ANPD avanza contra Isac por 500 mil pacientes

En julio de 2026, la Autoridad Nacional de Protección de Datos de Brasil, la ANPD, instauró un Processo Administrativo Sancionador contra el Instituto Saúde e Cidadania (Isac) por un incidente de seguridad que habría comprometido datos de alrededor de 500.000 pacientes. El organismo dio diez días hábiles para la presentación de defensa y, hasta el momento, no aplicó ninguna penalidad efectiva.

Qué dijo Isac

El Instituto Saúde e Cidadania negó que el ataque cibernético haya producido un vazamento de datos de pacientes. A la vez, reconoció que el incidente afectó la disponibilidad de sus sistemas. Según la información divulgada, la entidad afirmó haber reforzado sus controles de seguridad de la información y ampliado mecanismos de protección, monitoreo y respuesta a incidentes.

Alcance de las sanciones posibles

El caso se inscribe en el marco del artículo 52 de la LGPD, que prevé nueve tipos de sanciones administrativas. Entre ellas figuran la advertencia, la multa simple de hasta el 2% del facturamiento en Brasil, con un límite de R$ 50 millones por infracción, la multa diaria con el mismo techo, la publicización de la infracción, el bloqueo de datos y la eliminación de datos vinculados a la infracción.

Turivius recoge esas previsiones en su guía sobre multas LGPD 2026, mientras que en el expediente de Isac la ANPD mantiene el procedimiento en fase de análisis. No hay, por ahora, una sanción confirmada.

Fiscalización y capacidad institucional

El caso aparece en un momento en que la ANPD viene profundizando su actuación sobre incidentes de seguridad y tratamiento de datos personales. En paralelo, la referencia a concursos autorizados para la agencia refuerza la idea de expansión de capacidades institucionales para la supervisión y el cumplimiento, en un contexto donde también crecen las guías prácticas sobre adecuación a la LGPD en temas como inteligencia artificial, cookies y gestión de filtraciones de datos.

Ese conjunto de materiales, sumado al proceso abierto contra Isac, muestra una fiscalización más activa sobre incidentes que involucran información personal en Brasil, aunque en este caso puntual la autoridad todavía no definió una penalidad.