ANPD instaura processo contra Isac após vazamento de dados de 500 mil pacientes em ataque de ransomware
A Autoridade Nacional de Proteção de Dados (ANPD) abriu um Processo Administrativo Sancionador contra o Instituto Saúde e Cidadania (Isac), organização social responsável pela gestão de unidades públicas de saúde em diversos estados do país, após um grave incidente de segurança que teria exposto dados pessoais e dados sensíveis de aproximadamente 500 mil pacientes.
O Isac, com sede administrativa em Brasília e atuação em estados como Goiás, Rio Grande do Sul, Bahia, Alagoas, Piauí e Tocantins, é investigado por possíveis falhas na proteção das informações, na forma de comunicar o incidente às pessoas afetadas e no cumprimento das obrigações técnicas e administrativas previstas na Lei Geral de Proteção de Dados Pessoais (LGPD).
O caso decorre de um ataque de ransomware ocorrido em 2025 e informado pelo próprio instituto à ANPD. De acordo com os elementos constantes do processo, os sistemas do Isac foram comprometidos por criminosos virtuais que teriam criptografado ou tornado inacessíveis os dados armazenados, modalidade de ataque comumente acompanhada de exigência de pagamento para recuperação ou para evitar a divulgação das informações roubadas.
Segundo informações apresentadas pelo próprio instituto, cerca de 500 mil registros foram potencialmente afetados. Dentro desse universo, aproximadamente 78.772 estariam relacionados a crianças e adolescentes, enquanto 47.921 envolveriam pessoas idosas. Os dados expostos incluiriam informações de identificação, como nome completo e data de nascimento, além de um conjunto amplo de dados sensíveis de saúde, tais como histórico de exames, prontuários médicos, prescrições, atendimentos ambulatoriais, internações, diagnósticos e procedimentos realizados.
A natureza das informações comprometidas faz com que o episódio ganhe especial relevância regulatória. A LGPD classifica dados de saúde como “dados pessoais sensíveis”, categoria que exige nível elevado de proteção, controles mais rígidos de acesso, armazenamento mais seguro e transparência reforçada em situações de incidente. Vazamentos desse tipo podem gerar riscos à privacidade e à segurança dos pacientes, abrindo espaço para fraudes, estigmatização, discriminação em ambientes de trabalho ou seguros, além de usos indevidos, como tentativas de extorsão ou engenharia social.
No âmbito do processo, a ANPD apura se o Isac deixou de adotar medidas de segurança técnicas e administrativas adequadas para proteger os dados pessoais que estavam sob sua responsabilidade. A análise abrange desde a existência (ou não) de mecanismos de prevenção e resposta a incidentes – como backups seguros, planos de contingência e políticas de controle de acesso – até a forma como o instituto monitorava, registrava e tratava alertas de segurança.
Outro eixo da investigação envolve a forma de comunicação aos titulares afetados. A LGPD determina que, em caso de incidente de segurança que possa acarretar risco ou dano relevante às pessoas, o controlador deve comunicar tanto à ANPD quanto aos titulares, de maneira clara, completa e tempestiva. A Agência avalia se o Isac cumpriu esse dever, se forneceu informações suficientes e se facilitou o exercício de direitos por parte dos pacientes atingidos.
Quando questionado sobre o impacto real do ataque, o Isac sustentou que não haveria risco significativo aos titulares dos dados. A organização afirmou que os invasores teriam acessado apenas informações administrativas e bases vinculadas a contratos já encerrados, minimizando o potencial de dano. No entanto, de acordo com a ANPD, o instituto não apresentou provas técnicas robustas que confirmassem essa versão, nem laudos periciais capazes de delimitar com segurança a extensão do incidente.
A ANPD também destacou que o instituto não teria realizado comunicação individualizada aos pacientes cujos dados foram comprometidos. Em um cenário que envolve dados sensíveis de saúde e um volume tão elevado de registros, a expectativa regulatória é de transparência ativa, com contato direto aos titulares para que possam entender o que ocorreu, quais informações foram afetadas e que medidas adotar para se proteger. Em vez disso, o Isac teria restringido sua atuação à publicação de um comunicado genérico em seu site institucional.
Para a Agência, esse aviso público foi considerado insuficiente. O comunicado não detalhava a data exata do incidente, o tipo de dado atingido, o perfil das pessoas envolvidas (por exemplo, crianças, idosos, pacientes de determinadas especialidades) nem as providências técnicas e administrativas implementadas antes e depois do ataque. Esses elementos são exigidos tanto pela LGPD quanto pelas normas complementares da própria ANPD, que disciplinam a Comunicação de Incidentes de Segurança.
Outro ponto que pesou na instauração do processo foi a suposta ausência de documentação técnica que comprovasse as ações adotadas pelo instituto. Apesar de reiterados pedidos da ANPD por evidências, relatórios de resposta a incidentes, registros de logs, análises forenses ou qualquer outro material que demonstrasse a efetiva contenção e mitigação do dano, o Isac não teria apresentado elementos considerados suficientes pela autoridade. Essa falta de transparência documental dificulta a avaliação sobre se houve, de fato, correção de vulnerabilidades e adequada gestão de riscos.
A ANPD ainda registrou a inexistência, no portal institucional do Isac, de informações claras sobre o encarregado pelo tratamento de dados pessoais – o chamado Data Protection Officer (DPO). A indicação de um responsável e a disponibilização pública de seus contatos são exigências da LGPD, justamente para que titulares possam exercer direitos como acesso, correção, anonimização, eliminação de dados ou oposição a determinados tratamentos. A ausência dessas informações indica falha de governança em privacidade.
Pelo rito do Processo Administrativo Sancionador, o Isac dispõe de um prazo de dez dias úteis, a contar da intimação, para apresentar sua defesa e eventuais documentos complementares. Ao final da instrução, a ANPD decidirá se houve infração à LGPD e, em caso positivo, quais penalidades serão aplicadas e quais medidas corretivas deverão ser implementadas para que o instituto se adeque à legislação.
As sanções previstas no artigo 52 da LGPD englobam um amplo espectro de possibilidades. A autoridade pode aplicar desde advertência, com indicação de prazo para adoção de providências, até multa simples, limitada a 2% do faturamento da organização (respeitados os tetos legais). Entre as medidas mais severas, constam a publicização da infração, o bloqueio de dados pessoais relacionados ao incidente, a eliminação desses dados e até a suspensão parcial ou total do exercício de atividades de tratamento de dados pessoais.
Embora o caso ainda esteja em análise, o processo contra o Isac sinaliza um endurecimento da atuação regulatória sobre instituições de saúde, um dos setores mais sensíveis quando o assunto é proteção de dados. Organizações que lidam diariamente com prontuários, exames, laudos e informações de saúde de milhões de pessoas precisam adotar um nível de maturidade em segurança da informação que vá muito além de ferramentas básicas de antivírus ou simples senhas de acesso.
Nesse contexto, passa a ser fundamental que hospitais, clínicas, laboratórios e entidades gestoras, como o próprio Isac, mantenham políticas internas claras de privacidade, programas contínuos de capacitação de colaboradores, gestão estruturada de riscos cibernéticos e planos de resposta a incidentes testados periodicamente. Estratégias como segmentação de redes, criptografia de dados em repouso e em trânsito, autenticação multifator e rotina de backups off-line e imutáveis tornam-se elementos essenciais de uma política séria de proteção de dados.
Do ponto de vista dos pacientes, episódios como esse reforçam a importância de conhecer os próprios direitos. A LGPD assegura, entre outros, o direito de saber se uma organização trata seus dados, de acessar as informações mantidas, de solicitar correção de dados incompletos ou desatualizados, de pedir a eliminação de dados desnecessários e de obter informações claras sobre compartilhamentos realizados com terceiros. Em incidentes de segurança, o titular tem direito de ser informado, de forma compreensível, sobre o que aconteceu, o que foi afetado e quais medidas estão sendo adotadas para mitigar o dano.
Além dos impactos jurídicos, a exposição de dados de saúde costuma gerar forte abalo reputacional. Pacientes podem perder a confiança na instituição, haver questionamentos sobre a continuidade do atendimento em unidades geridas pela organização envolvida e até pressão de outros órgãos de controle. Em muitos casos, o custo financeiro para reparar sistemas, investir em novas tecnologias de segurança e lidar com eventuais ações judiciais supera em muito o valor demandado pelos criminosos no ataque de ransomware original.
A crescente digitalização da saúde, com prontuários eletrônicos, telemedicina e integração de bases de dados entre diferentes níveis de atenção, amplia a superfície de ataque e exige planejamento cuidadoso. Sem uma arquitetura de segurança bem pensada, cada novo sistema pode se transformar em uma porta de entrada a mais para agentes mal-intencionados. Por isso, boas práticas internacionais recomendam que a privacidade e a proteção de dados sejam incorporadas desde a concepção de qualquer projeto tecnológico, e não tratadas apenas como um adendo posterior.
No cenário brasileiro, a atuação da ANPD em casos como o do Isac tende a orientar todo o ecossistema de saúde. Dependendo do desfecho do processo, a decisão poderá servir de referência para outras entidades que tratam dados sensíveis, deixando mais claro o que a autoridade considera adequado em termos de comunicação de incidentes, comprovação técnica de medidas adotadas e transparência com os titulares. Ao mesmo tempo, reforça-se o entendimento de que o descumprimento de obrigações legais não será tolerado sem consequências.
Por fim, o episódio evidencia que a segurança da informação na saúde não é apenas uma questão tecnológica, mas também de gestão e cultura organizacional. Diretoria, corpo clínico, equipe administrativa e parceiros precisam estar alinhados em torno da proteção da privacidade dos pacientes. Em um ambiente em que ataques de ransomware se tornam cada vez mais sofisticados e frequentes, depender apenas de soluções pontuais é insuficiente: é necessário um programa estruturado de governança em dados, capaz de prevenir incidentes, responder rapidamente quando eles ocorrerem e, sobretudo, preservar a confiança da população nos serviços de saúde.