Em julho de 2026, a ANPD instaurou um processo de sanção contra uma organização de saúde após um incidente que afetou cerca de 500 mil pacientes. Entre os registros comprometidos estavam dados de aproximadamente 78 mil crianças e adolescentes e 47 mil idosos, com nomes, datas de nascimento, prontuários, históricos de exames, diagnósticos e procedimentos.
O caso é um dos mais graves já registrados no setor de saúde brasileiro. E ele carrega uma lição que surpreende muita gente: o que gerou o processo não foi apenas o ataque em si.
O que aconteceu
A instituição foi alvo de um ataque de ransomware, um tipo de invasão em que os dados são sequestrados e tornados inacessíveis, geralmente mediante pedido de resgate. O ataque criptografou arquivos com informações de identificação e dados sensíveis de saúde de centenas de milhares de pessoas.
Até aqui, é o tipo de incidente que qualquer instituição, por mais bem preparada que seja, pode enfrentar. Ataques acontecem. O que diferencia uma crise administrável de um processo sancionatório é o que vem depois.
O verdadeiro problema: a resposta
Segundo a ANPD, a comunicação do incidente foi insuficiente. Ela não informava adequadamente a data do incidente, a natureza dos dados e das pessoas afetadas, nem as medidas adotadas antes e depois do ataque: itens que são exigidos pela LGPD e pela regulamentação específica da agência sobre comunicação de incidentes.
Em outras palavras: a instituição sofreu o ataque e ainda foi penalizada pela forma como respondeu a ele.
Esse é um padrão que se repete. A análise dos casos já julgados pela ANPD mostra que a infração mais recorrente não é o vazamento em si, mas a falha em comunicar o incidente aos titulares e à agência dentro do prazo e com as informações corretas.
O prazo que quase ninguém consegue cumprir sob pressão
A regulamentação da ANPD fixa um prazo de três dias úteis para comunicar um incidente de segurança relevante, contado a partir do momento em que a instituição toma conhecimento.
Três dias úteis parecem suficientes até você imaginar a cena real: sistemas fora do ar, equipe em pânico, ninguém sabe exatamente quais dados foram afetados, o jurídico tentando entender o que aconteceu e a diretoria cobrando respostas. Sem um plano de resposta definido e testado com antecedência, cumprir esse prazo com a qualidade que a ANPD exige é praticamente impossível.
As consequências possíveis
Uma instituição nessa situação está exposta a advertência pública, com dano reputacional de difícil recuperação, obrigação de eliminar os dados afetados, e multa de até 2% do faturamento, limitada a R$ 50 milhões por infração. E, como cada conduta irregular pode ser tratada como uma infração separada, os valores se multiplicam rapidamente.
O que sua instituição deve aprender com isso
A lição central é que preparação vale mais que reação. Algumas estruturas fazem toda a diferença entre resistir a um incidente e virar notícia:
Um plano de resposta a incidentes documentado e testado, que defina quem faz o quê, em qual ordem, e como a comunicação à ANPD e aos titulares será conduzida dentro do prazo legal.
Um encarregado de dados designado e acessível, com autoridade para coordenar a resposta.
Registros e evidências organizados, que permitam demonstrar rapidamente o que aconteceu, quais dados foram afetados e quais medidas foram tomadas, sem depender de reconstrução manual sob pressão.
E backups testados de verdade. Muitas instituições descobrem, no pior momento possível, que o backup no qual confiavam estava corrompido ou incompleto.
Como a E2C ajuda
Um plano de resposta a incidentes só funciona se existir antes do incidente. Na E2C, estruturamos esse processo para instituições de saúde e o mantemos vivo através da nossa plataforma, que organiza o fluxo de notificação à ANPD dentro do prazo de 72 horas e mantém as evidências prontas para uma eventual fiscalização.
O ataque pode não depender de você. A resposta, sim.
Este conteúdo tem caráter informativo e não substitui a análise individualizada de cada caso.