A Autoridade Nacional de Proteção de Dados (ANPD) instaurou um processo administrativo sancionador contra o Instituto Saúde e Cidadania (Isac), organização social responsável pela gestão de unidades públicas de saúde em estados como Goiás, Rio Grande do Sul, Bahia, Alagoas, Piauí e Tocantins. A investigação apura falhas na proteção de dados pessoais sensíveis de cerca de 500 mil pacientes, incluindo problemas na comunicação às vítimas e na adoção de medidas de segurança adequadas.
O caso teve origem em um ataque de ransomware ocorrido em 2025, no qual dados são sequestrados e tornados inacessíveis até o pagamento de resgate. Segundo o próprio Isac, o incidente atingiu aproximadamente 500 mil registros, sendo cerca de 78,7 mil de crianças e adolescentes e quase 48 mil de idosos. Entre as informações expostas estavam dados de identificação, como nome e data de nascimento, além de dados sensíveis de saúde: históricos de exames, prontuários, prescrições, atendimentos ambulatoriais, internações, diagnósticos e procedimentos realizados.
A ANPD investiga possíveis infrações à Lei Geral de Proteção de Dados (LGPD) relacionadas à ausência de medidas técnicas e administrativas de segurança, à comunicação inadequada aos titulares afetados, à falta de divulgação de informações sobre o encarregado pelo tratamento de dados e ao descumprimento dos princípios da prevenção e da responsabilização.
Um ponto central da apuração é a forma como o Isac lidou com a comunicação do incidente. A organização alegou que o ataque teria comprometido apenas dados administrativos e informações de contratos já encerrados, sem risco relevante aos titulares, mas não apresentou provas dessa afirmação. Além disso, em vez de notificar individualmente cada pessoa afetada, como exige a LGPD em casos semelhantes, o Isac se limitou a publicar um aviso em seu site institucional, sem detalhar a data do incidente, a natureza dos dados envolvidos ou as medidas corretivas adotadas.
A ANPD também constatou que o Isac não disponibiliza em seu portal as informações sobre o encarregado pelo tratamento de dados pessoais (o DPO), item obrigatório pela lei.
Agora instaurado o Processo Administrativo Sancionador, o Isac tem dez dias úteis, a partir da intimação, para apresentar defesa. As penalidades previstas no artigo 52 da LGPD variam de advertência a multa de até 2% do faturamento, podendo incluir também a suspensão ou proibição das atividades de tratamento de dados pessoais. A decisão final sobre eventual sanção seguirá o Regulamento de Dosimetria e Aplicação de Sanções Administrativas da ANPD.
O caso reforça um alerta importante para organizações que lidam com dados sensíveis de saúde: a resposta a incidentes de segurança precisa ir muito além de um simples aviso público. Comunicação individualizada, transparência sobre os fatos e evidências concretas das medidas adotadas são exigências legais, não formalidades.
Fonte: Agência Nacional de Proteção de Dados (ANPD)
