Processo contra o Instituto Saúde e Cidadania apura possíveis falhas na proteção de dados sensíveis e na comunicação às pessoas afetadas; entidade contesta que tenha ocorrido vazamento
A Agência Nacional de Proteção de Dados (ANPD) instaurou um Processo Administrativo Sancionador contra o Instituto Saúde e Cidadania (Isac) após um ataque cibernético ocorrido em janeiro de 2025 atingir sistemas da organização. Segundo a apuração da agência apresentada no processo, o incidente envolveu aproximadamente 500 mil registros de pacientes, incluindo informações de crianças, adolescentes e idosos.
A investigação busca identificar possíveis infrações à Lei Geral de Proteção de Dados Pessoais (LGPD), principalmente em relação às medidas de segurança adotadas e à comunicação do incidente às pessoas potencialmente afetadas. O Isac, por outro lado, contesta que tenha ocorrido vazamento de dados e afirma que análises técnicas não encontraram evidências de extração ou divulgação indevida das informações.
O processo ainda está em análise. Portanto, a ANPD não aplicou penalidade ao instituto até o momento, conforme informado pela própria entidade em manifestação enviada à CNN Brasil.
Ataque de ransomware atingiu sistemas do Isac
O próprio Isac comunicou o incidente à ANPD. Segundo as informações apresentadas pela agência, a organização sofreu um ataque do tipo ransomware, modalidade na qual criminosos podem criptografar arquivos e tornar sistemas ou informações inacessíveis.
A apuração envolve cerca de 500 mil registros. Desse total, 78.772 estariam relacionados a crianças e adolescentes, enquanto 47.921 seriam de idosos.
De acordo com o processo descrito no material, as informações envolvidas incluiriam dados de identificação, como nome e data de nascimento, além de informações de saúde. Entre elas aparecem históricos de exames, prontuários, prescrições, atendimentos ambulatoriais, internações, diagnósticos e procedimentos.
No entanto, esse é justamente um dos pontos contestados pelo Isac. O instituto sustenta que o incidente provocou indisponibilidade temporária de sistemas administrativos, mas não resultou em extração ou divulgação de dados de pacientes.
ANPD apura possíveis violações à LGPD
A investigação da ANPD não se limita ao ataque em si. A agência também analisa como o instituto protegia as informações antes do incidente e como respondeu depois dele.
Entre os pontos sob apuração estão a possível ausência de medidas técnicas e administrativas adequadas para proteger dados pessoais, a comunicação às pessoas afetadas e o cumprimento dos princípios de prevenção, responsabilização e prestação de contas previstos na LGPD.
Além disso, a ANPD analisa a disponibilização de informações relacionadas ao encarregado pelo tratamento de dados pessoais.
Segundo a apuração apresentada, o Isac teria inicialmente argumentado que o episódio não representava risco ou dano significativo aos pacientes porque os criminosos teriam acessado informações administrativas e dados relacionados a contratos encerrados.
Entretanto, a ANPD aponta que o instituto não teria apresentado elementos técnicos suficientes para comprovar essa conclusão após questionamentos da autoridade.
Comunicação aos pacientes também entrou na investigação
Outro ponto central envolve a forma como as pessoas potencialmente atingidas receberam informações sobre o incidente.
Conforme a apuração da ANPD apresentada no material, o Isac não teria comunicado individualmente os afetados de maneira considerada adequada pela agência.
A autoridade também apontou ausência de informações como a data do incidente, a natureza dos dados envolvidos, os grupos de pessoas atingidos e as medidas adotadas antes e depois do ataque.
Esses elementos são relevantes porque a LGPD e as normas da ANPD estabelecem obrigações específicas para a Comunicação de Incidentes de Segurança (CIS) quando um episódio pode representar risco ou dano relevante aos titulares.
O auto de infração também sustenta que a falta de embasamento técnico para determinadas alegações dificultou a análise das medidas corretivas adotadas.
Processo pode resultar em sanções previstas pela LGPD
Após a instauração do Processo Administrativo Sancionador, o Isac possui prazo para apresentar sua defesa dentro do procedimento conduzido pela ANPD.
Caso a autoridade conclua, ao final do processo, que houve infrações, poderá aplicar as medidas previstas na legislação de acordo com a gravidade e as circunstâncias verificadas.
O artigo 52 da LGPD prevê diferentes sanções administrativas, desde advertências até multas e outras restrições relacionadas ao tratamento de dados pessoais. A eventual penalidade dependerá da conclusão do processo e das regras de dosimetria adotadas pela ANPD.
Portanto, a abertura do procedimento não representa uma condenação do Isac. A responsabilidade e uma eventual sanção ainda dependem da análise administrativa.
Isac nega vazamento de dados de pacientes
Em manifestação encaminhada à CNN Brasil, o Instituto Saúde e Cidadania apresentou uma versão diferente sobre o alcance do incidente.
Segundo a entidade, o ataque de janeiro de 2025 criptografou arquivos e provocou indisponibilidade temporária de sistemas administrativos. Entretanto, o Isac afirma que suas análises técnicas “não identificaram evidências de extração, exfiltração ou divulgação indevida de dados pessoais”.
O instituto também informou que recuperou os sistemas a partir de cópias de segurança e que o episódio não provocou perda de informações.
“O incidente não afetou a assistência prestada aos pacientes nem o funcionamento das unidades de saúde sob gestão do Instituto”, afirmou.
Além disso, o Isac disse que comunicou espontaneamente o caso à ANPD, registrou ocorrência junto às autoridades e divulgou um comunicado público. Depois do episódio, segundo a organização, houve reforço nos mecanismos de proteção, monitoramento e resposta a incidentes.
Por fim, o instituto ressaltou que o procedimento administrativo continua em análise e que nenhuma sanção foi aplicada.
Estados esclarecem relação com o instituto
O material também apresenta esclarecimentos de governos estaduais sobre a atuação do Isac.
A Secretaria de Estado da Saúde do Tocantins informou que manteve contrato com o instituto exclusivamente durante o período da pandemia de Covid-19. Atualmente, segundo a pasta, não existe contrato ou parceria em execução.
Já a Secretaria de Estado da Saúde de Goiás afirmou que o Isac nunca administrou unidades pertencentes à rede estadual de saúde.
As informações são relevantes porque o instituto atua ou atuou na gestão de serviços públicos de saúde em diferentes regiões, embora a relação contratual possa variar conforme o estado e o período.
Caso coloca segurança de dados de saúde em evidência
A investigação da ANPD sobre o ataque cibernético ao Isac chama atenção principalmente pela natureza das informações envolvidas. Dados relacionados à saúde recebem proteção especial pela LGPD por integrarem a categoria de dados pessoais sensíveis.
Ao mesmo tempo, existe uma divergência relevante que o processo ainda precisa esclarecer. A apuração da ANPD aponta problemas relacionados à proteção e à comunicação do incidente, enquanto o Isac sustenta que não encontrou evidências de vazamento ou exfiltração.
Assim, o procedimento administrativo deverá determinar se houve descumprimento da legislação e, em caso positivo, quais medidas serão aplicadas. Até a conclusão, não há decisão definitiva nem penalidade contra o instituto.
