Vazamento no Isac expõe 500 mil pacientes e aciona a ANPD

Um ataque de ransomware ao Instituto Saúde e Cidadania (Isac), organização social que administra unidades públicas de saúde, comprometeu registros de aproximadamente 500 mil pacientes. O Isac atua em seis estados — Goiás, Rio Grande do Sul, Bahia, Alagoas, Piauí e Tocantins. Segundo a apuração, os dados afetados incluem identificação pessoal (como nome e data de nascimento) e informações sensíveis de saúde: histórico de exames, prontuários, prescrições, atendimentos, internações, diagnósticos e procedimentos. Entre os registros, dezenas de milhares são de crianças e adolescentes e outras dezenas de milhares, de idosos. A Autoridade Nacional de Proteção de Dados (ANPD) instaurou processo de sanção contra a instituição.

Por que importa

O caso reúne os três fatores que tornam um incidente na saúde especialmente grave: escala, sensibilidade e responsabilidade legal. Dado de saúde é categoria especial na LGPD — sua exposição habilita fraude, extorsão e discriminação, com dano que não se reverte trocando uma senha. Quando parte das vítimas é criança, adolescente ou idoso, o risco e o dever de cuidado aumentam.

Para além do dano ao titular, o processo da ANPD sinaliza onde o regulador está mirando: não apenas na falha técnica que permitiu o ataque, mas na conduta pós-incidente. Entre os pontos sob investigação estão a ausência de medidas de segurança adequadas, a comunicação deficiente às pessoas afetadas e a falta de informação clara sobre o encarregado de dados. A lição para qualquer operador de dados sensíveis é direta: prevenção e resposta são avaliadas em conjunto, e um plano de comunicação fraco amplia a exposição jurídica mesmo depois de contido o ataque.

O que fazer

• Mapeie e classifique dados sensíveis (especialmente saúde e de grupos vulneráveis) e reduza ao mínimo o que é coletado, retido e replicado entre sistemas.
• Trate ransomware como cenário provável: backups isolados e testados, segmentação de rede, MFA resistente a phishing e monitoramento de acessos anômalos.
• Prepare o plano de resposta a incidentes com o fluxo de comunicação à ANPD e aos titulares já definido, com prazos, responsáveis e modelos de aviso.
• Publique de forma visível o canal do encarregado (DPO) e ensaie o playbook com exercícios periódicos, não só no papel.