A Agência Nacional de Proteção de Dados (ANPD) abriu um Processo Administrativo Sancionador contra o Instituto Saúde e Cidadania (Isac), organização social responsável pela gestão de unidades públicas de saúde em estados como Goiás, Rio Grande do Sul, Bahia, Alagoas, Piauí e Tocantins. O caso teve origem em um ataque de ransomware ocorrido em 2025, comunicado pelo próprio Isac à ANPD, o que deu início ao processo de apuração. Segundo o Isac, o incidente afetou aproximadamente 500 mil registros, dos quais 78.772 seriam de crianças e adolescentes e 47.921 de idosos. Os dados afetados incluíam informações de identificação, como nome e data de nascimento, e dados pessoais sensíveis de saúde, como histórico de exames, prontuários, prescrições, atendimentos ambulatoriais, internações, diagnósticos e procedimentos realizados, categoria que, na LGPD, recebe proteção reforçada.
A apuração da ANPD concentra-se não apenas no ataque em si, mas também na forma como o Isac respondeu ao incidente diante da LGPD e da própria Agência. A comunicação de incidentes de segurança é disciplinada pela Resolução CD/ANPD nº 15, de 24 de abril de 2024, que aprovou o Regulamento de Comunicação de Incidente de Segurança (CIS) e estabelece o prazo de três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, para a comunicação à ANPD. Segundo a Agência, esse e outros procedimentos não teriam sido devidamente observados pelo Isac, que se limitou a publicar um aviso genérico em seu site institucional, sem informar a data do incidente, a natureza dos dados e das pessoas afetadas, nem as medidas adotadas antes e depois do ataque, itens exigidos tanto pela LGPD quanto pelo Regulamento de CIS.
Além da comunicação tida por insuficiente, a Agência aponta que o Isac não teria apresentado evidências técnicas para sustentar sua alegação de que os invasores teriam acessado apenas dados administrativos e contratos já encerrados, argumento usado pela instituição para minimizar o risco aos titulares, mas que, segundo a ANPD, não foi comprovado mesmo após reiterados questionamentos. O auto de infração registra ainda que o Isac não disponibiliza, em seu portal, informações sobre o encarregado pelo tratamento de dados pessoais (também chamado DPO, na sigla em inglês), figura responsável por servir de canal entre a instituição, os titulares e a ANPD, ausência que, segundo a Agência, caracterizaria, por si só, descumprimento da LGPD.
A partir da intimação, a entidade terá dez dias úteis para apresentar sua defesa. Caso o processo resulte em condenação, a ANPD não apenas aplicará a penalidade cabível, mas também indicará ao Isac as providências necessárias para regularizar sua atuação. O leque de sanções previsto no artigo 52 da LGPD é amplo, vai de uma advertência até multa de até 2% do faturamento da entidade, podendo chegar à suspensão ou à proibição do exercício de atividades de tratamento de dados pessoais.