ANPD investiga al ISAC por fuga de datos

La Autoridad Nacional de Protección de Datos (ANPD) abrió un proceso administrativo sancionador contra el Instituto de Saúde e Cidadania (ISAC) tras un incidente de seguridad que involucró datos personales y datos sensibles de pacientes atendidos por la institución.

Según la cobertura de O Globo, el organismo busca investigar fallas en la protección de información sensible de cerca de 500 mil pacientes. La publicación también indicó que el ISAC tendrá 10 días hábiles para presentar defensa y que las sanciones posibles van desde una advertencia y multa de hasta 2% del faturamento hasta la suspensión o prohibición del tratamiento de datos personales.

El caso ganó visibilidad a partir de reportes de prensa brasileña que señalaron un ataque de ransomware contra el ISAC en julio de 2026. TI Inside informó que ese episodio derivó en un vazamento de dados de pacientes vinculados al instituto, y describió el volumen afectado como cercano a 500 mil personas, aunque ese número aparece tratado por la fuente como aproximado.

La propia ANPD, en una publicación institucional en redes sociales citada por CNN Brasil, describió el episodio como un ataque cibernético de tipo ransomware que afectó aproximadamente 500 mil registros de pacientes y motivó la apertura del proceso sancionador contra el ISAC.

CyberSec Brazil también vinculó el incidente con un escenario de ataque hacker y afirmó que la autoridad abrió el proceso después de la exposición de datos de unos 500 mil pacientes. Legismap, por su parte, resumió que la ANPD investiga fallas en la protección de datos personales sensibles y posibles deficiencias en la comunicación a las víctimas y en las medidas de seguridad adoptadas antes y después del incidente.

GaúchaZH agregó que el propio ISAC informó una afectación de cerca de 500 mil registros, de los cuales 78.772 corresponderían a niños y adolescentes y 47.921 a personas mayores, lo que amplía el alcance del incidente sobre grupos vulnerables.