Vazamento de dados de 500 mil pacientes no ISAC coloca ANPD em ação e expõe falhas graves de segurança
A Agência Nacional de Proteção de Dados (ANPD) instaurou um processo administrativo sancionador contra o Instituto Saúde e Cidadania (Isac), organização social responsável pela gestão de unidades públicas de saúde em diversos estados brasileiros, após um ataque de ransomware que expôs informações de aproximadamente 500 mil pacientes.
O incidente, ocorrido em 2025, resultou no acesso indevido a uma grande quantidade de dados pessoais e dados sensíveis de saúde, incluindo histórico médico, prontuários e diagnósticos. O caso é considerado um dos vazamentos mais relevantes no setor de saúde desde a entrada em vigor da Lei Geral de Proteção de Dados Pessoais (LGPD).
O que aconteceu no ataque ao ISAC
De acordo com informações encaminhadas pelo próprio Isac à ANPD, a organização foi alvo de um ataque cibernético do tipo ransomware. Nesse tipo de ataque, criminosos invadem sistemas, criptografam dados e, em geral, exigem pagamento de resgate para devolver o acesso às informações.
No episódio envolvendo o instituto, cerca de 500 mil registros de pacientes foram afetados. Entre essas vítimas, estavam 78.772 crianças e adolescentes e 47.921 idosos, grupos considerados especialmente vulneráveis do ponto de vista de proteção de dados e direitos fundamentais.
Os dados comprometidos incluíam:
– Dados cadastrais, como nome completo e data de nascimento
– Informações classificadas como dados pessoais sensíveis, entre elas:
– histórico de exames
– prontuários médicos
– prescrições e receitas
– registros de atendimentos ambulatoriais
– internações
– diagnósticos e procedimentos realizados
O Isac atua em unidades de saúde em estados como Goiás, Rio Grande do Sul, Bahia, Alagoas, Piauí e Tocantins. A disseminação geográfica da atuação da entidade amplia o alcance e a gravidade do incidente, já que afeta pacientes de várias regiões do país.
Por que a ANPD abriu um processo de sanção
A ANPD abriu o Processo Administrativo Sancionador (PAS) não apenas pelo ataque em si, mas pelas possíveis falhas do instituto no cumprimento da LGPD antes, durante e após o incidente de segurança.
Entre os pontos que estão sendo investigados, destacam-se:
– Ausência ou insuficiência de medidas técnicas e administrativas adequadas para proteger dados pessoais
– Falhas na comunicação com os titulares afetados (os pacientes)
– Não disponibilização clara de informações sobre o encarregado pelo tratamento de dados pessoais (DPO)
– Possível descumprimento dos princípios de prevenção, responsabilização e prestação de contas previstos na LGPD
Um dos aspectos mais graves, segundo a ANPD, foi a forma como a organização tratou a obrigação de notificar os titulares dos dados. A Agência identificou que o Isac não fez comunicação individualizada aos pacientes afetados, o que pode contrariar o que determina a LGPD em casos de incidentes que possam acarretar risco ou dano relevante aos titulares.
Comunicação do incidente: onde o ISAC teria falhado
Embora o instituto tenha comunicado o incidente à ANPD, a fiscalização entendeu que a informação enviada foi incompleta. De acordo com o órgão, a notificação:
– Não detalhava a data exata do incidente
– Não descrevia de forma adequada a natureza dos dados envolvidos
– Não explicitava claramente quais grupos de pessoas foram atingidos
– Não apresentava, de modo suficiente, as medidas técnicas e organizacionais adotadas antes e depois do ataque
Esses elementos são exigidos tanto pela LGPD quanto pelas regras específicas da própria ANPD sobre Comunicação de Incidentes de Segurança (CIS). Segundo a Agência, a falta de clareza e de completude nas informações prestadas impede a devida avaliação do risco e prejudica os direitos dos titulares, que ficam sem saber a real extensão do vazamento e o que podem fazer para se proteger.
Prazos, defesa e possíveis penalidades
Com a instauração do PAS, o Isac tem o prazo de dez dias úteis, contados a partir da intimação, para apresentar sua defesa e esclarecimentos formais. Após essa etapa, a ANPD analisará o conjunto de provas, justificativas e evidências para deliberar sobre a eventual aplicação de sanções.
A LGPD, em seu artigo 52, prevê um leque de sanções administrativas, que podem incluir:
– Advertência, com indicação de prazo para adoção de medidas corretivas
– Multa simples de até 2% do faturamento da empresa ou entidade (limitada ao teto previsto em lei)
– Multa diária, em caso de descumprimento de determinações
– Publicização da infração, o que afeta a reputação da instituição
– Bloqueio ou eliminação dos dados pessoais relacionados à infração
– Suspensão parcial do funcionamento de banco de dados
– Suspensão ou proibição do exercício de atividades de tratamento de dados pessoais
A dosimetria – isto é, a definição do tipo e da intensidade da penalidade – seguirá o regulamento próprio da ANPD, que considera critérios como gravidade da infração, reincidência, porte da organização, boa-fé, cooperação com a fiscalização, entre outros.
Alegações do ISAC e avaliação de risco aos pacientes
O instituto argumentou à ANPD que, após o ataque, não teria sido identificado “risco ou dano significativo” aos pacientes cujos dados foram atingidos. Em outras palavras, o Isac tenta sustentar que, embora tenha ocorrido acesso indevido às informações, não haveria evidências de uso abusivo ou prejuízo efetivo aos titulares.
Essa alegação, porém, não afasta automaticamente a responsabilidade da entidade sob a ótica da LGPD. A legislação determina que a análise de risco não se baseia apenas em danos já concretizados, mas também na probabilidade de que o vazamento possa gerar discriminação, fraudes, constrangimentos ou qualquer forma de violação de direitos fundamentais.
No caso de dados de saúde, o grau de sensibilidade é ainda maior. Informações sobre diagnósticos, tratamentos e histórico médico podem ser usadas para fins de fraude, extorsão, discriminação em ambientes de trabalho ou planos de saúde, entre outros cenários indesejados.
O que torna dados de saúde tão sensíveis
A LGPD classifica dados de saúde como dados pessoais sensíveis. Isso significa que:
– Têm proteção reforçada em relação a dados comuns
– Seu tratamento exige base legal específica e cuidados adicionais
– O vazamento desses dados tende a causar maior risco aos titulares
Dados sobre doenças, condições crônicas, tratamentos, uso de medicações e histórico de internações podem revelar aspectos íntimos da vida de uma pessoa. Em mãos erradas, essas informações podem:
– Ser associadas a golpes envolvendo planos de saúde, seguros ou benefícios públicos
– Servir de base para fraudes em nome da vítima
– Ser exploradas em contextos de discriminação, especialmente no trabalho
– Causar danos à imagem, à honra e ao bem-estar psicológico do titular
Por isso, incidentes de segurança em instituições de saúde são tratados com especial rigor por autoridades de proteção de dados no mundo todo.
Deveres das organizações de saúde perante a LGPD
O caso do Isac expõe um problema estrutural: muitas entidades de saúde ainda não estão plenamente adequadas às exigências da LGPD. Entre as obrigações principais dessas organizações, destacam-se:
– Implementar medidas técnicas de segurança, como criptografia, controle de acesso, segmentação de rede, backups seguros e atualização constante de sistemas
– Adotar medidas organizacionais, incluindo políticas internas, treinamentos para funcionários e processos claros para resposta a incidentes
– Manter registro das operações de tratamento de dados, especialmente quando envolverem dados sensíveis
– Nomear um encarregado pelo tratamento de dados pessoais (DPO) e divulgar seus canais de contato
– Estabelecer rotinas de avaliação de risco, testes de segurança e planos de continuidade de negócios
– Garantir transparência com pacientes sobre como os dados são coletados, usados, armazenados e compartilhados
No setor público ou em organizações sociais que prestam serviços à administração pública, essas exigências ganham ainda mais relevância, já que lidam com grande volume de dados e com públicos vulneráveis.
O que pacientes atingidos podem fazer na prática
Embora a comunicação individual aos titulares não tenha sido realizada de forma adequada, pessoas atendidas em unidades administradas pelo Isac podem adotar medidas preventivas:
1. Monitorar cadastros e movimentações financeiras
Acompanhar extratos bancários, faturas de cartão e consultas em serviços que indiquem se houve abertura indevida de contas ou contratação de serviços em seu nome.
2. Redobrar atenção a golpes
Dados de saúde podem ser usados em golpes sofisticados, em que criminosos se passam por hospitais, clínicas, planos de saúde ou órgãos públicos. Desconfiar de pedidos de pagamento, atualização de cadastro ou envio de códigos de autenticação.
3. Guardar documentos e comprovantes de atendimentos de saúde
Em caso de uso irregular de informações, esses registros podem ser úteis para comprovar a relação com a instituição e eventuais danos.
4. Buscar canais oficiais de atendimento do ISAC e das unidades de saúde
Mesmo diante da falha de comunicação individual, é direito do paciente questionar diretamente as instituições sobre o incidente e solicitar esclarecimentos.
5. Acionar órgãos de defesa de direitos, se necessário
Em caso de suspeita de fraude ou prejuízo concreto, o paciente pode procurar órgãos de proteção do consumidor, defensoria pública ou apoio jurídico especializado.
Como organizações podem se preparar para evitar casos semelhantes
O ataque ao Isac serve de alerta para outras instituições, sobretudo no setor de saúde, que historicamente lida com orçamentos apertados e infraestrutura de TI muitas vezes defasada. Algumas medidas que podem reduzir significativamente o risco de incidentes:
– Gestão de vulnerabilidades: atualização constante de sistemas, correção de falhas conhecidas e remoção de softwares obsoletos.
– Backup e recuperação de desastres: cópias de segurança criptografadas, testadas periodicamente, armazenadas em ambientes segregados.
– Treinamento de equipes: grande parte dos ataques começa com engenharia social ou phishing. Funcionários bem treinados são uma linha de defesa fundamental.
– Plano de resposta a incidentes: procedimentos claros para detecção, contenção, investigação, comunicação e recuperação após um ataque.
– Segregação de dados: limitar o acesso a dados sensíveis apenas a quem realmente precisa, com registros de acesso e autenticação forte.
– Avaliação de fornecedores: terceiros que tratam dados em nome da organização também precisam estar aderentes à LGPD e a boas práticas de segurança.
Impacto reputacional e confiança no sistema de saúde
Além das consequências jurídicas e financeiras, vazamentos dessa magnitude corroem a confiança dos cidadãos no sistema de saúde. Pacientes que hesitam em fornecer informações completas por medo de exposição podem comprometer a qualidade do atendimento médico.
A confiança é elemento-chave na relação entre profissionais de saúde e pacientes. Quando dados sensíveis vazam, não é afetado apenas o direito à privacidade, mas também a percepção de segurança em relação a hospitais, clínicas e programas de saúde pública.
Por isso, a resposta a incidentes deve ir além do cumprimento mínimo da lei: passa por transparência, pedido de desculpas quando cabível, oferecimento de suporte às vítimas e compromisso público com melhorias estruturais.
O que este caso sinaliza para o futuro da proteção de dados no Brasil
A atuação da ANPD no caso do Isac reforça um movimento de amadurecimento da aplicação da LGPD no país. A tendência é que incidentes relevantes, especialmente envolvendo dados sensíveis e grandes volumes de titulares, passem a ser investigados com cada vez mais rigor.
Para organizações, a mensagem é clara: investir em segurança da informação, governança de dados e conformidade com a LGPD deixou de ser opcional. Além de evitar multas, essas medidas se tornam fator de sobrevivência institucional e de respeito aos direitos fundamentais.
Para cidadãos, o episódio serve de lembrete de que o direito à proteção de dados é uma extensão do direito à privacidade e à dignidade. A cobrança por transparência e responsabilidade tende a crescer à medida que casos como esse se tornam mais conhecidos.
Enquanto a análise do processo contra o Isac não é concluída, o desfecho servirá como referência para outros casos envolvendo o setor de saúde e poderá definir, na prática, o padrão mínimo esperado para a proteção de dados de pacientes no Brasil.