Um processo de sanção contra o Instituto Saúde e Cidadania (Isac) foi instaurado após falhas na proteção de dados pessoais sensíveis de 500 mil pacientes, divulgou nesta quarta-feira (8) a Agência Nacional de Proteção de Dados (ANPD).
A organização social tem sede administrativa em Brasília e atua na gestão de unidades públicas de saúde em vários Estados brasileiros, entre eles o Rio Grande do Sul. Segundo a ANPD, a ação decorre de um incidente de segurança ocorrido em 2025 e comunicado pelo Isac à agência, o que gerou um processo de apuração dos fatos. O Instituto também atua nos Estados: Alagoas, Bahia, Goiás, Piauí e Tocantins.
O processo administrativo sancionador prevê prazo de 10 dias úteis, a contar da intimação, para apresentação da defesa. Se condenado, além da sanção, o instituto será orientado sobre o que precisa fazer para regularizar a situação. As sanções previstas no artigo 52 da LGPD vão desde advertência a multa de até 2% do faturamento e suspensão ou proibição do exercício de atividades de tratamento de dados pessoais.
Ao abrir o site do Isac, o usuário é direcionado a uma mensagem que afirma:
"Informamos que identificamos um incidente de segurança da informação que pode ter afetado dados pessoais sob nossa responsabilidade. Estamos tomando todas as medidas necessárias para investigar o ocorrido, mitigar impactos e evitar novas ocorrências. Reforçamos nosso compromisso com a transparência e a proteção dos dados pessoais de todos os nossos usuários e parceiros".
O caso
O caso envolveu um ataque cibernético de ransomware, em que os dados são sequestrados e tornados inacessíveis. A instituição informou que o incidente teria afetado cerca de 500 mil registros, dos quais 78.772 seriam de crianças e adolescentes e 47.921 de idosos.
Ainda de acordo com a ANPD, os registros continham dados pessoais de identificação (como nome e data de nascimento) e dados pessoais sensíveis de saúde (histórico de exames, prontuários, prescrições, atendimentos ambulatoriais, internações, diagnósticos e procedimentos realizados).
"A ANPD investiga se, em razão desse incidente de segurança, foram cometidas infrações à Lei Geral de Proteção de Dados Pessoais (LGPD) relacionadas à não adoção de medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais; à não comunicação, de maneira adequada, às pessoas afetadas pelo incidente; à não disponibilização de informações relativas ao encarregado pelo tratamento de dados pessoais e ao descumprimento aos princípios da prevenção e da responsabilização e prestação de contas", informa a Agência.
Contatado por Zero Hora, o instituto afirmou que "análises técnicas realizadas à época do incidente não identificaram evidências de extração, exfiltração ou divulgação indevida de dados pessoais" (leia a íntegra abaixo).
Por esse motivo, afirma que não houve pacientes afetados no Rio Grande do Sul.
ANPD avaliou que comunicação foi "insuficiente"
Ao ser questionado sobre o real impacto do incidente, o Isac alegou que não haveria risco ou dano relevante aos titulares, argumentando que os invasores teriam acessado apenas informações administrativas e bancos de dados referentes a contratos já encerrados. No entanto, segundo a ANPD, a entidade não apresentou comprovação para essa afirmação.
A Agência apurou também que o Isac "não comunicou individualmente os titulares afetados, como seria esperado de acordo com a LGPD tendo se limitado a publicar um aviso em seu site institucional". A ANPD avaliou que a comunicação foi "insuficiente".
Segundo o auto de infração, o Isac não apresentou evidências técnicas que comprovassem suas alegações mesmo após reiterados questionamentos da agência, o que comprometeu a verificação da efetiva adoção de medidas corretivas.
O que diz o Isac
"Posicionamento Oficial – Instituto Saúde e Cidadania (ISAC)
Brasília-DF, 6 de julho de 2026
O Instituto Saúde e Cidadania (ISAC) esclarece que o incidente cibernético ocorrido em janeiro de 2025 não resultou em vazamento de dados de pacientes.
O episódio consistiu em um ataque do tipo ransomware, que provocou a indisponibilidade temporária de sistemas administrativos mediante a criptografia de arquivos por agentes criminosos. O incidente não afetou a assistência prestada aos pacientes nem o funcionamento das unidades de saúde sob gestão do Instituto.
O ISAC comunicou espontaneamente o ocorrido à Autoridade Nacional de Proteção de Dados (ANPD) , registrou ocorrência junto às autoridades competentes e divulgou comunicado público em seus canais oficiais. Desde então, vem prestando todos os esclarecimentos solicitados e colaborando integralmente com o processo de apuração.
As análises técnicas realizadas à época do incidente não identificaram evidências de extração, exfiltração ou divulgação indevida de dados pessoais. Os sistemas afetados foram recuperados a partir de cópias de segurança mantidas pela instituição, sem perda de informações.
Por esse motivo, o Instituto não reconhece como correta a afirmação de que houve vazamento de dados de pacientes decorrente do referido incidente.
Após o ocorrido, o ISAC promoveu o fortalecimento adicional de seus controles de segurança da informação, ampliando mecanismos de proteção, monitoramento e resposta a incidentes cibernéticos.
O procedimento administrativo instaurado pela ANPD permanece em fase de análise. Até o momento, não foi aplicada qualquer penalidade ou sanção ao Instituto.
O ISAC reafirma seu compromisso com a proteção de dados pessoais, a transparência institucional e o cumprimento da legislação vigente.
Assessoria de Imprensa
Instituto Saúde e Cidadania (ISAC)"
