ANPD abre processo sancionador contra OS após vazamento de 500 mil pacientes
Ransomware expôs dados sensíveis de 500 mil pacientes de unidades públicas; a Agência apura falhas de segurança e de comunicação do incidente sob a LGPD.
A Agência Nacional de Proteção de Dados instaurou processo administrativo sancionador contra o Instituto Saúde e Cidadania (Isac), organização social sediada em Brasília que gere unidades públicas de saúde em Goiás, Rio Grande do Sul, Bahia, Alagoas, Piauí e Tocantins, após um incidente de segurança que expôs dados de cerca de 500 mil pacientes.
O caso remonta a um ataque de ransomware ocorrido em 2025, em que os dados são sequestrados e tornados inacessíveis, e comunicado pela própria entidade à Agência. Dos registros afetados, 78.772 seriam de crianças e adolescentes e 47.921 de idosos, com nome, data de nascimento e dados pessoais sensíveis de saúde — prontuários, exames, diagnósticos e procedimentos.
Segundo o auto de infração, a apuração recai sobre os arts. 46 a 48 e o princípio da responsabilização e prestação de contas: não adoção de medidas de segurança, técnicas e administrativas; comunicação inadequada aos afetados; e ausência, no portal, de informações sobre o encarregado. O processo (00261.003381/2026-55) abriu prazo de dez dias úteis para defesa.
Aviso no site não basta como comunicação
Questionada, a entidade alegou que não haveria risco ou dano relevante aos titulares, sob o argumento de que os invasores teriam acessado apenas informações administrativas e bancos referentes a contratos encerrados. Não apresentou, porém, comprovação técnica, mesmo após reiterados questionamentos.
A comunicação aos afetados limitou-se a um aviso no site institucional, sem informar a data do incidente, a natureza dos dados e das pessoas atingidas nem as medidas adotadas. Para a Agência, faltou a comunicação individualizada esperada diante de dados pessoais sensíveis.
O Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD nº 15/2024) fixa prazo de três dias úteis e exige comunicação direta ao titular sempre que possível. Na prática, o aviso genérico em página institucional tende a ser tratado como descumprimento, não como cumprimento do dever.
Saúde é o alvo mais caro e mais visado
O episódio se soma a uma pressão crescente sobre o setor. Levantamento citado pela imprensa especializada aponta mais de 11 mil violações de segurança em organizações de saúde no primeiro semestre de 2025, com média de 3.167 ataques semanais por instituição — cerca de 37% acima da média global do setor.
A saúde encerrou 2025 como o segmento de maior custo médio por violação pelo décimo quarto ano seguido, em US$ 7,42 milhões por incidente, segundo os mesmos dados. O padrão do ransomware também mudou: a criptografia caiu para 34% dos casos e a extorsão sem criptografia triplicou.
Dados de saúde são dados pessoais sensíveis, e o incidente atinge crianças, adolescentes e idosos — critérios que, pela regulamentação da Agência, elevam o evento ao patamar de risco ou dano relevante e reforçam o dever de comunicação.
Da defesa técnica à revisão de governança
Para o controlador, a exposição migra do plano técnico para o de governança. A Agência registrou que o Isac não comprovou a adoção de medidas corretivas e não mantém, no portal, a identificação do encarregado — obrigação do art. 41 da LGPD e canal de contato com titulares e com a própria Agência.
O que passa a ser observado são ativos concretos: registro das operações de tratamento e do incidente, plano de resposta testado, gestão de operadores e fornecedores, e a avaliação de impacto quando o tratamento é de larga escala e envolve titulares vulneráveis.
Na prática, a defesa no processo dependerá de evidência documental — logs, comunicações, políticas — que a entidade afirma ter adotado, mas não apresentou. Sem prestação de contas verificável, a alegação de ausência de dano perde sustentação.
Multa de até 2% e o peso da dosimetria
O art. 52 da LGPD prevê sanções que vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, além de suspensão ou proibição das atividades de tratamento. A sanção só será definida ao fim do processo.
O cálculo segue o Regulamento de Dosimetria (Resolução CD/ANPD nº 4/2023), que pondera gravidade, boa-fé, vantagem econômica, reincidência, grau do dano, cooperação e a adoção de programa de governança em privacidade. Larga escala e dados de crianças, adolescentes e idosos são agravantes que podem qualificar a infração como grave.
Na prática, por ser organização sem fins lucrativos, a base de cálculo da multa é ela própria um ponto de disputa: sem faturamento típico, a dosimetria recai sobre os demais critérios e sobre as medidas corretivas, o que desloca o risco para a reputação e a continuidade dos contratos públicos.
O recado da Agência ao setor público de saúde
Encerrado o prazo de defesa, a Agência decidirá sobre a eventual sanção e, havendo condenação, orientará a entidade quanto às medidas de regularização — a lógica de reconduzir o infrator à conformidade que marca a atuação repressiva.
O caso sinaliza atenção redobrada a organizações sociais e prestadores que operam dados de saúde por conta do poder público, terreno em que a responsabilidade do controlador não se dilui pela terceirização da gestão. A comunicação de incidente e a figura do encarregado surgem como os primeiros pontos de checagem.
Para diretorias e áreas de compliance do setor, o sinal é de que a régua da Agência sobe justamente onde há dado sensível, larga escala e titular vulnerável — a combinação presente neste processo.
Na data de 12 de julho de 2026, momento da publicação desta notícia compilada, todos os links estavam disponíveis. Não nos responsabilizamos nem controlamos eventuais alterações, remoções das URLs ou modificações no conteúdo das fontes consultadas.
