ANPD avança contra Isac por 500 mil pacientes

Em julho de 2026, a Autoridade Nacional de Proteção de Dados (ANPD) instaurou um Processo Administrativo Sancionador contra o Instituto Saúde e Cidadania (Isac) por um incidente de segurança que teria comprometido dados de cerca de 500 mil pacientes. O órgão deu dez dias úteis para a apresentação da defesa e, até o momento, não aplicou nenhuma penalidade efetiva.

O que disse o Isac

O Instituto Saúde e Cidadania negou que o ataque cibernético tenha provocado vazamento de dados de pacientes. Ao mesmo tempo, reconheceu que o incidente afetou a disponibilidade de seus sistemas. Segundo a informação divulgada, a entidade afirmou ter reforçado seus controles de segurança da informação e ampliado mecanismos de proteção, monitoramento e resposta a incidentes.

Escopo das sanções possíveis

O caso se enquadra no artigo 52 da LGPD, que prevê nove tipos de sanções administrativas. Entre elas estão a advertência, a multa simples de até 2% do faturamento no Brasil, com limite de R$ 50 milhões por infração, a multa diária com o mesmo teto, a divulgação da infração, o bloqueio de dados e a eliminação dos dados relacionados à infração.

A Turivius reúne essas previsões em sua guia sobre multas da LGPD em 2026, enquanto, no processo do Isac, a ANPD mantém o caso em fase de análise. Por enquanto, não há sanção confirmada.

Fiscalização e capacidade institucional

O caso acontece em um momento em que a ANPD vem ampliando sua atuação sobre incidentes de segurança e tratamento de dados pessoais. Em paralelo, a menção a concursos autorizados para a agência reforça a ideia de expansão da capacidade institucional para supervisão e conformidade, em um contexto em que também crescem os guias práticos sobre adequação à LGPD em temas como inteligência artificial, cookies e gestão de vazamentos de dados.

Esse conjunto de materiais, somado ao processo aberto contra o Isac, mostra uma fiscalização mais ativa sobre incidentes que envolvem informações pessoais no Brasil, embora, neste caso, a autoridade ainda não tenha definido uma penalidade.