Caso ISAC: Do sequestro de dados sensíveis à fiscalização da ANPD

1. Do Incidente ao Auto de Infração: como o ISAC saiu de “vítima” de ransomware ao banco dos réus da ANPD?

[24/01/2025] O incidente de segurança (ataque de ransomware): a sede administrativa do Instituto, em Brasília, sofreu um ataque do grupo LockBit 4.0, que criptografou arquivos de discos virtuais e sobrescreveu backups sincronizados por arquivos vazios. Inicialmente, o ISAC estimou 766.000 registros afetados, contendo dados pessoais de identificação e dados pessoais sensíveis. 

[28/01/2025] Comunicação à ANPD e Registro de Ocorrência Policial: o ISAC reportou o incidente à ANPD, cumprindo o prazo regulamentar para comunicações preliminares, conforme o art. 6° da Resolução CD/ANPD n° 15/2024. Também registrou o crime cibernético perante a Polícia Civil do Distrito Federal (PCDF), qualificando-se como vítima. 

[2025] Aprofundamento da Fiscalização: a ANPD enviou vários ofícios para o Instituto, que apresentou um Relatório Complementar alegando ausência de risco ou dano relevante aos titulares. Em nova manifestação, o ISAC também informou que foram afetados cerca de 78.772 registros de crianças e adolescentes e 47.921 registros de idosos, em um cenário de 500 mil registros atingidos. Além disso, comentou que teria feito a comunicação aos titulares afetados por meio de publicação no seu site. 

[2026] Nota Técnica n° 5/2026, Decisão de Instaurar o PAS e Auto de Infração n° 2/2026: o superintendente de fiscalização assinou o Despacho Decisório n° 2/2026, determinando formalmente a abertura do Processo Administrativo Sancionador contra o Instituto. Também foi emitido o Auto de Infração n° 2/2026, materializando as acusações de violação aos princípios da prevenção, segurança e transparência.

[08/07/2026] Publicidade Institucional da ANPD e Apresentação da Defesa Administrativa do ISAC: no último dia do prazo de defesa, a ANPD publicou em seu portal um banner de destaque e uma notícia detalhando as acusações, o que gerou repercussão imediata na imprensa nacional. No mesmo dia, o Instituto protocolou sua peça de defesa. 

2. Auto de Infração n° 2/2026: o que a ANPD imputa ao Instituto? 

No Auto de Infração n° 2/2026, a Agência Nacional de Proteção de Dados (ANPD) deixa claro que a abertura do processo sancionador não se deve apenas ao ataque de ransomware em si, mas a um conjunto de falhas de governança que teriam deixado 500 mil registros de pacientes em situação de vulnerabilidade. 

Para a Agência, o Instituto falhou em obrigações fundamentais da LGPD que vão desde a prevenção técnica até a transparência com as vítimas. Abaixo, detalhamos os quatro eixos principais que sustentam a imputação da ANPD: 

1. Princípio da Prevenção (art. 6°, VIII, LGPD): a ANPD lê a prevenção como dever de postura proativa de antecipação de riscos. A ANPD sustenta que o Instituto violou o princípio da prevenção ao realizar uma avaliação de riscos insuficiente e dissociada da realidade fática do incidente.
2. Medidas de Segurança (art. 46, LGPD): esse artigo obriga os agentes a adotarem medidas de segurança aptas a proteger os dados pessoais. No Auto de Infração, o ISAC falhou ao não implementar salvaguardas técnicas e administrativas proporcionais ao alto risco de tratar prontuários, diagnósticos e exames médicos. Destaca-se que os trechos sombreados do documento tratam do detalhamento do incidente e das medidas de segurança implementadas.
3. Comunicação do Incidente (art. 48, §1º, da LGPD, e art. 9°, Resolução CD/ANPD nº 15/2024): imputa-se a ausência de comunicação individualizada aos titulares afetados e a insuficiência do aviso publicado no sítio eletrônico institucional do ISAC. Este último não informou a data do incidente, a natureza dos dados e dos titulares afetados, nem as medidas adotadas antes e depois do ataque.
4. Responsabilização e Prestação de Contas (art. 6°, X, LGPD): a Agência registra que o ISAC afirmou ter adotado diversas medidas de mitigação após o incidente, mas não teria apresentado evidências técnicas que as comprovem. Para a ANPD, isso configura violação ao dever de demonstrar a adoção de medidas eficazes.
5. Encarregado pelo tratamento (art. 41, §1º, LGPD): a ANPD também consta que o ISAC não disponibilizava informações sobre o seu Encarregado no seu portal eletrônico. 

Diante desse quadro, a Agência instaura o PAS com fundamento no art. 37 da Resolução CD/ANPD nº 1/2021, listando entre as sanções cabíveis todo o rol do art. 52 da LGPD (de advertência a proibição total da atividade de tratamento).

3. A Estratégia da Defesa: e o que o ISAC alegou em sua defesa?

A estratégia de defesa do Instituto Saúde e Cidadania (ISAC) no PAS n° 2/2026 é marcada por um ataque direto à consistência técnica da acusação e pela apresentação de um robusto acervo probatório. Essa atitude tem como objetivo demonstrar que a instituição agiu com diligência antes e depois do ataque cibernético. Em sua peça de defesa, o Instituto nega as infrações e questiona a validade dos atos da ANPD, apontando vícios que comprometem o devido processo legal. 

A estratégia inicial da defesa do ISAC foca em atacar a validade formal dos atos da ANPD, apontando erros que comprometem o devido processo legal e a própria fundamentação do Auto de Infração: 

1. Dos vícios de motivação da Nota Técnica n° 5/2026 e a ausência de individualização da conduta (art. 50, Lei n° 9.784/1999): segundo a defesa, o documento da ANPD contém trechos visivelmente reaproveitados de outros processos, citando números de formulários SEI e datas que não existem neste caso (ex.: SEI n° 0062073 e data de 15/12/2021). O Instituto aponta que essa confusão documental fere o art. 50, da Lei n° 9.784/1999, que exige que a motivação de atos administrativos sancionadores seja explícita, clara e congruente.
2. Da inexistência de obstrução à fiscalização: para defesa, há divergência quanto à suficiência probatória das respostas, não obstrução (que pressuporia recusa, omissão ou embaraço). O Instituto observa que, enquanto o texto afirma que o agente “segue sem apresentar esclarecimentos”, o mesmo documento lista e transcreve todos os ofícios, relatórios técnicos e evidências.
3. Da devida inversão do ônus da prova e da exigência de prova impossível: a defesa invoca a presunção de inocência (art. 5°, LVII, CF) para sustentar que o ônus da prova da materialidade da infração cabe à Administração. Também argumenta que a Agência tenta inverter essa lógica ao exigir logs e registros que foram destruídos pelo próprio ataque. Assim, estando o Instituto diante de uma exigência de prova impossível.
4. Da publicização antecipada da imputação: como fato superveniente, o ISAC denunciou que a ANPD deu ampla publicidade nominal às acusações por meio de um banner de destaque em seu portal e entrevistas de autoridades com juízos conclusivos de mérito. A defesa argumenta que o vazamento de autos restritos para a empresa antes da divulgação oficial configura uma sanção reputacional antecipada. Também destaca que a publicização da infração é uma penalidade prevista no art. 52, IV, da LGPD, que só poderia ser aplicada após a infração ser confirmada.

Além das questões procedimentais, a defesa do ISAC apresenta uma contra-argumentação técnica que visa desconstruir cada uma das infrações apontadas pela ANPD. O Instituto sustenta que a Agência ignorou a realidade prática do incidente e as medidas de segurança que foram fundamentais para a preservação da integridade dos dados. Abaixo, segue os eixos centrais dessa estratégia: 

1. Da alegada violação ao princípio da prevenção (art. 6°, VIII, LGPD): o ISAC argumenta que a prevenção é uma obrigação de meio, e não de resultado, não havendo sistema imune a ataques sofisticados. O Instituto também alegou comprovar que possui medidas preexistentes, como firewall e antivírus corporativo, além de uma estratégia de resiliência técnica eficaz. Ele exemplifica com a existência de um backup externo e offline ser a prova definitiva da diligência, que viabilizou a restauração integral dos 500 mil registros após o ataque.
2. Da alegada insuficiência das medidas de segurança (art. 46, LGPD): a defesa sustenta que as salvaguardas dotadas eram proporcionais aos riscos e à natureza da organização, apresentando notas fiscais e registros de configuração de rede nos documentos anexados. O Instituto esclarece que a criptografia de discos atingiu apenas a camada de infraestrutura, o que tecnicamente não implica em quebra de confidencialidade. Também destaca que não há provas de exfiltração ou vazamento de dados em 17 meses, o que alega que a acusação de insuficiência carece de base fática.
3. Da comunicação do incidente (art. 48, LGPD, e Resolução CD/ANPD n° 15/2024): sustenta que a comunicação à ANPD ocorreu de forma voluntária e tempestiva, com apenas dois dias úteis após o evento. Sobre a notificação aos titulares, justifica o uso do aviso em seu portal devido à inviabilidade técnica de contatos individuais, cujas bases estavam criptografadas ou desatualizadas.
4. Da alegada violação ao princípio da responsabilização e prestação de contas (art. 6°, X, LGPD): o Instituto refuta a falta de conformidade demonstrando um programa contínuo de governança, que inclui treinamentos contra phishing para seus colaboradores. Também alega a materialização desse princípio com base nos documentos anexados na petição de defesa e nas atitudes antes e depois do incidente.
5. Da imputação relativa ao Encarregado pelo Tratamento de Dados Pessoais (art. 41, LGPD): O ISAC sustenta a inexistência da infração, comprovando que possui um Encarregado formalmente designado que assinou pessoalmente todas as comunicações e respostas dirigidas à ANPD. A defesa ressalta que a instituição mantém canais de contato ativos e responsivos via e-mail institucional, conforme instruído desde a primeira comunicação do incidente.

Para reforçar a sua conduta, o ISAC sustenta que agiu sob o manto da boa-fé objetiva e da cooperação institucional, realizando a comunicação espontânea do incidente tempestivamente. Sob a perspectiva do art. 22, da LINDB, a defesa argumenta que a fiscalização deve considerar os obstáculos e as dificuldades reais enfrentados por uma organização social sem fins lucrativos, cujo orçamento é integralmente vinculado à execução de políticas públicas de saúde. 

Sobre a dosimetria, o Instituto pleiteia que as sanções sejam limitadas a uma advertência caso a autuação subsista. A defesa ressalta que a aplicação de multas pecuniárias seria desproporcional, pois recairia sobre recursos destinados à assistência médica, ignorando o esforço financeiro imediato que a instituição realizou para reestruturar toda a sua infraestrutura de segurança após o ataque.

4. Lições e Tendências: A "sanção reputacional" e o rigor na gestão de incidentes 

O desdobramento mais polêmico deste caso reside no que o ISAC classifica como uma “sanção reputacional antecipada”. No último dia do prazo para a defesa, a ANPD publicou em seu portal um banner de destaque nominal e uma nota detalhando as imputações, o que gerou imediata repercussão na imprensa nacional. Para a defesa, essa exposição nominal antes de qualquer julgamento administrativo subverte o rito da LGPD, uma vez que a “publicização da infração” (Art. 52, IV) é uma sanção que só deve ser aplicada após o trânsito em julgado. Esse movimento sinaliza que a Agência pode estar adotando a visibilidade midiática como uma ferramenta de coerção precoce, elevando o custo da imagem para as instituições antes mesmo do exercício do contraditório.

O caso é um divisor de águas sobre como a ANPD lida com incidentes de segurança, dando uma interpretação rigorosa ao dever de transparência. A Agência considerou a ausência de comunicação individualizada aos 500 mil titulares uma violação direta à lei, classificando como "insuficiente" o aviso genérico publicado no site do Instituto, que omitia dados essenciais como a data do evento e as medidas corretivas adotadas. Para o regulador, a impossibilidade técnica alegada pelo agente não o desonera do dever de buscar meios eficazes e detalhados de informar as vítimas, especialmente grupos vulneráveis como as 78 mil crianças e 47 mil idosos afetados neste caso.

Por fim, o processo revela a "materialidade" que a ANPD passou a exigir dos princípios da prevenção e da prestação de contas (accountability). Para o órgão, o dever de prevenção (Art. 6º, VIII) impõe uma "postura proativa" de antecipação ao pior cenário, considerando a mera ocorrência do incidente como indício de falha na arquitetura de segurança. Já a responsabilização (Art. 6º, X) exige uma concretude documental extrema. Observa-se que o Instituto foi autuado justamente por não apresentar evidências técnicas, como logs de acesso, que comprovasse a eficácia de suas defesas antes do ataque.

Com isso, o mercado aguarda com expectativa o veredito final, que servirá de termômetro para medir a tolerância da Agência com instituições que falham na governança documental, embora também tenham sido vítimas de crimes. O desfecho definirá se o backup offline e a restauração integral das operações assistenciais serão suficientes para atenuar as sanções ou se o princípio da prestação de contas será priorizado acima da resiliência técnica.