A Agência Nacional de Proteção de Dados (ANPD) instaurou um Processo Administrativo Sancionador (PAS) contra uma organização social responsável pela gestão de unidades públicas de saúde em diferentes estados brasileiros. A apuração envolve possíveis falhas na proteção de dados pessoais sensíveis de aproximadamente 500 mil pacientes, além de irregularidades na comunicação do incidente aos titulares e na adoção de medidas de segurança.
A investigação teve origem em um incidente de segurança ocorrido em 2025, comunicado pela própria organização à ANPD. O episódio consistiu em um ataque cibernético do tipo ransomware, modalidade em que os dados são sequestrados e ficam inacessíveis aos sistemas da instituição.
Segundo as informações apresentadas, cerca de 500 mil registros foram afetados, incluindo aproximadamente 78.772 crianças e adolescentes e 47.921 idosos. Entre os dados comprometidos estavam informações de identificação, como nome e data de nascimento, além de dados sensíveis relacionados à saúde, incluindo prontuários, exames, prescrições médicas, atendimentos ambulatoriais, internações, diagnósticos e procedimentos realizados.
A ANPD apura possíveis infrações à Lei Geral de Proteção de Dados (LGPD), entre elas a ausência de medidas técnicas e administrativas adequadas para proteger as informações, falhas na comunicação do incidente aos titulares, ausência de informações sobre o encarregado pelo tratamento de dados pessoais e eventual descumprimento dos princípios da prevenção, responsabilização e prestação de contas.
Durante a apuração, a organização social alegou que o incidente não teria gerado risco ou dano relevante aos titulares, sustentando que os invasores acessaram apenas informações administrativas e bancos de dados referentes a contratos já encerrados. No entanto, de acordo com a ANPD, não foram apresentadas evidências técnicas que comprovassem essa afirmação.
A Agência também verificou que os titulares afetados não foram comunicados individualmente sobre o incidente. A divulgação ocorreu apenas por meio de um aviso publicado no site institucional, considerado insuficiente por não informar, entre outros aspectos, a data do incidente, a natureza dos dados atingidos, o perfil das pessoas afetadas e as medidas adotadas antes e depois do ataque, conforme exigem a LGPD e a regulamentação específica sobre comunicação de incidentes de segurança.
Além disso, o auto de infração aponta que a organização não apresentou elementos técnicos suficientes para demonstrar a adoção de medidas corretivas, mesmo após sucessivos questionamentos da ANPD. A Agência identificou ainda a ausência, em seu portal, das informações referentes ao encarregado pelo tratamento de dados pessoais, exigência prevista na LGPD.
Com a instauração do Processo Administrativo Sancionador, a organização terá dez dias úteis, contados da intimação, para apresentar sua defesa. Caso sejam confirmadas as infrações, a ANPD poderá aplicar as sanções previstas no artigo 52 da LGPD, que incluem advertência, multa de até 2% do faturamento, além de suspensão ou proibição das atividades de tratamento de dados pessoais. A eventual penalidade será definida ao final da análise do processo, conforme o Regulamento de Dosimetria e Aplicação de Sanções Administrativas da Agência.
Como o Instituto Bertol pode ajudar
A conformidade com a Lei Geral de Proteção de Dados (LGPD) exige muito mais do que a adoção de ferramentas tecnológicas. É fundamental implementar processos, políticas internas, controles de segurança e capacitar as equipes para reduzir riscos e atender às exigências legais.
O Instituto Bertol de Direito, Conformidade e Normas Internacionais (IBDCNI) oferece consultoria especializada em LGPD, com soluções voltadas à adequação de organizações que tratam dados pessoais, incluindo instituições da área da saúde. Entre os serviços estão diagnóstico de conformidade, auditorias, mapeamento de dados, elaboração de políticas de privacidade, disponibilização de Encarregado de Dados (DPO) terceirizado, treinamentos e suporte contínuo para a implementação de um programa de proteção de dados.
Além da consultoria, o Instituto atua na área de compliance, governança e gestão de riscos, auxiliando organizações a fortalecer seus processos internos, prevenir incidentes e desenvolver uma cultura de proteção de dados alinhada às exigências da legislação vigente.
Fonte: gov.br
