Ataque cibernético atinge dados de 500 mil pacientes no Brasil e deixa Goiás em alerta

Um ataque cibernético que atingiu dados de 500 mil pacientes no Brasil ampliou o debate e deixou o estado de Goiás em alerta. Entre os dados estavam prontuários, diagnósticos, prescrições, exames, internações e procedimentos médicos. Dos registros informados como atingidos, 78.772 pertenciam a crianças e adolescentes e 47.921 a idosos. A Agência Nacional de Proteção de Dados (ANPD) não informou quantos pacientes de Goiás estavam no conjunto, portanto o total de 500 mil não pode ser atribuído ao estado.  

A ANPD ganhou uma nova estrutura de fiscalização em 2026. A Lei 15.352, sancionada em fevereiro, transformou o órgão em autarquia de natureza especial submetida ao regime das agências reguladoras e criou a carreira de Regulação e Fiscalização de Proteção de Dados. Entre as prerrogativas incorporadas aos novos especialistas está a possibilidade de interditar estabelecimentos, instalações ou equipamentos durante determinadas atividades fiscais.

A mudança ocorre enquanto o setor de saúde amplia o armazenamento e a circulação de informações digitais. Em julho, a própria ANPD abriu processo administrativo sancionador contra o Instituto Saúde e Cidadania (Isac), organização social que atua em Goiás e outros cinco estados, após o ataque cibernético atingir registros de aproximadamente 500 mil pacientes goianos. O processo contra a entidade não resultou em interdição.

Para entender até onde podem chegar os novos poderes de fiscalização, o Mais Goiás ouviu Rogéria Storck, advogada especialista em Direito Médico e integrante das comissões de Direito Médico e Saúde da OAB-GO e da OAB-SP.

Distinção

A Lei 15.352 criou 200 cargos de Especialista em Regulação de Proteção de Dados e incluiu esses profissionais entre os servidores abrangidos por prerrogativas previstas na Lei 10.871. Durante funções fiscais ou decorrentes do poder de polícia, a legislação menciona a possibilidade de interditar estabelecimentos, instalações ou equipamentos, apreender bens e solicitar auxílio policial. O dispositivo relaciona essas medidas a situações de desacato ou embaraço ao exercício das funções.

Segundo Rogéria Storck, esse trecho não deve ser lido como autorização genérica para que a ANPD feche hospitais sempre que encontrar uma irregularidade relacionada à proteção de dados. Para a advogada, o ponto jurídico central está na existência de comportamento que possa configurar desacato ou embaraço à fiscalização. 

Storck explica ainda que o ambiente hospitalar adiciona uma variável que não aparece da mesma maneira em outros estabelecimentos. Uma eventual medida administrativa precisa considerar a continuidade do atendimento e a segurança dos pacientes, segundo a especialista. Em outras palavras, a análise jurídica não pode desconsiderar que determinados setores prestam assistência indispensável à manutenção da vida. 

Leia mais: Técnica é presa por aplicar golpe de R$ 5,8 mil usando dados de paciente da UTI

O que pode ser considerado obstrução à fiscalização

A obrigação de colaborar com a ANPD não começou em 2026. O regulamento de fiscalização publicado em 2021 já previa deveres de cooperação e tratava como obstrução condutas capazes de impedir ou dificultar a obtenção das informações necessárias à apuração. A agência informa que a recusa de documentos solicitados ou a ausência de resposta pode configurar obstrução. 

Na avaliação de Storck, a novidade está no fato de que os novos especialistas passaram a integrar um regime jurídico com prerrogativas mais amplas de poder de polícia. Isso torna necessário, segundo a advogada, diferenciar uma limitação operacional legítima de uma resistência injustificada à atividade fiscalizatória. 

Ela aponta que hospitais precisam estabelecer previamente quem recebe os fiscais, quem acompanha a diligência e quais setores podem exigir procedimentos especiais de entrada. Sem esse protocolo, uma medida que poderia ser justificada por razões assistenciais corre o risco de ser mal interpretada durante uma fiscalização.

Leia mais: Golpistas se passam por médicos para extorquir familiares de pacientes da Santa Casa

Sigilo médico não deve ser usado como negativa genérica, diz especialista

Prontuários, diagnósticos, exames e informações sobre tratamentos são classificados pela LGPD como dados pessoais sensíveis. A ANPD informa, entretanto, que o agente fiscalizado não pode invocar sigilo de forma genérica apenas para negar informações requisitadas durante uma fiscalização. O conteúdo pode ser identificado como sigiloso e acompanhado da fundamentação jurídica correspondente. 

Storck explica que preservar o sigilo médico e impedir a fiscalização são situações diferentes. Uma unidade pode, por exemplo, limitar a entrada em uma UTI, centro cirúrgico ou área de isolamento por razões assistenciais ou de biossegurança. Isso não significa, segundo ela, que o estabelecimento possa simplesmente impedir o acesso da autoridade às informações necessárias. 

Nessas circunstâncias, a especialista defende que a limitação seja justificada, registrada e acompanhada de uma alternativa para permitir a fiscalização. O procedimento evita que uma restrição criada para preservar a assistência seja confundida com obstrução ao trabalho dos fiscais. 

Leia mais: Saúde alerta sobre golpe da vacina em Goiás

Caso envolvendo 500 mil pacientes não teve interdição

O processo aberto pela ANPD contra o Isac ajuda a separar duas situações. A agência apura possíveis falhas nas medidas técnicas e administrativas de segurança, na comunicação aos pacientes afetados e no fornecimento de informações relacionadas ao encarregado de dados. O procedimento é administrativo sancionador e, até o momento, não envolve interdição. 

Segundo Storck, esse tipo de situação não deve ser usado como prova de que um vazamento levará ao fechamento de um hospital. Para ela, são institutos diferentes: uma investigação por possível descumprimento das obrigações de segurança não se confunde automaticamente com uma medida vinculada a desacato ou embaraço à fiscalização.

A própria ANPD informa que seu modelo de fiscalização trabalha com medidas preventivas, corretivas e sancionatórias e considera o comportamento do agente regulado. O procedimento pode começar por pedidos de esclarecimento e documentos e avançar conforme a resposta da organização. 

Leia mais: Técnica teria usado dados de paciente internado para aplicar golpe em Aparecida

Dados médicos já apareceram em golpes em Goiás

Em junho, uma técnica de enfermagem foi presa em Aparecida de Goiânia sob suspeita de acessar informações sigilosas de um paciente internado em uma UTI e repassá-las a um comparsa. Segundo a Polícia Civil, o suspeito procurou o filho da vítima e cobrou R$ 5,8 mil por supostos exames emergenciais. O caso foi revelado pelo Mais Goiás. 

Outro caso foi registrado na Santa Casa de Misericórdia de Goiânia. Criminosos se passaram por médicos e informaram a familiares uma falsa piora do estado de saúde de pacientes para cobrar valores por supostos exames. Em uma das tentativas, o pedido chegou a R$ 9,8 mil. A investigação não estabeleceu, porém, que os dados utilizados pelos criminosos tenham saído dos sistemas da unidade. 

Para Storck, episódios envolvendo dados de saúde reforçam a necessidade de hospitais controlarem quem acessa informações, por qual motivo e em que momento. Segundo ela, a adequação à LGPD precisa alcançar não apenas documentos e sistemas, mas também treinamento, permissões internas e protocolos de resposta a incidentes.

Leia mais: Golpistas se passam por médicos e cobram familiares de pacientes em Goiânia

Digitalização aumenta responsabilidade dos hospitais

A Secretaria de Estado da Saúde de Goiás mantém uma estrutura específica para aplicação da LGPD e um encarregado responsável por receber comunicações da ANPD, atender demandas e orientar servidores e empresas contratadas. A página destinada à proteção de dados foi atualizada em junho. 

Em julho, o Estado publicou também a política de privacidade do aplicativo CUIDA+GOIÁS. O documento prevê tratamento de informações produzidas durante acompanhamento médico, de enfermagem e de nutrição e menciona mecanismos de controle de acesso, comunicação criptografada e monitoramento da integridade das informações. Goiás também integra a Rede Nacional de Dados em Saúde. A estrutura permite troca padronizada de informações clínicas entre diferentes sistemas de saúde.

Na avaliação de Storck, quanto mais informações passam a circular digitalmente, maior precisa ser a organização interna das instituições. Ela afirma que proteção de dados deixa de ser apenas preocupação jurídica e passa a integrar processos de atendimento, tecnologia, segurança da informação e administração hospitalar.

Leia mais: Goiânia prevê até 30 mil atendimentos de telemedicina por mês

Nem toda interdição teria o mesmo impacto em um hospital

A legislação não detalha como uma eventual interdição seria aplicada em cada tipo de ambiente de saúde. Não existe, nas normas analisadas, um procedimento específico para definir como a ANPD deveria agir diante de uma UTI, centro cirúrgico ou equipamento indispensável à assistência. 

Storck chama atenção para essa lacuna. Segundo a advogada, interditar uma sala administrativa produz consequências diferentes de retirar de funcionamento uma estrutura necessária à assistência de um paciente grave. Por isso, ela entende que qualquer aplicação concreta precisaria considerar as circunstâncias, a proporcionalidade e os riscos criados pela própria medida. 

A Lei Geral das Agências Reguladoras estabelece que a atuação administrativa deve observar adequação entre os meios empregados e os objetivos buscados. Para Storck, esse princípio ganha peso especial quando o estabelecimento fiscalizado presta serviço essencial de saúde.

Leia mais: Mais Goiás mostra riscos e critérios da telemedicina na rede municipal de Goiânia

Afinal, a ANPD pode interditar um hospital?

Para Rogéria Storck, a resposta exige uma distinção. A nova legislação assegura aos especialistas abrangidos pela norma prerrogativas de interdição durante atividades fiscais ou de poder de polícia relacionadas a desacato ou embaraço. Isso, segundo ela, não equivale a uma autorização automática para fechar um hospital sempre que houver irregularidade relacionada à LGPD. 

A advogada explica que cada situação precisaria ser analisada conforme o comportamento do fiscalizado, a natureza do obstáculo encontrado e os efeitos de eventual medida sobre a assistência. Uma irregularidade de proteção de dados, um incidente de segurança e uma obstrução à fiscalização são situações juridicamente diferentes, segundo a especialista.

Para Storck, a consequência prática imediata para hospitais e clínicas é outra: preparar-se antes da chegada de uma fiscalização. Isso inclui estabelecer quem recebe a equipe, quem fornece documentos, como informações sigilosas são disponibilizadas e como restrições de acesso a áreas assistenciais são justificadas. 

A especialista afirma que o sigilo médico continua sendo obrigação do estabelecimento. A diferença é que, diante de uma requisição da autoridade, ele precisa ser administrado dentro de um protocolo jurídico e assistencial, e não utilizado como justificativa genérica para impedir a fiscalização.