ANPD instaura processo contra Isac após vazamento de dados de 500 mil pacientes em ataque de ransomware
A Autoridade Nacional de Proteção de Dados (ANPD) abriu um Processo Administrativo Sancionador contra o Instituto Saúde e Cidadania (Isac), organização social responsável pela administração de unidades públicas de saúde em diversos estados do país, em razão de um grave incidente de segurança envolvendo ransomware. O ataque teria comprometido dados pessoais e dados sensíveis de aproximadamente 500 mil pacientes atendidos pela entidade.
Com sede administrativa em Brasília, o Isac atua em estados como Goiás, Rio Grande do Sul, Bahia, Alagoas, Piauí e Tocantins, gerindo hospitais, unidades básicas e outros serviços de saúde pública. Agora, o instituto está sob escrutínio da ANPD por suspeita de falhas na proteção das informações que estavam sob sua guarda, na forma de comunicação com os titulares afetados e na adoção de medidas técnicas e administrativas exigidas pela Lei Geral de Proteção de Dados Pessoais (LGPD).
O caso tem origem em um incidente de segurança registrado em 2025, comunicado pelo próprio instituto à ANPD. Segundo o relato encaminhado à Autoridade, o ataque envolveu ransomware – modalidade de ameaça cibernética em que criminosos invadem sistemas, sequestram dados por meio de criptografia ou bloqueio de acesso, e em muitos casos exigem pagamento para liberar as informações ou evitar que sejam divulgadas.
De acordo com as informações fornecidas pelo Isac, cerca de 500 mil registros foram potencialmente impactados. Dentro desse universo, aproximadamente 78.772 registros seriam de crianças e adolescentes, e outros 47.921 pertenceriam a pessoas idosas. Os arquivos comprometidos continham dados de identificação, como nome completo e data de nascimento, além de um amplo conjunto de informações de saúde consideradas sensíveis, incluindo histórico de exames, prontuários médicos, prescrições, atendimentos ambulatoriais, internações, diagnósticos e procedimentos realizados.
A natureza desses dados torna o episódio especialmente grave do ponto de vista regulatório. A LGPD classifica informações relacionadas à saúde como dados pessoais sensíveis, o que demanda um nível mais elevado de cuidado em todas as etapas do tratamento: coleta, armazenamento, acesso, compartilhamento, segurança, bem como na forma de comunicação em caso de incidentes. Quando expostos, esses dados podem gerar uma série de riscos para os pacientes, como violação de privacidade, uso abusivo de informações, possibilidade de fraude, discriminação em contextos de trabalho ou seguros e até extorsões.
No âmbito do processo, a ANPD investiga se o Isac deixou de cumprir obrigações previstas na LGPD, entre elas a implementação de medidas técnicas e administrativas adequadas para proteger os dados pessoais sob sua responsabilidade. A Autoridade também analisa se houve falhas na comunicação com os pacientes, omissão de informações obrigatórias sobre o encarregado pelo tratamento de dados (DPO) e desrespeito a princípios centrais da lei, como prevenção, responsabilização e prestação de contas.
Quando questionado sobre a extensão real do incidente, o Isac alegou que não haveria risco ou dano relevante aos titulares dos dados. Segundo a versão apresentada pelo instituto, os criminosos teriam acessado apenas informações de caráter administrativo e bases de dados relacionadas a contratos já encerrados, o que, na visão da entidade, reduziria o impacto prático do ataque. No entanto, para a ANPD, essas alegações não foram devidamente comprovadas.
A Autoridade destaca que o instituto não apresentou evidências técnicas robustas que sustentassem a tese de que não houve comprometimento significativo de dados pessoais e sensíveis. A ausência de logs, relatórios de perícia, análises forenses ou documentos que detalhassem o escopo exato do ataque e os sistemas afetados foi apontada como um problema central na apuração dos fatos.
Outro ponto de atenção para a ANPD foi a forma como o Isac comunicou o incidente aos titulares. Em vez de realizar uma notificação direta e individualizada às pessoas potencialmente atingidas – procedimento esperado em episódios de grande porte envolvendo dados de saúde – o instituto optou por publicar apenas um aviso em seu site institucional. Não houve, segundo a Autoridade, um esforço efetivo para alcançar cada paciente impactado por meio de canais específicos.
Na avaliação da ANPD, a comunicação disponibilizada pelo Isac foi incompleta e não atendeu aos requisitos mínimos estabelecidos pela LGPD e pela regulamentação complementar sobre comunicação de incidentes de segurança. O texto publicado não trazia informação clara sobre a data do ataque, a natureza dos dados comprometidos, o perfil dos titulares afetados nem as principais medidas de segurança adotadas antes e depois do ocorrido. Esses elementos são considerados fundamentais para que as pessoas possam avaliar os riscos e tomar providências de proteção, como monitorar movimentações suspeitas, revisar cadastros e reforçar cuidados com seus próprios dados.
O auto de infração elaborado pela ANPD também ressalta que, mesmo após sucessivas solicitações formais, o Isac não encaminhou documentação técnica capaz de comprovar as ações de resposta ao incidente. Para a Autoridade, essa omissão prejudicou a verificação sobre a efetiva adoção de medidas corretivas e dificultou a análise sobre a adequação dos procedimentos de segurança implementados após o ataque.
Além disso, a investigação identificou que o portal institucional do Isac não apresentava informações claras e acessíveis sobre o encarregado pelo tratamento de dados pessoais, figura conhecida como Data Protection Officer (DPO). A LGPD torna obrigatória a indicação de um encarregado e a divulgação de seus canais de contato, justamente para que os titulares possam exercer direitos como confirmação de tratamento, acesso aos dados, correção, eliminação, oposição e obtenção de informações sobre o uso de seus dados.
No âmbito do Processo Administrativo Sancionador, o Isac tem o prazo de dez dias úteis, contados a partir da intimação, para apresentar sua defesa e justificar sua conduta. Ao fim da análise, caso a ANPD conclua que houve infrações à LGPD, o instituto poderá ser alvo de sanções administrativas e receber determinações sobre as providências necessárias para adequar sua atuação às exigências legais.
As penalidades previstas no artigo 52 da LGPD incluem desde advertências e recomendações formais até multas que podem chegar a 2% do faturamento da organização, limitada ao teto estabelecido em lei. A Autoridade também pode determinar a publicização da infração, o bloqueio ou a eliminação dos dados pessoais relacionados às irregularidades, e, em casos mais graves, ordenar a suspensão parcial ou total das atividades de tratamento de dados pessoais.
O setor de saúde, público ou privado, é considerado particularmente sensível em temas de proteção de dados. Hospitais, clínicas, laboratórios e organizações sociais administradoras de unidades de saúde concentram informações extremamente detalhadas sobre a vida dos pacientes, o que os torna alvos frequentes de ataques cibernéticos. Por isso, a LGPD e as boas práticas internacionais recomendam investimentos contínuos em segurança da informação, políticas internas claras e treinamentos periódicos das equipes.
Entre as medidas esperadas de uma instituição que trata dados de saúde estão: controle rigoroso de acessos a sistemas e prontuários, uso de criptografia para dados em repouso e em trânsito, backups frequentes e seguros, segmentação de redes, monitoramento de incidentes, testes de invasão e planos de resposta a incidentes bem estruturados. Além disso, é fundamental ter processos formais para avaliação de riscos, gestão de fornecedores e revisão periódica de políticas de privacidade.
O incidente envolvendo o Isac reforça a importância da transparência com os titulares em casos de vazamento ou suspeita de acesso indevido a dados. Quando os pacientes são informados de maneira adequada e tempestiva, podem tomar medidas preventivas, questionar o uso de suas informações e, se necessário, acionar órgãos de defesa ou buscar reparação. A comunicação falha ou genérica, por sua vez, aumenta o impacto potencial do incidente e aprofunda a desconfiança em relação às instituições envolvidas.
Outro aprendizado relevante é o papel central do encarregado de dados nas organizações. Mais do que um requisito formal da LGPD, o DPO atua como ponto de contato entre a instituição, a ANPD e os titulares, orienta áreas internas sobre conformidade, acompanha incidentes de segurança e ajuda a estruturar programas de governança em privacidade. A ausência de informações sobre esse profissional, como apontado no caso, é um sinal de que a cultura de proteção de dados pode ainda não estar consolidada na organização.
Do ponto de vista regulatório, processos como o instaurado contra o Isac ajudam a consolidar a atuação da ANPD e a definir parâmetros práticos de aplicação da LGPD, especialmente em setores críticos como o da saúde. A forma como a Autoridade avalia as medidas de segurança, a suficiência das comunicações e a robustez das evidências técnicas tende a orientar o comportamento de outras instituições, que buscam evitar sanções e preservar sua reputação.
Para os pacientes cujos dados possam ter sido afetados em episódios semelhantes, algumas medidas de autoproteção são importantes: acompanhar com atenção comunicações de instituições de saúde, desconfiar de contatos suspeitos solicitando informações médicas ou pessoais, evitar compartilhar dados sensíveis em canais informais e monitorar eventuais usos indevidos de seu nome em contratos, cadastros ou serviços. Ainda que a responsabilidade principal recaia sobre os controladores de dados, a conscientização dos titulares ajuda a reduzir danos.
O caso também traz à tona a necessidade de uma integração maior entre áreas de tecnologia, jurídico, compliance e gestão hospitalar. A proteção de dados não é um tema exclusivo da equipe de TI: envolve decisões de negócio, contratos com parceiros, processos assistenciais e até a forma como profissionais de saúde acessam e registram informações. Sem essa visão integrada, lacunas de segurança tendem a aparecer e ser exploradas por criminosos digitais.
À medida que o Processo Administrativo Sancionador avança, o desfecho do caso deverá servir como referência para outras organizações sociais e entidades que atuam na gestão de serviços públicos de saúde. Independentemente da sanção final, a mensagem que se consolida é clara: o tratamento de dados pessoais, especialmente de saúde, exige responsabilidade constante, transparência com os cidadãos e comprovação efetiva de que medidas de segurança estão em vigor antes, durante e depois de qualquer incidente.