Ataque hacker expõe prontuários médicos de 500 mil pacientes; ANPD abre investigação contra instituto de saúde

A Agência Nacional de Proteção de Dados (ANPD) instaurou um processo administrativo sancionador contra o Instituto Saúde e Cidadania (Isac), organização social que gerencia unidades públicas de saúde em seis estados brasileiros.

A entidade é investigada por falhas na segurança e na comunicação após um ataque de ransomware (sequestro de dados) ocorrido em 2025, que expôs informações sensíveis de cerca de 500 mil pacientes. Entre as vítimas do incidente, estima-se que haja pelo menos 78,7 mil crianças e adolescentes, além de 47,9 mil idosos.

O vazamento comprometeu tanto dados de identificação básica quanto históricos médicos detalhados, incluindo prontuários, exames, diagnósticos e registros de internações em Goiás, Rio Grande do Sul, Bahia, Alagoas, Piauí e Tocantins. Diante disso, a ANPD apura se o Isac violou a Lei Geral de Proteção de Dados (LGPD) ao falhar na adoção de barreiras técnicas de segurança, ocultar contatos do encarregado de dados em seu portal e descumprir os princípios de prevenção e responsabilização previstos na legislação.

Siga o Times | CNBC no Google e receba as principais notícias do Brasil e do Mundo.

Siga o Times | CNBC

Leia também: Aegea convoca acionistas para aumento de capital de até R$ 2,1 bilhões; Itaúsa pode injetar R$ 1,5 bilhão

Em esclarecimentos preliminares, o Isac minimizou o impacto do ataque, alegando que os invasores acessaram apenas informações administrativas e bancos de dados de contratos já encerrados, sem gerar riscos relevantes aos pacientes. No entanto, a fiscalização da ANPD constatou que a organização não apresentou nenhuma comprovação técnica para sustentar a tese. Além disso, a entidade deixou de notificar as vítimas individualmente, limitando-se a publicar um comunicado geral em seu site.

De acordo com Fabrício Guimarães, superintendente de Fiscalização da ANPD, a manifestação do instituto foi considerada insuficiente por omitir a data do incidente, a natureza dos dados expostos e as medidas corretivas adotadas. Com a abertura formal do processo, o Isac terá dez dias úteis para apresentar sua defesa a partir da intimação. Se condenada, a organização social poderá sofrer punições que vão de advertências a multas de até 2% do faturamento, além da suspensão temporária das atividades de tratamento de dados.

Bruno Pavan

Siga o Times Brasil - Licenciado Exclusivo CNBC no