A Agência Nacional de Proteção de Dados (ANPD) instaurou processo sancionador contra o Instituto Saúde e Cidadania (ISAC), em decorrência de um incidente de segurança que resultou na exposição de dados pessoais de aproximadamente 500 mil pacientes.
O caso reforça um movimento que já vinha se consolidando: a ANPD deixou de atuar apenas de forma orientativa e passou a instaurar processos administrativos com potencial sancionador em incidentes de grande escala, especialmente quando envolvem dados sensíveis, como é o caso de informações de saúde.
Por que dados de saúde exigem um padrão de proteção mais rigoroso
A Lei Geral de Proteção de Dados (LGPD) classifica dados de saúde como dados pessoais sensíveis, sujeitos a um regime de tratamento mais restritivo. Isso significa que instituições que lidam com esse tipo de informação, hospitais, clínicas, institutos, planos de saúde e organizações do terceiro setor voltadas à área, têm um dever de cuidado ampliado, tanto na prevenção de incidentes quanto na resposta a eles quando ocorrem.
Um incidente de segurança envolvendo dados de saúde não afeta apenas a esfera patrimonial dos titulares. Envolve informações que podem gerar discriminação, constrangimento e exposição de aspectos profundamente pessoais da vida de cada paciente, o que justifica o rigor com que a ANPD tem tratado esses casos.
O que um processo sancionador da ANPD costuma avaliar
Em casos como esse, a autoridade normalmente analisa pontos como:
→ se a organização possuía medidas técnicas e administrativas de segurança compatíveis com o volume e a sensibilidade dos dados tratados
→ se houve comunicação tempestiva do incidente à ANPD e aos titulares afetados
→ se existiam mecanismos de governança e resposta a incidentes previamente estruturados
→ se a organização adotou medidas de mitigação após a descoberta do incidente
A ausência de qualquer um desses elementos tende a agravar a análise de responsabilidade da instituição.
O que esse caso reforça para outras organizações
Casos como o do ISAC não devem ser lidos como um problema isolado, mas como um indicativo do padrão de exigência que a ANPD vem consolidando, especialmente para instituições que tratam dados sensíveis em larga escala.
Ter um programa de privacidade estruturado deixou de ser apenas uma boa prática. É, cada vez mais, um fator determinante para reduzir a exposição a sanções, preservar a reputação institucional e manter a confiança de pacientes, clientes e parceiros.
