A Agência Nacional de Proteção de Dados (ANPD) instaurou um processo administrativo sancionador para apurar possíveis falhas na segurança da informação do Instituto Saúde e Cidadania (Isac). A organização social é responsável pela gestão de unidades de saúde em seis estados brasileiros, incluindo Alagoas. O procedimento investiga o impacto de um ataque cibernético do tipo ransomware — quando o sistema é bloqueado por falhas que desativam resgate — que afetou cerca de 500 mil registros de pacientes. As informações foram divulgadas pelo jornal O Estado de S. Paulo.

De acordo com o relatório preliminar da autarquia federal, foram detectadas vulnerabilidades na proteção de dados confidenciais armazenados pela instituição. Entre as informações sob risco estão prontuários médicos, históricos de exames, diagnósticos e dados pessoais de usuários do sistema de saúde. O volume total inclui registros de 78.772 crianças e adolescentes, além de 47.921 idosos.

Índices de falhas e possíveis avaliações

A fiscalização da ANPD revelou que há uma suspeita de que a organização social não dispunha de mecanismos técnicos adequados para mitigar riscos de invasão. Além disso, o relatório indica que o Isac pode ter descumprido procedimentos previstos na lei após a consumação do incidente, como a notificação tempestiva aos titulares dos dados afetados.

O Isac foi formalmente notificado e possui prazo legal para apresentar sua defesa administrativa. Caso as infrações à Lei Geral de Proteção de Dados (LGPD) sejam confirmadas ao final do processo, a entidade poderá sofrer avaliações que variam desde advertências formais até a aplicação de multas pecuniárias e restrições parciais ou totais ao tratamento de seus bancos de dados.

Defesa e contraponto

Em nota oficial, a Prefeitura de Maceió esclareceu que não foi registrado vazamento de dados de pacientes nas Unidades de Pronto Atendimento (UPAs) da capital administrada pelo Isac. O Executivo municipal informou que, no ano de 2025, houve apenas uma tentativa de ataque cibernético aos sistemas, que foi contido pelas barreiras de segurança. A gestão garantiu que as informações médicas locais permanecessem protegidas e em conformidade com as exigências da legislação vigente.

O Instituto Saúde e Cidadania também se manifestou negando a ocorrência de exfiltração ou vazamento de informações. A organização apoiou a ocorrência de ataque digital, mas argumentou que a ação criminosa causou uma indisponibilidade temporária dos sistemas operacionais. Segundo a entidade, o ambiente digital foi restaurado por meio de cópia de segurança (backups) e auditorias técnicas posteriores não encontraram evidências de extração ou divulgação indevida de dados pessoais de pacientes.