A Agência Nacional de Proteção de Dados instaurou um novo processo administrativo sancionador contra o Instituto Saúde e Cidadania (Isac), organização social responsável pela gestão de unidades públicas de saúde em diferentes estados brasileiros. O processo decorre de um ataque de ransomware ocorrido em 2025, que teria afetado aproximadamente 500 mil registros de pacientes.
Como a ANPD divulgou, entre os titulares potencialmente atingidos, estavam cerca de 78 mil crianças e adolescentes e mais de 47 mil idosos. Os registros envolviam não apenas informações cadastrais, como nome e data de nascimento, mas também dados sensíveis de saúde, incluindo prontuários, diagnósticos, prescrições, exames, internações e procedimentos médicos.
Embora o processo ainda esteja em andamento e não exista, até o momento, decisão definitiva sobre a aplicação de sanção, o caso traz um alerta importante: não basta que uma empresa tenha políticas, avisos de privacidade e documentos formais de adequação à LGPD. É necessário demonstrar que os controles previstos no papel realmente existem, funcionam e são compatíveis com os riscos da operação.
Política de privacidade não é sinônimo de conformidade
Nos últimos anos, muitas organizações trataram a adequação à LGPD como uma atividade predominantemente documental, elaborando em 100% dos casos os mesmos documentos, como políticas de privacidade voltadas ao website, termos de uso e cláusulas contratuais sobre o tema.
Esses documentos são importantes, mas representam apenas uma parcela de um programa de proteção de dados, pois uma política que determina a adoção de medidas de segurança, por exemplo, não protege nenhum banco de dados por si só. Um procedimento de resposta a incidentes que nunca foi testado dificilmente funcionará adequadamente durante uma crise.
A proteção de dados não pode existir apenas para apresentação em auditorias ou processos de contratação. Controles elaborados apenas para “inglês ver” criam uma falsa percepção de segurança e podem aumentar a exposição da organização quando uma autoridade solicita evidências de sua implementação, como neste caso em questão.
A organização precisa conhecer os dados que trata
Um programa efetivo de proteção de dados começa pelo conhecimento da própria operação.
Isso significa identificar quais dados são coletados, para quais finalidades são utilizados, onde são armazenados, com quem são compartilhados, por quanto tempo são mantidos e quais pessoas possuem acesso a eles.
Essa análise deve considerar, especialmente:
- o volume de dados tratados;
- a natureza dos dados pessoais;
- o contexto e a finalidade do tratamento;
- os sistemas e fornecedores envolvidos;
- os possíveis impactos de um incidente.
Tratar dados cadastrais de algumas centenas de clientes não apresenta o mesmo risco que armazenar prontuários médicos de 500 mil pacientes. Da mesma forma, uma operação que envolve dados pessoais de saúde, crianças e idosos exige cuidados adicionais.
Quanto maior o volume e a sensibilidade das informações, maior deve ser o nível de maturidade dos controles.
Não é razoável e recomendado, que uma organização responsável por dados de saúde em larga escala adote o mesmo modelo de segurança utilizado por uma empresa que trata informações de menor criticidade. A LGPD exige medidas técnicas e administrativas aptas a proteger os dados, e essa aptidão deve ser avaliada conforme as características concretas de cada tratamento e negócio.
Não basta afirmar: é preciso comprovar
Um dos aspectos mais relevantes divulgados pela ANPD foi a ausência de evidências técnicas suficientes para confirmar algumas das alegações apresentadas pela entidade investigada.
Segundo a Autoridade, a organização afirmou que não haveria risco ou dano relevante aos titulares, pois os invasores teriam acessado apenas informações administrativas, contudo, não teria apresentado comprovação técnica dessa conclusão.
Esse ponto traduz um dos pilares da LGPD: a responsabilização e a prestação de contas.
A organização não deve apenas declarar que está adequada. Ela deve ser capaz de demonstrar:
- quais medidas de segurança foram implementadas;
- quando essas medidas foram revisadas;
- quais vulnerabilidades foram identificadas;
- quais testes e auditorias foram realizados;
- como os acessos são controlados;
- como os fornecedores são avaliados;
- como os incidentes são registrados e investigados;
- quais providências corretivas foram adotadas.
Em outras palavras, a conformidade precisa deixar rastros e é exatamente isso que qualquer organização precisa informar quando faz um comunicado de incidente, pois essas mesmas perguntas são as principais que constam do formulário de report de incidentes da ANPD.
Relatórios, registros de auditoria, evidências de treinamento, testes de restauração de backups, avaliações de vulnerabilidade, controles de acesso, atas de comitês, registros de incidentes e planos de ação são alguns exemplos de elementos que podem demonstrar que o programa de governança não existe apenas formalmente.
Na ausência de evidências, uma política bem redigida pode ter pouco valor perante uma fiscalização.
Segurança da informação deve ser proporcional ao risco
O caso também demonstra que a proteção de dados e a segurança da informação são temas inseparáveis.
A LGPD não determina uma tecnologia específica que todas as organizações devam obrigatoriamente adotar. Isso não significa, contudo, que qualquer medida seja suficiente.
Os controles precisam ser proporcionais ao risco da operação.
Em ambientes que tratam dados de saúde em larga escala, espera-se, por exemplo, uma avaliação mais rigorosa sobre segmentação de ambientes, gestão de vulnerabilidades, autenticação, controle de privilégios, monitoramento de acessos, continuidade de negócios, backups, recuperação de sistemas, criptografia e resposta a incidentes.
Também é necessário avaliar riscos relacionados a sistemas antigos, contratos encerrados e bases aparentemente inativas. O fato de um contrato ter terminado não elimina automaticamente a responsabilidade sobre os dados que permanecem armazenados.
Se a organização ainda mantém as informações, continua responsável por protegê-las, justificar sua retenção e garantir sua eliminação segura quando não houver fundamento para conservá-las.
A resposta ao incidente também faz parte da proteção
Um incidente de segurança não é avaliado apenas pelo modo como ocorreu. A resposta adotada pela organização também será analisada.
No caso divulgado, a ANPD apura possível falha na comunicação aos titulares. A entidade teria publicado um aviso em seu site, mas não realizado a comunicação individual das pessoas afetadas. Segundo a Autoridade, o aviso também não apresentava informações suficientes sobre a data do incidente, a natureza dos dados e dos titulares envolvidos e as medidas adotadas antes e depois do ataque.
Esse episódio reforça que a comunicação não deve ser tratada como uma formalidade destinada apenas a limitar danos reputacionais. O objetivo é permitir que os titulares compreendam o ocorrido, avaliem seus próprios riscos e adotem medidas de proteção.
Para isso, a organização precisa ter previamente definido quem conduzirá a investigação, quem avaliará os riscos, quem decidirá sobre as comunicações, quais áreas deverão ser envolvidas e como serão preservadas as evidências.
Improvisar durante um incidente costuma resultar em comunicações incompletas, decisões tardias e respostas contraditórias.
LGPD exige governança, não apenas documentos
Estar em conformidade com a LGPD exige uma atuação integrada.
O jurídico pode interpretar as obrigações regulatórias e estabelecer diretrizes, ao passo que cabe à área de tecnologia o dever de implementar controles e produzir evidências técnicas, e a segurança da informação de monitoramento de ameaças e vulnerabilidades, dentre outras inúmeras responsabilidades e áreas que precisam estar integradas para uma gestão eficiente, como a área de negócios, gestão de fornecedores e relações publicas.
O encarregado pelo tratamento de dados também deve possuir condições reais para exercer suas atividades, com autonomia e sem conflito de interesses. Não basta indicar um nome em um documento ou utilizar um endereço eletrônico que ninguém monitora.
A própria ANPD informou que investiga, no caso, a ausência de informações adequadamente disponibilizadas sobre o encarregado, além de possíveis violações aos deveres de segurança, prevenção, responsabilização e prestação de contas.
Portanto, a LGPD é muito mais do que uma política de privacidade, estamos falando de conhecimento da operação, gestão de riscos, proteção técnica, governança, treinamento, compliance, segurança da informação, resposta a incidentes e, principalmente, a capacidade de demonstrar que todas essas medidas saíram do papel.
A pergunta que permanece
O processo instaurado pela ANPD ainda será analisado, e a organização terá oportunidade de apresentar sua defesa. As conclusões definitivas dependerão da instrução do processo administrativo.
Independentemente do resultado, o caso já apresenta uma lição relevante para o mercado: quando ocorre um incidente, a organização não será avaliada apenas pelas políticas que afirma possuir, mas pelas medidas que efetivamente implementou e pelas evidências que consegue apresentar.
Políticas genéricas, controles não testados e programas de adequação puramente formais podem gerar uma sensação de conformidade, mas não protegem sistemas, não reduzem riscos e não atendem titulares.
Na prática, a diferença entre uma organização preparada e outra apenas aparentemente adequada será revelada no momento em que os controles precisarem funcionar.
E a sua empresa está realmente preparada ou a proteção de dados ainda existe apenas no papel?
Como o Assis e Mendes pode apoiar
O caso Isac reforça que a conformidade com a LGPD exige mais do que documentos formais. É necessário implementar controles efetivos, manter evidências das medidas adotadas e fortalecer a governança sobre o tratamento de dados pessoais.
O Assis e Mendes auxilia empresas na estruturação e evolução de seus programas de proteção de dados, apoiando desde a adequação à LGPD até a revisão de processos, gestão de riscos, resposta a incidentes e implementação de uma governança capaz de demonstrar conformidade perante a ANPD.
📲 Converse com a nossa equipe diretamente pelo WhatsApp:
👉 Clique aqui para iniciar a conversa
Sobre o autor
Fernanda Soares é advogada no Assis e Mendes Advogados, especialista em Compliance, Proteção de Dados e LGPD. Atua como DPO e Controller Jurídica, apoiando empresas na implementação de programas de governança, proteção de dados e conformidade regulatória.