Em janeiro de 2025, o Instituto Saúde e Cidadania (Isac) sofreu um ataque de ransomware. Prontuários, diagnósticos, prescrições, resultados de exames e dados de identificação de aproximadamente 500 mil pacientes foram expostos — 78.772 deles crianças e adolescentes, 47.921 idosos.
O Isac comunicou o incidente à ANPD. Fez nota no site. E então concluiu, internamente, que não havia "risco ou dano relevante aos titulares" — os invasores, segundo a organização, teriam acessado só dados administrativos e contratos encerrados.
Um ano depois, em julho de 2026, a ANPD instaurou processo sancionador.
Não foi o ataque que gerou o processo. Foi a resposta ao ataque.
O que a ANPD identificou como falha
O auto de infração da ANPD aponta quatro infrações à LGPD:
1. Não adoção de medidas de segurança adequadas para proteger os dados antes do incidente.
2. Comunicação insuficiente aos pacientes afetados. O Isac publicou um aviso no site institucional. A ANPD entendeu que isso não é suficiente: a lei exige comunicação direta e individualizada — por telefone, e-mail, carta ou mensagem, pelos mesmos meios que o controlador já usa para falar com o paciente. O aviso no site não informava sequer a data do incidente, a natureza dos dados afetados nem as medidas adotadas — tudo exigido pela regulamentação.
3. Ausência de informações sobre o encarregado de dados (DPO) no portal da organização — obrigação expressa da LGPD.
4. Descumprimento dos princípios de prevenção e responsabilização. A organização não apresentou evidências técnicas para embasar sua própria avaliação de que o incidente não causou dano — mesmo após reiterados questionamentos da ANPD.
As sanções previstas vão de advertência a multa de até 2% do faturamento (teto de R$ 50 milhões) e suspensão do exercício de atividades de tratamento de dados.
Por que isso é urgente para consultórios
A tentação de ler esse caso como "problema de grande organização" é compreensível — mas equivocada.
Desde que a Lei 15.352/2026 transformou a ANPD em agência reguladora autônoma, a agência passou a fiscalizar por planejamento, não só por denúncia. O Mapa de Temas Prioritários 2026-2027 da ANPD lista dados de saúde como eixo prioritário. A meta já declarada é de 10 fiscalizações em organizações que tratam dados de saúde até dezembro de 2026.
Consultórios e clínicas que coletam dados de pacientes — e todos coletam: nome, CPF, histórico clínico, diagnósticos, exames — são controladoras de dados pessoais sensíveis nos termos da LGPD. Estão no escopo dessa fiscalização.
A LGPD não diferencia tamanho de organização na obrigação de comunicar incidentes. O prazo vale para o consultório de um médico e para uma rede com 200 unidades.
O erro central que consultórios repetem
O Isac sabia que tinha sofrido um ataque. Comunicou à ANPD. Mas falhou no segundo passo: avisar os pacientes — individualmente, com conteúdo adequado, no prazo legal.
Esse é o ponto cego mais comum em consultórios: a ideia de que comunicar o incidente à autoridade regulatória é suficiente.
Não é.
A Resolução CD/ANPD nº 15/2024 (Art. 9º) é explícita: quando há risco ou dano relevante, a comunicação ao titular — o paciente — é obrigatória, no prazo de 3 dias úteis a partir do momento em que a organização toma conhecimento de que dados pessoais foram afetados.
Essa comunicação precisa conter, no mínimo:
- A descrição do que aconteceu e quais dados foram afetados
- Os riscos identificados para o paciente
- As medidas que a clínica adotou antes e depois do incidente
- O contato do encarregado de dados (DPO)
- A data em que a clínica tomou conhecimento do incidente
E deve ser feita pelo mesmo canal que você já usa para falar com o paciente — WhatsApp, e-mail, telefone, carta. Não é admissível colocar um aviso no site e considerar a obrigação cumprida, a menos que a comunicação individual seja comprovadamente inviável.
O que ter pronto: 5 itens que fazem diferença
A única forma de cumprir um prazo de 3 dias úteis é ter o protocolo pronto antes do incidente acontecer.
1. Inventário de dados atualizado
Saber exatamente quais dados você trata, onde estão e quem tem acesso é o ponto de partida para qualquer plano de resposta. Em um consultório, isso inclui: sistema de prontuário eletrônico, planilhas de agendamento, WhatsApp comercial, e-mail, arquivos físicos digitalizados.
Se um incidente acontece e você não sabe onde seus dados estão, não é possível avaliar o impacto em 3 dias úteis.
2. Encarregado de dados identificado (e comunicado ao público)
A LGPD exige que o controlador indique publicamente quem é o encarregado pelo tratamento de dados (DPO). Em consultórios pequenos, esse papel pode ser exercido por um colaborador designado ou por um prestador de serviço externo especializado — mas precisa estar nomeado, com canal de contato publicado no site e em documentos que chegam ao paciente.
É um dos itens que a ANPD verifica em fiscalização e que o Isac não tinha regularizado.
3. Canal de contato com pacientes estruturado
Você consegue, hoje, contatar individualmente todos os pacientes ativos da sua clínica em 72 horas? Por qual canal? Com qual mensagem?
Essa é a pergunta prática que o prazo de 3 dias úteis impõe. Consultórios que mantêm o cadastro de pacientes atualizado (e-mail, telefone, WhatsApp) e têm um protocolo de comunicação em massa estão em posição radicalmente diferente de quem só tem um sistema com dados incompletos.
4. Plano de resposta a incidentes documentado
Não precisa ser um documento de 40 páginas. Precisa responder a quatro perguntas:
- Quem aciona quando o incidente é identificado? (responsável interno)
- Quem avalia se há dados pessoais afetados? (pode ser o encarregado + suporte de TI)
- Quem comunica à ANPD? (formulário eletrônico em gov.br/anpd)
- Quem comunica aos pacientes? (e por qual canal)
O fluxo de resposta deve ser: contenção imediata → avaliação se há dados pessoais afetados → se sim, comunicação preliminar à ANPD e aos pacientes até o 3º dia útil → relatório complementar em até 20 dias úteis.
5. Registro das operações de tratamento
A ANPD pode solicitar, a qualquer momento, o registro das operações de tratamento dos dados afetados por um incidente. A Resolução 15/2024 exige que o registro do incidente — mesmo quando não há obrigação de comunicar — seja mantido por no mínimo 5 anos.
Esse registro é a diferença entre demonstrar diligência e ser avaliado como negligente em um processo sancionador.
O que fazer se você ainda não tem nada disso
Comece pelo mais urgente.
Esta semana: identifique quem será o encarregado de dados (DPO) do consultório e publique o contato no site. Consulte seu sistema de prontuário eletrônico para entender quais dados estão lá e quem tem acesso.
Este mês: mapeie os dados que você trata e onde estão. Construa o plano de resposta a incidentes — pode ser um documento de uma página, desde que responda as quatro perguntas acima.
Este semestre: verifique se o cadastro de pacientes tem contato atualizado. Considere contratar suporte especializado em LGPD para saúde — o custo de adequação é significativamente menor que o custo de um processo sancionador.
A virada que o caso Isac representa
O Isac foi investigado não porque sofreu um ataque — ataques de ransomware acontecem com organizações de todos os tamanhos, incluindo hospitais, laboratórios e clínicas. Foi investigado porque, quando o ataque aconteceu, a organização não tinha — ou não aplicou — os protocolos que a LGPD exige.
O caso marca uma mudança de postura da ANPD: de agência reativa a regulador com plano de fiscalização ativo, orçamento próprio e eixos prioritários públicos. Dados de saúde estão no topo dessa lista.
Consultórios e clínicas não estão no radar da ANPD por serem vilões. Estão porque tratam, diariamente, o dado mais sensível que existe: a saúde de uma pessoa.
A adequação não é sobre evitar punição. É sobre saber o que fazer quando — não se — um incidente acontecer. E saber fazer dentro de 3 dias úteis.
Fontes: ANPD (gov.br/anpd, 08/07/2026), CNN Brasil (08/07/2026), Valor Econômico (08/07/2026), Estadão (08/07/2026), Resolução CD/ANPD nº 15/2024, Confidata Blog (2025).