Vazaram 500 mil prontuários do SUS: o raio-x do que faltou no programa de governança

TL;DR. Um ataque de ransomware travou, em 2025, os dados de cerca de 500 mil pacientes de unidades públicas de saúde geridas por uma organização social, entre eles 78.772 de crianças e adolescentes e 47.921 de idosos. Em julho de 2026 a ANPD instaurou processo de sanção. O ponto que derrubou a defesa da instituição não foi o ataque em si, foi a incapacidade de comprovar, com evidência técnica, que protegeu os dados e que comunicou o incidente como a lei manda. O caso funciona como um raio-x das quatro frentes que um programa de governança precisa ter operando antes de qualquer incidente.

Você abre o feed, lê "vazamento expõe dados de 500 mil pacientes" e rola a tela. Já viu esse título mês passado, e no anterior. Fica no ar aquela sensação de que não vai dar em nada: a empresa lamenta, promete reforçar a segurança, e a vida segue. Dessa vez deu. A ANPD pegou o caso e abriu processo de sanção. E o motivo pelo qual abriu é a parte que interessa pra quem cuida de dado no dia a dia, porque o que derrubou a defesa da instituição não foi o tamanho do vazamento, foi uma pergunta simples que ela não conseguiu responder com prova.

O que aconteceu?

Um ransomware sequestrou os dados em 2025, e em 2026 a conta chegou pela ANPD.

A instituição investigada é uma organização social com sede em Brasília que administra unidades públicas de saúde em seis estados: Goiás, Rio Grande do Sul, Bahia, Alagoas, Piauí e Tocantins. Vale seguir a linha do tempo, porque cada degrau dela é uma decisão.

Guardo esses três números porque eles não são enfeite. Dado de saúde, criança e adolescente, e tratamento de dado pelo Poder Público estão, os três, entre os temas que a ANPD declarou como prioritários pra fiscalização no biênio 2026-2027. O caso cai bem no meio dessa mira.

Por que "mais um vazamento" virou processo dessa vez?

Porque o que pegou não foi o incidente, foi o que veio depois dele.

Incidente de segurança acontece até em quem faz tudo certo. A ANPD sabe disso, e o próprio regulamento parte daí. O que muda o jogo é a resposta: como a organização avaliou o risco, o que comunicou, e se consegue mostrar o que fez.

No caso em questão, a instituição decidiu sozinha que não havia risco relevante e comunicou de um jeito que a agência considerou insuficiente. Segundo o superintendente de Fiscalização da ANPD, Fabrício Guimarães, faltavam na comunicação itens que o regulamento exige: a data do incidente, a natureza dos dados e das pessoas afetadas, e as medidas tomadas antes e depois do ataque. E a alegação de que só dado administrativo foi acessado nunca veio acompanhada de evidência técnica.

É aqui que o cansaço com a enxurrada de notícias de vazamento se encontra com uma virada real. A régua da ANPD amadureceu. A pergunta que ela faz hoje não é "você foi atacado?", e sim "você consegue provar o que diz ter feito?". Quem responde essa pergunta com um documento sai de um jeito. Quem responde com uma promessa sai de outro.

Ransomware é vazamento? Por que a indisponibilidade também conta

Sim, pra efeito da LGPD conta, e esse é o mal-entendido técnico que mais aparece.

Muita gente trata incidente de dado pessoal como sinônimo de exfiltração, alguém copiando a base e jogando na internet. Ransomware é o outro lado do mesmo dever. Proteger dado, na LGPD, inclui mantê-lo disponível e íntegro, não só sigiloso. Quando os arquivos são criptografados e ninguém acessa, o tratamento foi comprometido do mesmo jeito.

E no caso de saúde a consequência é concreta. Prontuário indisponível é o paciente que chega pra atendimento sem histórico, o exame que precisa ser refeito, o cuidado que trava no meio. Avaliar o risco de um incidente pede olhar o efeito sobre a pessoa, e a indisponibilidade de um prontuário afeta a pessoa mesmo que nenhum byte tenha saído pela porta. Dizer "só travou, não vazou" não encerra a conversa com a autoridade.

Estudo técnico: o que faltou, ponto a ponto

O que faltou em cada frente não foi uma medida, foi o artefato que a comprova.

O auto de infração se organiza em quatro frentes. Vale abrir cada uma e olhar o que um auditor pediria, o que a instituição tinha pra mostrar, e o controle que preenche o vão. Começo pelo mapa e depois desço nos quatro pontos.

A leitura técnica é dura e simples. Diante da ANPD, uma medida de segurança que você não consegue evidenciar é indistinguível de uma medida que não existe. O ônus de comprovar é de quem trata o dado.

Lidos juntos, os quatro cards contam uma história só. A instituição pode até ter tomado providências. O que ela não construiu foi a capacidade de mostrá-las. E, num processo de proteção de dados, providência que não se comprova pesa quase como providência que não existiu.

A pergunta da ANPD não é se você foi atacado. É se você consegue provar o que diz ter feito. Comprovação não se improvisa no meio de um incidente: ou o rastro foi sendo deixado no caminho, ou ele não existe.

Como um programa teria mudado o desfecho?

Pega o mesmo ransomware numa casa que trata governança como sistema que funciona, não como pasta que dorme.

No primeiro dia, a resposta a incidente já está desenhada. Existe um plano que diz quem aciona, quem avalia o risco, quem fala com a ANPD e com os titulares. A avaliação de risco relevante não é um palpite de última hora, é um procedimento com critérios registrados, que olha o efeito sobre a pessoa (inclusive a indisponibilidade do prontuário) e deixa rastro da conclusão.

A comunicação sai no prazo de três dias úteis, completa: data do incidente, natureza dos dados, número e perfil de quem foi afetado, medidas antes e depois. Se ainda falta apurar algo, a organização usa a complementação de vinte dias úteis que o próprio regulamento prevê, em vez de mandar um aviso vago que a agência vai devolver.

E a comprovação já existe, porque foi produzida antes. Registro de segurança, política vigente, evidência de backup e de teste, log de acesso. Quando a ANPD pergunta o que foi acessado, a resposta vem com prova. O encarregado está publicado no portal, com canal ativo, desde muito antes de o ataque acontecer.

O ataque continua sendo um ataque. O que o programa muda é o desfecho, porque a organização consegue mostrar que preveniu no razoável e reagiu no padrão da lei. Governança não promete que o incidente não acontece. Ela decide a qualidade da resposta quando acontece, e é a resposta que a autoridade julga.

Quanto isso custa, e por onde começar?

As sanções vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração.

O valor é calculado pelo Regulamento de Dosimetria (Resolução CD/ANPD nº 4/2023), que pesa gravidade, boa-fé, cooperação e, com destaque pra quem opera dados, a adoção de um programa de governança em privacidade. Ter o programa e conseguir comprová-lo conta a favor na hora de dosar a multa. Faltar prova conta contra. As sanções do art. 52 da LGPD podem chegar à suspensão da atividade de tratamento.

Pra quem dirige serviço de saúde, público ou privado, ficam três aprendizados que valem imprimir. Indisponibilidade é incidente: ransomware entra na régua de comunicação mesmo sem exfiltração comprovada. A decisão sobre risco relevante precisa ser um procedimento com critério e rastro, não uma conclusão sem lastro. E a comprovação da segurança se constrói na rotina, porque no meio de um incidente já é tarde pra começar a produzir prova.

Antes de montar comitê, comprar ferramenta ou escrever política, vale um retrato honesto de onde a organização pisa: o que ela já sabe provar e onde estão os vãos. As quatro frentes deste caso servem de checklist: em qual delas o seu programa já produz evidência hoje, e em qual ela ainda vive só no papel. É esse mapa, e não a próxima política, que diz por onde começar.

O caso não é sobre uma instituição azarada. É sobre a diferença entre ter feito e conseguir mostrar. Um vazamento a mais no feed, sim. Mas dessa vez com um mapa embutido de onde o seu próprio programa pode estar aberto.

Transparência: esta peça foi pesquisada e estruturada com apoio de IA, sob edição e responsabilidade do autor. Os fatos do caso foram conferidos em fonte primária (ANPD) e a citação normativa foi verificada. A capa, gerada por IA, carrega Content Credentials (C2PA) com a procedência da imagem.