A Agência Nacional de Proteção de Dados (ANPD) está investigando o vazamento de dados de pacientes atendidos em unidades de saúde administradas pelo Instituto Saúde e Cidadania (Isac), organização social que atua em seis estados brasileiros, incluindo Alagoas. A autoridade instaurou um processo administrativo para apurar supostas falhas na proteção de dados após um ataque cibernético do tipo ransomware que teria atingido cerca de 500 mil registros de pacientes.

Segundo informações divulgadas pelo Estadão, a investigação busca verificar se o instituto adotava medidas adequadas para proteger dados sensíveis, como prontuários médicos, históricos de exames, diagnósticos e informações pessoais. Entre os registros potencialmente afetados estariam dados de 78.772 crianças e adolescentes, além de 47.921 idosos, ampliando a preocupação em torno da proteção de informações consideradas de alta sensibilidade pela Lei Geral de Proteção de Dados (LGPD).

A ANPD afirma haver indícios de que o Isac não possuía mecanismos suficientes para garantir a segurança das informações e também questiona a forma como a organização teria conduzido as medidas após o incidente. Entre os pontos analisados está a suposta ausência de procedimentos adequados para comunicar os titulares dos dados eventualmente impactados, conforme previsto na legislação.

Caso sejam confirmadas as irregularidades, o instituto poderá sofrer sanções previstas na LGPD, que incluem advertências, aplicação de multas e até restrições para o tratamento de dados pessoais. O Isac terá prazo para apresentar sua defesa durante o processo administrativo conduzido pela autoridade nacional.

Em Alagoas, o caso repercute diretamente porque o Instituto Saúde e Cidadania administra unidades da rede pública em Maceió. A Prefeitura informou que não houve vazamento de dados de pacientes das Unidades de Pronto Atendimento (UPAs) sob responsabilidade da organização social.

De acordo com o município, em 2025 foi registrada apenas uma tentativa de ataque cibernético, sem sucesso, e todos os mecanismos de proteção impediram qualquer comprometimento das informações armazenadas. A administração municipal reforçou que os sistemas permanecem em conformidade com as exigências da Lei Geral de Proteção de Dados.

O Instituto Saúde e Cidadania também contesta as suspeitas de vazamento. Em nota, a organização informou que o ataque provocou apenas uma indisponibilidade temporária dos sistemas, posteriormente restabelecidos por meio das cópias de segurança existentes.

Ainda segundo o Isac, análises técnicas realizadas após o incidente não identificaram evidências de extração, exfiltração ou divulgação indevida de dados pessoais. A organização sustenta que não houve comprometimento das informações dos pacientes e afirma que continuará colaborando com as autoridades durante a apuração conduzida pela ANPD.