O que aconteceu e o que a lei estabelece?
O Projeto Comprova publicou, em 16 de setembro de 2026, uma verificação sobre criminosos que usam informações de pacientes para pedir pagamentos urgentes a familiares. O uso de dados verdadeiros não comprova que o contato seja legítimo nem, isoladamente, que o hospital tenha sofrido vazamento. Dados de saúde são dados pessoais sensíveis segundo a LGPD. Hospitais, clínicas, operadoras e demais agentes devem adotar medidas de segurança e avaliar incidentes capazes de gerar risco ou dano relevante. Nas relações privadas, o Código de Defesa do Consumidor pode ser aplicável, mas a responsabilidade do hospital, do plano ou do banco não é automática: depende da falha, do nexo com o prejuízo e das provas do caso.
O que aconteceu?
Criminosos entram em contato com familiares de pessoas internadas e se apresentam como médicos, enfermeiros ou funcionários do hospital. Para tornar a abordagem convincente, podem mencionar nome do paciente, setor, médico responsável, diagnóstico, cirurgia ou exame. Em seguida, exigem Pix ou transferência com urgência.
Esses dados podem ter sido obtidos por vazamento, acesso indevido, documentos descartados, redes sociais, engenharia social ou outras fontes. A origem precisa ser apurada antes de atribuir responsabilidade.
Quais são os principais sinais de golpe?
- cobrança inesperada por WhatsApp ou ligação;
- ameaça de cancelamento de cirurgia ou tratamento;
- pressão para pagar imediatamente ou manter segredo;
- conta em nome de pessoa física ou chave diferente dos dados oficiais;
- recusa em enviar cobrança pelos canais administrativos;
- pedido de senha, código bancário ou fotografia do cartão;
- resistência quando a família informa que confirmará na recepção.
Como confirmar uma cobrança?
- Ligue para o número divulgado no site oficial do hospital.
- Consulte a recepção, o setor financeiro, a ouvidoria ou o serviço social.
- Confirme com o médico responsável pelo canal fornecido durante a internação.
- Verifique se existe cobrança formal, nota, orçamento ou autorização do plano.
- Confira o nome e o CPF ou CNPJ do destinatário antes de qualquer pagamento.
Em hospitais públicos ou atendimentos integralmente cobertos pelo SUS, pedidos de pagamento por exames, medicamentos ou procedimentos exigem cautela ainda maior.
Fiz o Pix: o que devo fazer?
Avise o banco imediatamente pelos canais oficiais, informe a fraude, peça a abertura da contestação, solicite avaliação do MED quando cabível e guarde o protocolo. Depois, registre boletim de ocorrência e comunique formalmente o hospital e o plano de saúde. Peça que preservem registros, verifiquem acessos indevidos e esclareçam se houve incidente. O MED não garante a recuperação: o resultado depende da análise das instituições e da existência de recursos bloqueáveis.
O uso de informações médicas prova vazamento no hospital?
Não. O conhecimento de dados verdadeiros é um indício relevante, mas pode ter origem em sistemas, fornecedores, documentos físicos, redes sociais, mensagens da família ou outras fontes. Uma acusação de vazamento exige evidências.
Quais direitos estão envolvidos?
Dados de saúde recebem proteção reforçada pela LGPD. A organização deve observar finalidade, necessidade, transparência, segurança e prevenção, além de avaliar a comunicação à ANPD e aos titulares quando um incidente puder acarretar risco ou dano relevante. Nas relações privadas, o artigo 14 do CDC pode ser aplicável, mas também exige análise das circunstâncias e das hipóteses legais de exclusão.
Fontes consultadas
- Projeto Comprova/UOL — golpe do falso médico, 16/09/2026
- Hospital Moinhos de Vento — comunicado sobre cobranças
- Lei nº 13.709/2018 — LGPD
- Código de Defesa do Consumidor
- Código Penal
- MJSP — orientações para perdas financeiras
- ANPD — Regulamento de Comunicação de Incidente de Segurança
Exemplo prático
Um familiar recebe mensagem de quem se apresenta como médico, cita o nome do paciente, o setor de internação e um exame supostamente urgente, e pede Pix para uma conta de pessoa física. A informação correta sobre a internação aumenta a aparência de legitimidade, mas a cobrança deve ser confirmada com a recepção ou o setor financeiro por um canal oficial e independente.
Documentos e registros que devem ser preservados
- capturas integrais da conversa, áudios e registros de chamadas
- número, nome e fotografia usados no perfil
- chave Pix, identificação do destinatário e comprovante da transferência
- extrato, contestação e protocolos bancários
- boletim de ocorrência
- documento de internação e comunicações oficiais do hospital
- protocolos do hospital, da ouvidoria e do plano de saúde
- aviso de privacidade e resposta sobre eventual incidente
- prova das informações médicas conhecidas pelo golpista
- comprovantes de despesas e de outras consequências
Providências recomendadas
- interromper o contato e não clicar em links enviados
- confirmar a cobrança por telefone oficial, recepção ou setor financeiro
- se houve pagamento, avisar imediatamente o banco e pedir a contestação aplicável
- registrar boletim de ocorrência com os dados da abordagem
- comunicar formalmente o hospital e o plano de saúde
- solicitar a preservação dos registros de acesso e atendimento
- proteger contas e credenciais se outras informações foram expostas
- organizar uma cronologia com mensagens, pagamentos e protocolos
A vítima pode contestar imediatamente a transação e solicitar avaliação do Mecanismo Especial de Devolução, quando cabível. Também pode comunicar o hospital e a operadora, procurar as respectivas ouvidorias, exercer direitos previstos na LGPD, pedir preservação de registros e, conforme a relação, utilizar Consumidor.gov.br e Procon. Uma petição ou denúncia à ANPD pode ser avaliada quando houver indícios de tratamento irregular por uma organização identificável. A ANPD não recupera o Pix nem substitui a investigação policial. Notificação extrajudicial ou medida judicial devem ser proporcionais às provas, ao prejuízo e à urgência.
Quando buscar orientação jurídica?
Pode ser útil buscar análise individual quando o valor não for recuperado; o banco negar a contestação sem esclarecimento; os criminosos conhecerem dados médicos sigilosos; outros familiares forem abordados; o hospital confirmar um incidente; não houver resposta sobre a origem das informações; existir suspeita de acesso interno indevido; a vítima for idosa ou especialmente vulnerável; surgirem outras fraudes; ou houver urgência para preservar registros.
Perguntas frequentes
Todo pedido de pagamento feito pelo hospital é golpe?
Não. Hospitais privados podem realizar cobranças legítimas. Pedidos inesperados, urgentes e fora dos canais administrativos devem ser confirmados diretamente com a instituição.
Se o golpista sabia o nome do médico, houve vazamento?
É uma possibilidade, mas não está automaticamente provada. A informação pode ter vindo de diferentes fontes, e a origem precisa ser apurada.
O banco é obrigado a devolver o Pix?
Não automaticamente. A instituição deve analisar a contestação e os mecanismos aplicáveis. A recuperação também pode depender da existência de saldo bloqueável.
O boletim de ocorrência recupera o dinheiro?
Não. Ele documenta o fato e auxilia a investigação, mas a transação também deve ser contestada perante o banco.
Posso pedir os registros de acesso ao prontuário?
O titular pode solicitar informações sobre o tratamento dos dados. A entrega de registros técnicos completos depende da segurança e dos direitos de terceiros, mas a instituição deve apurar acessos suspeitos.
Devo reclamar à ANPD?
A medida pode ser avaliada quando houver indícios de tratamento irregular por uma organização identificável, especialmente após tentativa de solução direta. A ANPD não investiga o estelionato nem determina automaticamente o ressarcimento do Pix.
Existe garantia de resultado?
Não. A orientação depende dos fatos e documentos e não representa promessa de resultado.
Conclusão
O golpe do falso médico explora um momento de medo e vulnerabilidade. Informações verdadeiras aumentam a credibilidade da abordagem, mas não substituem a confirmação pelos canais oficiais. Se o pagamento ocorreu, a vítima deve agir rapidamente, comunicar o banco, preservar as provas, registrar a ocorrência e avisar o hospital. A eventual responsabilidade do hospital, do plano ou do banco depende da demonstração da falha, do nexo com o prejuízo e das circunstâncias concretas, sem promessa de recuperação ou indenização.
Leia também
- Meus dados foram vazados: o que fazer e como se proteger?
- Ocorreu um vazamento de dados na empresa: o que fazer nas primeiras horas?
- Recebi um Pix errado: como devolver sem cair em golpe?
- Como aplicar a LGPD em clínicas e consultórios?
Solicitar análise jurídica
Se houve pagamento, uso de dados médicos ou dúvida sobre a responsabilidade das instituições envolvidas, solicite uma análise dos documentos e das providências proporcionais ao caso.
Solicitar consulta jurídica