das notificações individuais: um veículo fala em titulares já notificados; outro, em comunicações ainda em andamento pelos canais validados.

Por que isso importa para o setor de saúde

O FGC não é uma instituição de saúde, mas o caso é um espelho útil. Hospitais, operadoras e laboratórios concentram bases ainda mais sensíveis e enfrentam o mesmo dilema: entre a suspeita e a comunicação pública costuma haver um intervalo, e é nele que a conformidade se decide.

Dois pontos merecem atenção do gestor. O primeiro é o intervalo de cerca de dez dias entre a identificação da suspeita (26/10) e o comunicado público (5/11). Esse intervalo não é, por si só, irregular, mas precisa estar documentado e justificado. O segundo é o risco derivado: dados de identificação e contato alimentam golpes de engenharia social contra os próprios titulares nas semanas seguintes.

O que a regulamentação exige

A base é o art. 48 da LGPD: o controlador deve comunicar à ANPD e ao titular a ocorrência de incidente que possa acarretar risco ou dano relevante. O art. 48, § 1º, lista o conteúdo mínimo, e o § 2º prevê que a ANPD verificará a gravidade do incidente.

A Resolução CD/ANPD nº 15/2024 detalha o procedimento:

• Risco relevante (art. 5º): exige que o incidente possa afetar significativamente interesses e direitos fundamentais dos titulares e envolva, cumulativamente, ao menos um critério: dados sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros, dados de autenticação, dados protegidos por sigilo ou tratamento em larga escala.
• Prazo (art. 6º, caput e § 1º): três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais.
• Quem comunica (art. 6º, § 5º): o controlador, por meio do Encarregado ou de representante constituído, com comprovação do vínculo.
• Complemento (art. 6º, § 3º): as informações podem ser complementadas, de forma fundamentada, em até vinte dias úteis.
• Titular (art. 9º): mesmo prazo de três dias úteis, em linguagem simples, de forma direta e individual quando possível, com natureza dos dados, riscos, medidas adotadas e contato do Encarregado.
• Registro (art. 10): todo incidente deve ser registrado, inclusive os não comunicados, pelo prazo mínimo de cinco anos.

Note a expressão do art. 6º, § 1º: o prazo corre do conhecimento de que houve afetação de dados pessoais, e não da primeira suspeita. Por isso a documentação da linha do tempo da apuração é decisiva.

Implicações práticas para o Encarregado e o gestor

Na saúde, os critérios do art. 5º raramente deixam dúvida: dados de saúde são sensíveis, e muitos incidentes envolvem também idosos, crianças e dados financeiros de faturamento. A presunção, portanto, tende a ser de risco relevante, o que pressiona o prazo de três dias úteis.

Três fragilidades aparecem com frequência. A primeira é a ausência de um marco formal para definir quando a instituição “tomou conhecimento”. A segunda é a dificuldade de identificar quais titulares foram afetados quando os dados estão em bases descentralizadas, o que atrasa a comunicação individual. A terceira é a falta de alinhamento entre TI, jurídico, comunicação e Encarregado, que leva a mensagens inconsistentes aos titulares.

O que fazer a partir de agora

1. Defina o marco de conhecimento. Registre em procedimento o que caracteriza a confirmação de afetação de dados pessoais e quem a declara.
2. Prepare modelos prontos. Mantenha minutas de comunicação à ANPD, com todos os itens do art. 6º, § 2º, e de comunicação ao titular, em linguagem simples, conforme o art. 9º.
3. Mapeie onde estão os dados. Sem inventário atualizado, identificar titulares afetados em três dias úteis é inviável.
4. Antecipe os golpes derivados. Inclua na comunicação orientação para que o titular desconfie de contatos não solicitados e não clique em links; use canais oficiais.
5. Mantenha o registro. Documente também os incidentes que não foram comunicados, com a justificativa, por no mínimo cinco anos (art. 10).
6. Teste o fluxo. Faça um exercício de mesa por semestre, envolvendo diretoria, TI, jurídico e comunicação.

Como o ecossistema HDPO pode ajudar

O módulo de Gestão de Incidentes do PROTEGON organiza a linha do tempo, os campos exigidos pela Res. 15/2024 e o registro de cinco anos, enquanto o DPOaaS da HDPO apoia o Encarregado na avaliação de risco e na comunicação.