Hackers vazam dados de 500 mil pacientes e empresa é investigada
A Agência Nacional de Proteção de Dados (ANPD) instaurou, nesta quarta-feira (08), um Processo Administrativo Sancionador para investigar falhas na proteção de dados pessoais sensíveis de cerca de 500 mil pacientes do Instituto Saúde e Cidadania (Isac). A organização administra unidades públicas de saúde em estados como Goiás, Rio Grande do Sul, Bahia, Alagoas, Piauí e Tocantins.
O incidente ocorreu em 2025, após um ataque de ransomware, crime cibernético em que invasores sequestram dados e os tornam inacessíveis. Entre os cerca de 500 mil registros afetados, 78.772 seriam de crianças e adolescentes, e 47.921, de idosos. O Isac comunicou o caso à ANPD; entre as informações comprometidas estavam nome, data de nascimento, histórico de exames, prontuários, prescrições médicas, atendimentos ambulatoriais, internações, diagnósticos e procedimentos realizados.
O instituto alegou à agência que não haveria “risco ou dano relevante” aos titulares dos dados e afirmou que os invasores teriam acessado apenas informações administrativas e bancos de dados de contratos encerrados. A ANPD afirma que o Isac não comprovou essa versão e também verificou que a organização não comunicou individualmente os pacientes afetados, medida prevista pela Lei Geral de Proteção de Dados Pessoais (LGPD) em determinadas situações.
“Para a ANPD, essa comunicação foi insuficiente, pois não informava a data do incidente, a natureza dos dados e das pessoas afetadas, nem as medidas adotadas antes e depois do ataque”, afirmou o superintendente de Fiscalização da ANPD, Fabrício Guimarães. Em comunicado, o Isac disse que identificou um incidente de segurança da informação que “pode ter afetado dados pessoais” sob sua responsabilidade e que adota medidas para investigar o caso, mitigar impactos e evitar novos incidentes. O instituto tem 10 dias úteis para apresentar defesa; se condenado, pode receber advertência, multa de até 2% do faturamento e até suspensão ou proibição de atividades de tratamento de dados pessoais.