ANPD abre processo por vazamento
de dados de 500 mil pacientes

O que aconteceu

A Agência Nacional de Proteção de Dados instaurou Processo Administrativo Sancionador contra o Instituto Saúde e Cidadania, organização social sediada em Brasília que administra unidades públicas de saúde em Goiás, Rio Grande do Sul, Bahia, Alagoas, Piauí e Tocantins.

O caso nasceu de uma comunicação feita pela própria instituição: o incidente ocorreu em 2025, foi reportado à Agência, e a apuração que se seguiu levou ao processo. Os dados atingidos incluem identificação — nome e data de nascimento — e dados sensíveis de saúde: histórico de exames, prontuários, prescrições, atendimentos ambulatoriais, internações, diagnósticos e procedimentos.

As quatro frentes de investigação

O que chama atenção no processo é que apenas uma das quatro linhas de apuração trata do ataque em si. As outras três tratam do que veio depois:

1. Não adoção de medidas de segurança técnicas e administrativas
2. Não comunicação adequada aos titulares afetados
3. Não disponibilização de informações sobre o encarregado pelo tratamento de dados
4. Descumprimento dos princípios da prevenção e da responsabilização e prestação de contas

Sobre a comunicação, a Agência apurou que a instituição não avisou individualmente os titulares. Limitou-se a publicar um aviso no site, sem informar a data do incidente, a natureza dos dados e das pessoas afetadas, nem as medidas adotadas antes e depois do ataque.

Na defesa prévia, o instituto sustentou que não houve risco ou dano relevante, alegando que os invasores acessaram apenas informações administrativas e bancos de dados de contratos encerrados. Segundo a ANPD, não apresentou comprovação, mesmo após questionamentos reiterados.

O que pode acontecer

O processo tramita sob o número 00261.003381/2026-55 e prevê prazo de dez dias úteis, a contar da intimação, para apresentação de defesa. As sanções previstas no artigo 52 da LGPD vão de advertência a multa de até 2% do faturamento, além de suspensão ou proibição do exercício de atividades de tratamento de dados.

O que isso significa para a operação hospitalar

A leitura mais útil deste caso não é sobre o ataque. É sobre o que a instituição não conseguiu provar depois dele.

A alegação de que só dados administrativos foram acessados pode até ser verdadeira. O problema é que ela não foi sustentada com evidência. E, num incidente de segurança, a evidência de quem acessou o quê é construída antes — em registro de acesso, trilha de auditoria, segregação de bases. Quem não tem esses registros no dia a dia não os fabrica no dia do incidente.

Vale registrar o ponto que mais se aplica a quem opera manipulação e dispensação: dado de saúde não some quando o contrato acaba. Bases de contratos encerrados continuam sendo dados pessoais sensíveis sob a LGPD, e continuam sendo responsabilidade de quem as guarda. Política de retenção e descarte não é burocracia — é redução de superfície de risco.