O auto de infração abre com uma frase que muda o tom da fiscalização de dados no Brasil. Segundo o auto de infração da ANPD, há "indícios de minimização da gravidade do incidente". O Processo Administrativo Sancionador foi instaurado em 8 de julho de 2026 contra o ISAC, Instituto Saúde e Cidadania, por um ataque ransomware em janeiro de 2025 que afetou cerca de 500 mil registros, incluindo 78.772 crianças e adolescentes e 47.921 idosos. Nós acompanhamos o caso e o sinal é claro: a ANPD deixou de ser um órgão de advertência e passou a cobrar evidência técnica, DPO formal e comunicação real aos titulares.
A escala do incidente e o perfil da ré
Segundo o auto de infração da ANPD, o ISAC é uma organização social privada sem fins lucrativos, sediada em Brasília, que atua em 6 estados: Goiás, Rio Grande do Sul, Bahia, Alagoas, Piauí e Tocantins. O incidente ocorreu em janeiro de 2025 e afetou cerca de 500 mil registros, reportados pelo Isac à ANPD. O escopo dos dados é amplo: nome, data de nascimento, prontuários, exames, prescrições, atendimentos e diagnósticos, todos dados sensíveis sob a LGPD.
Segundo o auto de infração, os invasores acessaram os backups na nuvem. O Isac não pagou resgate e comunicou à ANPD espontaneamente em 2025. Mas o que parecia uma postura de transparência virou, segundo a ANPD, um caso de "falhas sérias na proteção de dados pessoais e sensíveis". A diferença entre comunicar e comprovar é o que separa uma defesa válida de um agravante.
Os artigos da LGPD citados e as citações literais do auto
Segundo o auto de infração da ANPD, os artigos citados são: Art. 46 (segurança), Art. 48 (comunicação de incidentes), Art. 41 (DPO) e Art. 6º, incisos IV e VI (prevenção e responsabilização). As citações literais do auto são duras:
- "há indícios de minimização da gravidade do incidente"
- "falhas sérias na proteção de dados pessoais e sensíveis"
- "comunicação insuficiente aos titulares"
- "ausência de evidências quanto à adoção de medidas corretivas, apesar de reiterados pedidos para comprová-las"
Cada uma dessas frases aponta para uma falha operacional concreta: sem IR formal, sem DPO formal e sem plano de comunicação aos titulares, a organização acumula violações que a ANPD trata como agravantes, não como atenuantes.
A tese de defesa do ISAC e por que ela falhou
Segundo a tese do Isac, a organização nega vazamento e exfiltração. Alega "indisponibilidade temporária". Sustenta que os atacantes acessaram "apenas informações administrativas e bancos de dados referentes a contratos já encerrados". O problema é que, segundo o auto de infração, não houve comprovação técnica após reiterados questionamentos.
Aqui está a lição central para qualquer DPO: alegação sem evidência não é defesa. Sem um laudo de incident response formal, com preservação de cadeia de custódia, logs forenses e análise de exfiltração, a ANPD trata a narrativa como especulativa. O princípio da prevenção, citado por Fabrício Guimarães, superintendente de Fiscalização da ANPD, é explícito: "Numa lógica do princípio da prevenção, eu tenho que estimar o pior e me preparar para o pior." Em outras palavras, o ônus da prova técnica recai sobre o controlador.
O teto legal e o precedente Telekall
Conforme o Art. 52 da LGPD, a multa pode chegar a 2% do faturamento da pessoa jurídica de direito privado, limitada a 50 milhões de reais por infração. Outras sanções previstas incluem advertência, publicização da infração, bloqueio ou eliminação dos dados e suspensão parcial do funcionamento por até 6 meses, conforme a Resolução CD/ANPD nº 4/2023. O prazo de defesa do ISAC é de 10 dias úteis. Nenhuma multa foi aplicada até o momento, o processo está em curso.
O precedente importa. A primeira multa pecuniária da ANPD foi aplicada à Telekall em julho de 2023, no valor de 14.400 reais. O caso ISAC é um PAS de escala inédita contra uma organização privada de saúde pública. Como pessoa jurídica de direito privado, o ISAC pode receber multa pecuniária, diferentemente de órgãos públicos. Segundo a ANPD, reportado por Estadão, Folha, Valor, O Globo, G1 e CNN Brasil, o caso redefiniu o padrão de fiscalização de dados de saúde no Brasil.
O que a Tech86 implementa
Nós repetimos: comunicar à ANPD não basta. É preciso comprovar. O que a Tech86 implementa em clientes de saúde e infraestrutura crítica:
- SOC 24/7 com MDR, a dwell time de uma violação vira detecção em horas, não meses. O incidente do ISAC ocorreu em janeiro de 2025 e o PAS só foi instaurado em julho de 2026, 18 meses de lacuna.
- Backup imutável e offline, cópias de segurança em nuvem pela mesma credencial são o segundo alvo do ransomware. Os atacantes do ISAC acessaram os backups na nuvem diretamente.
- Incident response com preservação de evidências, sem IR formal, não há laudo para a ANPD. A defesa do ISAC falhou porque não apresentou comprovação técnica após reiterados questionamentos.
- Comunicação de incidentes à ANPD em 3 dias úteis, conforme a Resolução CD/ANPD nº 15/2024, relato técnico com embasamento, sem narrativa especulativa.
- LGPD compliance com DPO formal e plano de comunicação aos titulares, os Art. 41 e Art. 48 cobrados no auto são exatamente os pontos onde a "comunicação insuficiente aos titulares" foi citada como falha.
Conclusão: o ônus da prova técnica recai sobre o controlador
O caso ISAC não é apenas um incidente de ransomware, é, principalmente, um caso de fiscalização da LGPD sobre falhas de incident response. A ANPD não está julgando o ataque; está julgando a resposta. Segundo o auto de infração, "ausência de evidências quanto à adoção de medidas corretivas" é o que transforma um incidente em sanção. Nós ajudamos organizações a construir exatamente o que faltou: SOC 24/7, backup imutável, IR com evidência, comunicação em 3 dias úteis e DPO formal. Antes do PAS, não depois.