Os casos recentes do Einstein, do Instituto Saúde e Cidadania e da Prefeitura de Feira de Santana mostram que, na saúde, a reação ao incidente pesa tanto quanto a prevenção.

 

Em 8 de outubro de 2026, o Hospital Israelita Albert Einstein confirmou ter sido vítima de um ataque cibernético que resultou no acesso e na obtenção não autorizados de parte de sua base de dados de pacientes. Segundo as informações divulgadas, o incidente pode envolver nome, CPF, contatos, diagnósticos, resultados de exames, prescrições e notas clínicas. O hospital comunicou o caso à Agência Nacional de Proteção de Dados (ANPD) e à Polícia Federal, passou a notificar os pacientes afetados e informou não ter identificado, até então, evidência de divulgação pública dos dados.

O episódio não é isolado. Em 16 de outubro, o Hospital Sírio-Libanês informou ter sofrido ataque a um sistema de relatórios de projetos sociais. No plano regulatório, a ANPD tem dado sinais consistentes de que o setor de saúde ocupa lugar central na sua fiscalização. Para hospitais, clínicas, laboratórios e operadoras de planos de saúde, o tema exige preparo concreto, porque a forma de responder ao incidente será examinada tanto quanto as falhas que permitiram o ataque.

 

O que a ANPD tem decidido em casos com dados de saúde?

Dois casos recentes mostram o que a agência observa. Em 8 de julho de 2026, a ANPD instaurou processo administrativo sancionador contra o Instituto Saúde e Cidadania (Isac), organização social que administra unidades públicas de saúde em seis estados. A apuração decorre de um ataque de ransomware ocorrido em janeiro de 2025, que, segundo informações prestadas pelo próprio instituto, afetou cerca de 500 mil registros, entre eles 78.772 de crianças e adolescentes e 47.921 de idosos. Estão sob análise possíveis falhas nas medidas de segurança e na comunicação aos titulares. O Isac sustenta que não houve vazamento, e o processo ainda não tem decisão.

O segundo caso já teve desfecho. Em outubro de 2026, a ANPD concluiu processo contra a Prefeitura de Feira de Santana (BA), que havia publicado no Diário Oficial do Município listas associando os nomes de 1.241 pessoas a condições de saúde como HIV, anemia falciforme e fibromialgia. A agência impôs algumas medidas corretivas para reduzir os danos aos titulares, entre elas a nomeação de um encarregado de dados e a elaboração de política de segurança da informação e de plano de resposta a incidentes. Como a lei afasta a multa para órgãos públicos (art. 52, § 3º, da Lei nº 13.709/2018), a prefeitura recebeu advertência, medidas corretivas e a obrigação de divulgar a infração na página inicial do seu site por seis meses.

A leitura conjunta é clara. Em Feira de Santana, a ausência de estrutura para lidar com o incidente tornou-se, ela própria, objeto de sanção. No caso do Isac, a comunicação às vítimas integra o objeto da apuração.

 

Por que um incidente em hospital é mais grave?

Dados de saúde são dados pessoais sensíveis (art. 5º, inciso II, da LGPD) e se submetem a regras mais restritas de tratamento (art. 11). Diferentemente de uma senha, um diagnóstico não pode ser trocado. A informação mantém valor por anos e pode ser usada em golpes contra pacientes e familiares, como falsas cobranças por exames ou internações feitas por criminosos que se apresentam como funcionários do hospital, além de chantagem contra a própria instituição.

Há também o risco assistencial. Um ataque de ransomware pode paralisar prontuários, agendas e equipamentos, com impacto direto no atendimento. Além disso, hospitais tratam rotineiramente dados de crianças, adolescentes e idosos, grupos que a LGPD e a regulamentação da ANPD tratam com atenção especial.

Análises publicadas sobre os ataques recentes chamaram atenção, ainda, para os dados mantidos fora dos sistemas principais. Relatórios, planilhas e bases paralelas, muitas vezes criados para fins administrativos ou de pesquisa, tendem a escapar dos controles aplicados ao prontuário eletrônico e dificultam saber, com rapidez, o que foi atingido.

 

O que a LGPD exige quando o incidente acontece?

A LGPD impõe ao controlador o dever de adotar medidas de segurança aptas a proteger os dados (art. 46) e de comunicar à ANPD e aos titulares o incidente que possa acarretar risco ou dano relevante (art. 48). A Resolução CD/ANPD nº 15/2024, que regulamenta a comunicação de incidentes, fixa o prazo de três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais.

O mesmo regulamento indica que o risco tende a ser relevante quando o incidente envolve, entre outras hipóteses, dados sensíveis ou dados de crianças, adolescentes e idosos. Na prática, quase todo incidente significativo em hospital atinge esse patamar. A resolução também exige que o controlador mantenha registro dos incidentes, inclusive dos que não foram comunicados, pelo prazo mínimo de cinco anos.

O art. 50, § 2º, da LGPD inclui entre as boas práticas de governança a existência de planos de resposta a incidentes e remediação. Já o art. 52, § 1º, manda considerar, na dosimetria das sanções, a boa-fé do infrator, a adoção reiterada de mecanismos internos para minimizar o dano e a pronta adoção de medidas corretivas. Para entidades privadas, as sanções incluem multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, além da publicização da infração e de restrições ao uso dos dados. Um protocolo bem executado, portanto, influencia diretamente o resultado de eventual processo.

Para as operadoras de planos de saúde, há uma camada adicional. Os dados circulam entre operadora, rede credenciada, laboratórios e fornecedores de tecnologia, e cada elo pode ser a origem do incidente. Os contratos precisam prever quem avisa quem, em que prazo e com quais informações, sob pena de o prazo de comunicação se esgotar enquanto as partes ainda tentam entender o que ocorreu.

 

O que deve constar de um protocolo de resposta a incidentes?

O protocolo é o documento que transforma as exigências legais em tarefas com responsável e prazo. Para hospitais e operadoras, ele deve contemplar, no mínimo, os elementos abaixo.

1. Comitê de resposta definido previamente, com titulares e substitutos das áreas de tecnologia, jurídico, proteção de dados, comunicação e direção clínica, além dos contatos de peritos externos.
2. Critérios de classificação de gravidade alinhados à Resolução CD/ANPD nº 15/2024, para decidir rapidamente se há dever de comunicar.
3. Roteiro de contenção e preservação de evidências, com isolamento de sistemas, análise forense e registro de ocorrência policial.
4. Plano de continuidade assistencial, com procedimentos de contingência para que o atendimento não pare.
5. Modelos e calendário de comunicação à ANPD, aos pacientes e à imprensa, em linguagem clara e com alertas sobre golpes que usam informações médicas.
6. Canal dedicado aos titulares, preparado para receber dúvidas e pedidos após a notificação.
7. Cláusulas com fornecedores e parceiros que obriguem o aviso imediato de incidentes e a cooperação na apuração.
8. Inventário atualizado das bases de dados, incluindo planilhas e sistemas paralelos.
9. Simulações periódicas e registro de lições aprendidas, para que o plano seja testado antes de ser necessário.

 

Os três episódios apontam na mesma direção. A ANPD avalia não apenas se a instituição foi atacada, mas se estava preparada e como reagiu. Para quem trata dados de saúde, o protocolo de resposta a incidentes integra o núcleo do programa de proteção de dados e de integridade, e a sua ausência pode, por si só, configurar infração.

 

Fontes

• Einstein confirma ataque cibernético e acesso a dados de pacientes. Mobile Time, 8 out. 2026

• Sírio-Libanês sofre ataque hacker e apura acesso a dados. SBT News, 16 out. 2026

• ANPD apura vazamento de dados de 500 mil pacientes. Poder360, 8 jul. 2026

• ANPD impõe sanções à Prefeitura de Feira de Santana pelo vazamento de dados médicos. Convergência Digital, out. 2026

• ANPD conclui processo contra Prefeitura de Feira de Santana por exposição de dados de saúde de 1.241 pessoas. Cescon Barrieu, out. 2026

• Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais)