O processo administrativo conduzido pela Agência Nacional de Proteção de Dados (ANPD) contra o Instituto Saúde e Cidadania (Isac) lança um alerta para o ecossistema de saúde do país. A entidade, com histórico de atuação em estados como Rio Grande do Sul, Bahia, Alagoas, Piauí, Tocantins e Goiás, é investigada após um ataque cibernético comprometer cerca de 500 mil registros de pacientes.
O caso ganha relevância no mercado pela forma como a agência reguladora conduzirá a avaliação de compliance corporativo. O processo foi instaurado em 2025, logo após o Isac notificar a ANPD de que havia sido vítima de um ataque de ransomware, sistema que sequestra dados mediante criptografia e bloqueio de acessos operacionais da instituição.
A exposição desse expressivo volume de dados reforça que, no setor da saúde, a Segurança Digital transcende a tecnologia. De acordo com Gustavo Clemente, especialista em Direito Médico e da Saúde, sócio do Lara Martins Advogados e presidente do Sindicato dos Hospitais do Estado de Goiás (SINDHOESG), a proteção de informações pessoais e médicas é parte fundamental do cuidado contínuo com o paciente.
“Um documento genérico, ‘de prateleira’, não resiste a um incidente real. O que reduz risco é um programa conduzido por profissionais qualificados, com mapeamento de dados, plano de resposta a incidentes, treinamento contínuo da equipe e uma cultura interna de proteção”, afirma Clemente.
Para Rafael Maciel, especialista, sócio e head de Inteligência Artificial e Proteção de Dados do Lara Martins Advogados, a notificação do ataque é apenas o primeiro passo, sendo a governança prévia a verdadeira defesa da empresa. “Na análise do processo sancionador, a autoridade vai verificar rigorosamente quais eram as boas práticas que estavam implementadas pela empresa para que se possa fazer a dosimetria da sanção”, detalha o advogado.
O especialista explica que, embora o mercado de saúde exija elevado grau de diligência técnica, a legislação reconhece que não existe Segurança cibernética infalível. “A verdade é que a LGPD não tem nenhuma pretensão, seja na lei ou em qualquer outro instrumento, de que não haja nenhum vazamento de dados, mas sim de que as empresas mitiguem ativamente os riscos”, afirma Maciel.
“Se a empresa sofre um incidente, mas comprova que adotou todas as melhores práticas de mercado que estavam disponíveis, a sanção será obviamente menor do que a aplicada àquela instituição que negligenciou a governança e sofreu a mesma invasão”, destaca o especialista. A condução do processo do Isac deverá balizar a postura da ANPD perante incidentes de Segurança no setor da saúde.
As normas vigentes preveem penalidades que variam desde advertências públicas até multas de até 2% do faturamento da organização. O valor e o rigor da punição dependem diretamente da comprovação técnica de que o ambiente digital estava protegido pelas medidas mais adequadas de contenção de ameaças e mitigação de danos.
