Dados de pacientes atendidos nas Unidades de Pronto Atendimento (UPAs) Benedito Bentes, Trapiche da Barra e Santa Lúcia, em Maceió, estão entre os registros comprometidos por um ataque cibernético sofrido em 2025 pelo Instituto Saúde e Cidadania (Isac). A organização, que administra unidades de saúde em seis estados, passou a ser investigada pela Agência Nacional de Proteção de Dados (ANPD) por possíveis infrações à Lei Geral de Proteção de Dados (LGPD).
O incidente consistiu em um ataque de ransomware, modalidade em que dados são sequestrados por criminosos. Segundo as investigações, aproximadamente 500 mil registros podem ter sido afetados em todo o país, incluindo cerca de 78.772 de crianças e adolescentes e 47.921 de idosos. As informações vazadas incluem dados de identificação, prontuários, exames, prescrições, diagnósticos e procedimentos realizados.
A ANPD aponta falhas como a falta de medidas de segurança adequadas, comunicação considerada insuficiente às pessoas afetadas, ausência de informações sobre o responsável pelo tratamento dos dados e descumprimento dos princípios de prevenção e prestação de contas. A agência apurou que o Isac não teria comunicado individualmente os titulares, limitando-se a publicar um aviso em seu site.
Em nota, o Isac afirmou que o incidente não resultou em vazamento de dados, alegando que os invasores acessaram apenas informações administrativas e bancos de dados de contratos encerrados, mas sem apresentar comprovação. O instituto disse que comunicou o ocorrido à ANPD e às autoridades, recuperou os sistemas a partir de cópias de segurança sem perda de informações e reforçou seus controles de segurança. A ANPD informou que o procedimento segue em análise e que nenhuma penalidade foi aplicada até o momento.
