A Agência Nacional de Proteção de Dados (ANPD) instaurou, nesta quarta-feira, 8, processo de sanção contra o Instituto Saúde e Cidadania (Isac) por falhas na proteção de dados pessoais sensíveis de 500 mil pacientes. Com sede administrativa em Brasília, a organização social gerencia unidades públicas de saúde em vários estados do país, entre eles o Rio Grande do Sul.
A investigação aponta falhas tanto na adoção de medidas de segurança quanto na comunicação do incidente às vítimas. O processo tem origem em um ataque cibernético ocorrido em 2025 e comunicado pelo próprio Isac à Agência.
Entenda o caso
O ataque foi do tipo ransomware, modalidade em que dados são sequestrados e tornados inacessíveis. Segundo o Isac, o incidente afetou cerca de 500 mil registros, sendo aproximadamente 78.772 de crianças e adolescentes e 47.921 de idosos.
Os arquivos continham dados de identificação, como nome e data de nascimento, além de informações sensíveis de saúde: histórico de exames, prontuários, prescrições, internações e diagnósticos.
A ANPD apura se o Isac cometeu infrações à Lei Geral de Proteção de Dados (LGPD) relacionadas à ausência de medidas de segurança técnicas e administrativas, à falha na comunicação adequada aos afetados, à omissão de informações sobre o encarregado pelo tratamento de dados e ao descumprimento dos princípios da prevenção e da responsabilização e prestação de contas.
Questionado pela Agência sobre o real impacto do ataque, o Isac afirmou que não haveria risco relevante aos titulares, alegando que os invasores acessaram apenas dados administrativos e contratos já encerrados. A instituição, porém, ainda segundo a ANPD, não apresentou comprovação técnica para essa versão.
A Agência constatou ainda que o Isac não comunicou individualmente os pacientes afetados, limitando-se a publicar um aviso genérico em seu site institucional.
Ao acessar a página do Isac, um pop-up traz a seguinte mensagem aos usuários:
“Informamos que identificamos um incidente de segurança da informação que pode ter afetado dados pessoais sob nossa responsabilidade.
Estamos tomando todas as medidas necessárias para investigar o ocorrido, mitigar impactos e evitar novas ocorrências.
Reforçamos nosso compromisso com a transparência e a proteção dos dados pessoais de todos os nossos usuários e parceiros.”
Para a ANPD, o tipo de comunicação usado foi insuficiente por não informar a data do incidente, a natureza dos dados afetados e as medidas adotadas antes e depois do ataque, itens exigidos pela LGPD e pela norma específica da Agência sobre Comunicação de Incidentes de Segurança.
A Agência também identificou que o portal do Isac não disponibiliza informações sobre o encarregado pelo tratamento de dados pessoais, exigência prevista na legislação.
- OpenAI lançará na quinta-feira nova série de modelos de IA
- IA não provoca “queda generalizada” do emprego nos países da OCDE, aponta relatório
- Nintendo lançará console Switch 2 com bateria substituível no outono
O que pode acontecer agora
O Instituto tem prazo de dez dias úteis, a contar da intimação, para apresentar defesa no Processo Administrativo Sancionador (PAS). As penalidades previstas no artigo 52 da LGPD variam de advertência a multa de até 2% do faturamento, além da possibilidade de suspensão ou proibição das atividades de tratamento de dados.
A sanção final será definida conforme o Regulamento de Dosimetria da ANPD.
Posicionamento do Isac
Em posicionamento divulgado pela CNN Brasil, o Isac ressaltou que o incidente não afetou a assistência prestada aos pacientes ou ao funcionamento das unidades de saúde sob sua gestão.
Confira na íntegra a nota do instituto:
"O Instituto Saúde e Cidadania (ISAC) esclarece que o incidente cibernético ocorrido em janeiro de 2025 não resultou em vazamento de dados de pacientes. O episódio consistiu em um ataque do tipo ransomware, que provocou a indisponibilidade temporária de sistemas administrativos mediante a criptografia de arquivos por agentes criminosos. O incidente não afetou a assistência prestada aos pacientes nem o funcionamento das unidades de saúde sob gestão do Instituto.
O ISAC comunicou espontaneamente o ocorrido à Autoridade Nacional de Proteção de Dados (ANPD), registrou ocorrência junto às autoridades competentes e divulgou comunicado público em seus canais oficiais. Desde então, vem prestando todos os esclarecimentos solicitados e colaborando integralmente com o processo de apuração.
As análises técnicas realizadas à época do incidente não identificaram evidências de extração, exfiltração ou divulgação indevida de dados pessoais. Os sistemas afetados foram recuperados a partir de cópias de segurança mantidas pela
instituição, sem perda de informações.Por esse motivo, o Instituto não reconhece como correta a afirmação de que houve vazamento de dados de pacientes decorrente do referido incidente. Após o ocorrido, o ISAC promoveu o fortalecimento adicional de seus controles de segurança da informação, ampliando mecanismos de proteção, monitoramento e resposta a incidentes cibernéticos.
O procedimento administrativo instaurado pela ANPD permanece em fase de análise. Até o momento, não foi aplicada qualquer penalidade ou sanção ao Instituto. O ISAC reafirma seu compromisso com a proteção de dados pessoais, a transparência institucional e o cumprimento da legislação vigente."