O Instituto Saúde e Cidadania (Isac), organização social responsável pela gestão de unidades públicas de saúde em estados como Bahia, Goiás, Alagoas, Piauí, Rio Grande do Sul e Tocantins, passou a responder a um processo administrativo sancionador instaurado pela Agência Nacional de Proteção de Dados (ANPD). A entidade é investigada por supostas falhas na proteção de dados pessoais de cerca de 500 mil pacientes após um ataque cibernético registrado em 2025.
Segundo a ANPD, o incidente envolveu um ataque do tipo ransomware, que torna os dados inacessíveis. De acordo com o próprio instituto, aproximadamente 500 mil registros foram afetados, incluindo dados de identificação, como nome e data de nascimento, além de informações sensíveis de saúde, como prontuários, histórico de exames, diagnósticos, prescrições, internações e procedimentos realizados.
Entre os registros atingidos, cerca de 78.772 pertencem a crianças e adolescentes e outros 47.921 a idosos, conforme informado pelo Isac. Em seu site institucional, o Isac publicou um comunicado sobre o incidente. No texto, a organização informou que identificou "um incidente de segurança da informação que pode ter afetado dados pessoais sob nossa responsabilidade".
O instituto afirmou ainda que está "tomando todas as medidas necessárias para investigar o ocorrido, mitigar impactos e evitar novas ocorrências" e reforçou o compromisso "com a transparência e a proteção dos dados pessoais de todos os nossos usuários e parceiros".
Já a Agência apura possíveis infrações à Lei Geral de Proteção de Dados (LGPD), entre elas a suposta ausência de medidas técnicas e administrativas adequadas para proteger os dados, falhas na comunicação aos titulares afetados, a falta de informações sobre o encarregado pelo tratamento de dados pessoais e o possível descumprimento dos princípios da prevenção e da responsabilização.
Durante a investigação, o Isac informou que o ataque teria atingido apenas informações administrativas e bancos de dados relacionados a contratos já encerrados e, por isso, não haveria risco relevante aos pacientes. No entanto, segundo a ANPD, a organização não apresentou comprovação técnica que sustentasse essa afirmação. A Agência também apontou que os pacientes afetados não foram comunicados individualmente sobre o incidente.
O superintendente de Fiscalização da ANPD, Fabrício Guimarães, afirmou que a comunicação não informava a data do incidente, a natureza dos dados comprometidos, quem foi afetado nem as medidas adotadas antes e depois do ataque, informações exigidas pela legislação e pela regulamentação da própria Agência.
O processo prevê prazo de dez dias úteis para apresentação da defesa. Ao final da apuração, caso sejam confirmadas as infrações, o Isac poderá receber sanções previstas na LGPD, que vão de advertência a multa e outras penalidades previstas em lei.
Correio
