ANPD coloca Isac na mira por vazamento de dados de 500 mil pacientes
A Autoridade Nacional de Proteção de Dados (ANPD) abriu um Processo Administrativo Sancionador contra o Instituto Saúde e Cidadania (Isac), organização social responsável pela gestão de unidades públicas de saúde em diferentes estados do país. O motivo é grave: falhas na proteção de informações pessoais sensíveis de aproximadamente 500 mil pacientes, entre eles quase 80 mil crianças e adolescentes e cerca de 48 mil idosos.
O caso teve origem em um incidente de segurança registrado em 2025, decorrente de um ataque de ransomware que comprometeu os sistemas do Instituto. De acordo com as informações fornecidas à ANPD, o ataque teria afetado algo em torno de meio milhão de registros. A relevância do episódio não está apenas no volume de vítimas, mas sobretudo na natureza dos dados expostos, que envolvem saúde, uma das categorias mais sensíveis previstas pela Lei Geral de Proteção de Dados (LGPD).
Nos bancos de dados atingidos estavam informações de identificação básica – como nome completo e data de nascimento – combinadas com dados de saúde altamente detalhados. Entre os registros, constariam históricos clínicos, exames realizados, prontuários, prescrições médicas, registros de atendimentos ambulatoriais, internações, diagnósticos e procedimentos executados nas unidades administradas pelo Instituto. Esse conjunto de dados, se exposto ou utilizado de forma indevida, pode gerar discriminação, estigmatização e outros danos significativos aos titulares.
Para a ANPD, há indícios de que o Isac não adotou medidas de segurança, técnicas e administrativas suficientes para resguardar essas informações, como exige a LGPD. A Agência aponta possíveis violações ao dever de proteção de dados, à obrigação de comunicar incidentes de forma adequada aos titulares, à transparência quanto ao encarregado de proteção de dados (DPO) e ao cumprimento dos princípios da prevenção e da responsabilização. Em outras palavras, o problema não se restringe ao ataque em si, mas à forma como a instituição se preparou – ou deixou de se preparar – e reagiu ao incidente.
Quando questionado sobre a gravidade do vazamento e sobre os riscos concretos às pessoas afetadas, o Instituto procurou minimizar o impacto. O Isac alegou que os invasores teriam acessado apenas informações de caráter administrativo e bases relativas a contratos já encerrados, sem relevância para os titulares. No entanto, não apresentou comprovações técnicas robustas que sustentassem essa versão. Frente a essa ausência de evidências, a ANPD passou a considerar com cautela as declarações da entidade.
O processo apuratório também revelou falhas na forma de comunicação com os pacientes. Em vez de informar individualmente os titulares supostamente impactados, o Isac optou por divulgar apenas um aviso genérico em seu site institucional. O comunicado não trazia pontos essenciais exigidos pela LGPD e por regulamentações específicas sobre Comunicação de Incidentes de Segurança: não indicava com clareza a data do incidente, não detalhava quais tipos de dados foram afetados e tampouco explicitava quem eram os grupos de pessoas envolvidas, nem quais medidas técnicas e organizacionais haviam sido adotadas para mitigar o dano.
A Agência registrou ainda que, mesmo após sucessivas solicitações formais, o Isac não foi capaz de apresentar laudos, logs ou outros elementos técnicos que corroborassem suas alegações de baixo impacto. Esse comportamento reforçou a percepção de que houve falhas não apenas na prevenção e na resposta ao ataque, mas também na transparência com o órgão regulador e com a população atendida.
Outro ponto de preocupação é a ausência de informações claras sobre o encarregado pelo tratamento de dados pessoais (DPO) no portal do Instituto. A LGPD determina que o controlador indique um responsável e disponibilize seus canais de contato ao público, justamente para facilitar o exercício de direitos pelos titulares, como pedido de acesso, correção ou eliminação de dados. Ao não tornar esses dados públicos, o Isac fere um dos pilares da governança em proteção de dados: a comunicação direta e acessível com o cidadão.
Com a abertura do Processo Administrativo Sancionador, o Instituto Saúde e Cidadania passa a ter o prazo de dez dias úteis, contados a partir da intimação, para apresentar sua defesa. Nesse período, a organização poderá contestar as acusações, fornecer provas técnicas e explicar as medidas adotadas antes, durante e após o incidente. Apenas após a análise desses elementos a ANPD definirá se houve, de fato, infrações à LGPD e qual será a reprimenda aplicável.
As consequências jurídicas potencialmente envolvidas são significativas. As sanções administrativas previstas no artigo 52 da LGPD vão desde uma advertência formal até multa de até 2% do faturamento da pessoa jurídica, limitada ao teto legal, além de medidas mais severas como a suspensão parcial do funcionamento de bancos de dados ou mesmo a proibição total ou parcial do exercício de atividades de tratamento de dados pessoais. Em casos extremos, isso pode inviabilizar operações ligadas ao uso de sistemas de informação em saúde.
Caso o Instituto seja condenado, a ANPD não apenas aplicará uma eventual penalidade, como também deverá orientar a organização sobre quais correções e ajustes precisam ser implementados para adequação plena à legislação. Entre as medidas esperadas estão o fortalecimento da segurança da informação, a revisão de políticas internas, a capacitação de colaboradores e a estruturação de processos mais rígidos de gestão de incidentes. A meta é reduzir a exposição de pacientes a novos riscos e criar uma cultura permanente de proteção de dados.
O episódio reforça a crescente pressão regulatória sobre instituições de saúde, historicamente vistas como alvos estratégicos por cibercriminosos. Dados médicos, além de altamente sensíveis, costumam ser mantidos por longos períodos, o que amplia seu valor no mercado ilegal e aumenta o potencial de extorsão em ataques de ransomware. Quando esses dados envolvem crianças, adolescentes e idosos, grupos particularmente vulneráveis, o dever de cuidado das instituições se torna ainda mais rigoroso do ponto de vista ético e jurídico.
A realidade recente mostra um cenário preocupante: incidentes cibernéticos em hospitais, clínicas, laboratórios e operadoras de saúde vêm crescendo em frequência e sofisticação. Além do sequestro de dados, há riscos diretos à continuidade do atendimento, com sistemas fora do ar, cancelamento de exames e atrasos em procedimentos médicos. No contexto brasileiro, que já figura como um dos pontos mais sensíveis para ataques de ransomware na área da saúde na região, episódios como o do Isac servem como alerta para todo o setor.
A LGPD, por sua vez, não se limita a impor punições; ela estabelece parâmetros para boas práticas. Para instituições de saúde, isso passa por investimentos consistentes em segurança da informação, como controles de acesso rigorosos, criptografia de dados, backups estruturados, testes de invasão periódicos, monitoramento contínuo de redes e atualização constante de sistemas. Entretanto, a tecnologia por si só não é suficiente: é indispensável que haja políticas claras, treinamentos recorrentes com equipes assistenciais e administrativas e uma governança ativa de dados.
Outro ponto central é a gestão adequada de incidentes. A lei exige não apenas a proteção prévia, mas também uma resposta rápida, transparente e responsável quando algo dá errado. Isso inclui detecção ágil da invasão, contenção dos danos, avaliação do impacto sobre os titulares, comunicação clara com a ANPD e com os pacientes e registro detalhado de todas as ações realizadas. A forma como a instituição reage a um ataque pode atenuar ou agravar sua responsabilidade perante o regulador e, principalmente, diante da sociedade.
Para o paciente, a proteção de dados não é um detalhe burocrático, mas parte fundamental do direito à dignidade e à privacidade. Informações sobre doenças, tratamentos, hábitos de vida ou condições psicológicas podem, se expostas, afetar relações familiares, profissionais e sociais. Por isso, casos de vazamento em grande escala tendem a abalar a confiança não apenas na instituição diretamente envolvida, mas no sistema de saúde como um todo. Recuperar essa confiança exige transparência, responsabilização e melhorias concretas.
Especialistas em proteção de dados destacam que episódios como o do Isac tendem a acelerar a maturidade das organizações em privacidade e segurança. Processos sancionadores da ANPD funcionam como um sinal para o mercado: as regras deixaram de ser uma mera recomendação e passaram a ter consequências práticas. Isso estimula hospitais, clínicas, laboratórios, operadoras de planos e demais entidades de saúde a revisarem suas estruturas de TI, seus contratos com fornecedores, seus modelos de governança e o papel de seus encarregados de dados.
Em paralelo, cresce a discussão sobre o papel de tecnologias emergentes na proteção do ambiente físico e digital da saúde. Soluções baseadas em inteligência artificial, análise comportamental e monitoramento avançado de redes já são usadas para detectar padrões suspeitos de acesso, bloquear tentativas de invasão em tempo real e mitigar ataques em curso. No entanto, essas mesmas tecnologias precisam ser implementadas com responsabilidade, garantindo que não gerem novos riscos à privacidade ou à segurança dos pacientes.
O desfecho do processo contra o Instituto Saúde e Cidadania será acompanhado de perto por gestores públicos, operadores de saúde privados e especialistas em proteção de dados. A decisão da ANPD, além de impactar diretamente a rotina do Isac, ajudará a consolidar entendimentos sobre o que se espera, na prática, em termos de segurança, transparência e governança no tratamento de dados de saúde no Brasil. Em um cenário de aumento de fraudes digitais e ataques sofisticados, a capacidade de proteger dados sensíveis deixa de ser diferencial e passa a ser condição básica de atuação responsável no setor.