Em julho de 2026, a ANPD abriu processo sancionador contra uma organização que administra unidades de saúde em vários estados, depois de um ataque de ransomware em 2025. Segundo a imprensa, cerca de 500 mil registros foram afetados, entre eles dados de quase 79 mil crianças e adolescentes, com diagnósticos, exames e prescrições. A organização contesta que tenha havido vazamento; a ANPD apura falhas na adoção de medidas de segurança e na comunicação do incidente aos titulares.
Dado sensível, guardado por muito tempo
Dado de saúde é dado pessoal sensível pela LGPD, e o setor carrega uma obrigação que poucos outros têm: a Lei 13.787/2018 fixa prazo mínimo de 20 anos de guarda do prontuário, contados do último registro. É muita informação sensível, guardada por muito tempo e acessada por muita gente.
A porta de entrada pode estar fora do hospital
O ataque pode entrar pela senha de um profissional que acessa o sistema de casa, pelo laboratório de imagem terceirizado, pela clínica parceira integrada ao prontuário ou pelo fornecedor de software com acesso remoto. Quando o problema aparece, o prazo é curto: em incidente que possa causar risco ou dano relevante aos titulares, a Resolução CD/ANPD 15/2024 dá três dias úteis para comunicar a ANPD e os pacientes afetados.
O que reduz o risco no dia a dia
- Acesso ao prontuário por função: o recepcionista não precisa ver diagnóstico, e o médico de outra especialidade não precisa ver tudo. Com registro de quem acessou o quê.
- Terceiros com acesso ao sistema: contrato com obrigações de segurança, prazo curto para avisar incidentes e direito de auditoria. Laboratórios, clínicas parceiras e fornecedores de software entram na lista.
- Cópia de segurança fora da rede: é o que permite voltar a atender sem negociar com quem sequestrou os dados.
- Plano de resposta pronto: quem decide, quem avisa a ANPD, quem fala com pacientes e imprensa, com modelos já redigidos.
- Comunicação que o paciente entenda: o que aconteceu, quais dados foram afetados e o que ele pode fazer. É um dos pontos que a ANPD questiona no caso de 2026.
Hospital não pode parar de atender para resolver um incidente.
Por isso a preparação precisa estar feita antes, com o plano testado e os contratos ajustados.
Conteúdo informativo. Cada instituição precisa de análise própria.
