Brasil: ANPD apura caso de 500 mil pacientes

A Autoridade Nacional de Proteção de Dados do Brasil instaurou um processo de sanção contra uma organização social por uma falha na proteção de dados de 500 mil pacientes de unidades públicas de saúde. O caso envolve registros de atendimento em pelo menos seis estados e mantém aberta uma disputa entre a versão oficial do regulador e a resposta do operador de saúde.

Alcance do incidente

A Agência Brasil informou que o ataque atingiu unidades públicas de saúde em Goiás, Rio Grande do Sul, Bahia, Alagoas, Piauí e Tocantins. Segundo a cobertura, a exposição alcançou cerca de 500 mil pacientes, entre eles aproximadamente 78 mil menores de idade e 47 mil idosos. A composição dessa base aumenta a sensibilidade do caso sob a LGPD, tanto pelo perfil da população afetada quanto pela natureza das informações envolvidas.

Ainda de acordo com a Agência Brasil, os registros incluíam nome, data de nascimento, histórico de exames, prontuários, prescrições, atendimentos, internações e diagnósticos. Esse conjunto enquadra o incidente na categoria de dados pessoais sensíveis prevista pela LGPD e amplia o campo de apuração para o Instituto Saúde e Cidadania, além de outros operadores de saúde que tratam dados de residentes no Brasil.

A versão do operador

O Poder360 reproduziu a posição do Instituto Saúde e Cidadania, que descreveu o episódio como um ataque de ransomware ocorrido em janeiro de 2025. A entidade afirmou que o ataque causou indisponibilidade temporária dos sistemas administrativos por meio da criptografia de arquivos, mas negou que tenha havido vazamento de dados de pacientes.

Na mesma nota, o ISAC disse que o processo aberto pela ANPD ainda está em fase de análise e que, até aquele momento, a autoridade não havia aplicado qualquer penalidade ou sanção. Esse estágio mantém o caso em instrução administrativa.

O comunicado citado pelo Poder360 acrescentou que a organização recuperou seus sistemas a partir de cópias de segurança após o ataque de ransomware. Esse dado técnico deve ser um dos elementos considerados pela ANPD ao avaliar se as medidas de continuidade e segurança foram suficientes diante do incidente.

O que a ANPD analisa agora

O processo se insere em um momento de maior atuação da ANPD sobre incidentes que envolvem tratamento de dados sensíveis, especialmente na área da saúde. A combinação entre volume, tipo de informação e presença de menores e idosos coloca esse caso como um precedente relevante para operadores com atividades no Brasil e com operações regionais ligadas ao cumprimento da LGPD.