A Autoridade Nacional de Proteção de Dados (ANPD) instaurou um processo de sanção contra o Instituto Saúde e Cidadania (Isac) após apontar falhas de segurança que expuseram informações de cerca de 500 mil pacientes atendidos em unidades públicas de saúde.
O caso reacende o alerta sobre a aplicação prática da LGPD no SUS e em organizações sociais que administram hospitais e UPAs, com grandes volumes de prontuários e cadastros circulando diariamente.
A ANPD afirma que a apuração mira se houve descumprimento de deveres de proteção e governança previstos na lei, além de possíveis violações a direitos dos titulares de dados no atendimento de saúde.
O que este artigo aborda:
- O que a ANPD diz sobre o caso Isac e por que ele é relevante
- Quais sanções podem ser aplicadas com base na LGPD
- O que muda para gestores públicos, OSs e titulares de dados
- Como reduzir risco de vazamentos em serviços de saúde
O que a ANPD diz sobre o caso Isac e por que ele é relevante
Segundo a ANPD, o Isac é uma organização social com sede administrativa em Brasília e atuação na gestão de unidades públicas em estados como Goiás, Rio Grande do Sul, Bahia, Alagoas, Piauí e Tocantins.
A autarquia informou que a abertura do processo decorre de indícios de falhas na proteção de dados pessoais em serviços de saúde, um contexto em que a LGPD trata informações como dados pessoais sensíveis.
Na comunicação oficial, a agência detalhou que o processo envolve a apuração de medidas de segurança, governança e resposta ao incidente, além do cumprimento de obrigações de transparência.
A instauração do processo foi divulgada em nota da própria ANPD, que cita o universo de cerca de 500 mil pacientes potencialmente afetados.
Quais sanções podem ser aplicadas com base na LGPD
A LGPD prevê um conjunto de penalidades administrativas, cuja aplicação depende da gravidade, reincidência, boa-fé e capacidade de adoção de medidas corretivas, entre outros critérios.
No próprio comunicado, a ANPD lembra que o artigo 52 da LGPD inclui desde advertência até multa e medidas restritivas, como suspensão de atividades de tratamento.
- Advertência, com prazo para adequação e correções verificáveis
- Multa, que pode chegar a 2% do faturamento, com teto legal por infração
- Suspensão do tratamento de dados, total ou parcial, quando necessário
- Proibição do exercício de atividades ligadas ao tratamento de dados
Em saúde, especialistas ouvidos em episódios semelhantes costumam apontar que a sanção tende a considerar a extensão do dano e o grau de exposição de dados de pacientes.
O que muda para gestores públicos, OSs e titulares de dados
O episódio pressiona secretarias de saúde e organizações sociais a reforçar rotinas de segurança, contratos com fornecedores e controles de acesso, inclusive em sistemas legados.
Também coloca no centro do debate o papel do encarregado (DPO) e dos canais de comunicação com o cidadão, tema que a ANPD vem monitorando em fiscalizações recentes.
Em junho, a agência informou que concluiu uma fase de monitoramento e disse que avaliaria sanções contra 21 empresas e órgãos públicos por obrigações ligadas a encarregados e canais com titulares.
Para o cidadão, o caso reforça a necessidade de exercer direitos como confirmação de tratamento, acesso, correção e informação sobre compartilhamentos, especialmente em atendimentos de saúde.
Como reduzir risco de vazamentos em serviços de saúde
Embora cada incidente tenha causas próprias, há práticas recorrentes para diminuir exposição de prontuários e cadastros em ambientes com múltiplas equipes e alta rotatividade.
- Mapear sistemas e bases que concentram dados sensíveis e definir responsáveis
- Revisar perfis de acesso e aplicar autenticação forte para equipes assistenciais
- Manter logs, trilhas de auditoria e resposta a incidentes com prazos definidos
- Exigir cláusulas de segurança e notificação de incidentes em contratos de TI
- Treinar continuamente equipes administrativas e assistenciais
O avanço de investigações sobre vazamento de informações sigilosas também tem sido tema de apurações criminais; em 21 de julho, a PF informou que investiga grupo suspeito de acesso a dados sigilosos para fraudes contra correntistas e beneficiários da Caixa.
Aviso Editorial
Este conteúdo foi estruturado com o auxílio de Inteligência Artificial e submetido a rigorosa curadoria, checagem de fatos e revisão final pelo editor-chefe Redação Canal ERP. O Canal ERP reafirma seu compromisso com a ética jornalística, garantindo que o julgamento editorial e a validação das informações são de inteira responsabilidade humana, do editor.
Sobre o Autor:
Editor: Redação Canal ERP
Transparência: Política Editorial | Política de Uso de IA | Política de Correções | Contato