El auto de infracción abre con una frase que cambia el tono de la fiscalización de datos en Brasil. Según el auto de infracción de la ANPD, hay "indicios de minimización de la gravedad del incidente". El Proceso Administrativo Sancionador fue instaurado el 8 de julio de 2026 contra el ISAC, Instituto Saúde e Cidadania, por un ataque ransomware en enero de 2025 que afectó cerca de 500 mil registros, incluyendo 78.772 niños y adolescentes y 47.921 adultos mayores. Seguimos el caso y la señal es clara: la ANPD dejó de ser un órgano de advertencia y pasó a exigir evidencia técnica, DPO formal y comunicación real a los titulares.
La escala del incidente y el perfil de la imputada
Según el auto de infracción de la ANPD, el ISAC es una organización social privada sin fines de lucro, con sede en Brasilia, que actúa en 6 estados: Goiás, Rio Grande do Sul, Bahia, Alagoas, Piauí y Tocantins. El incidente ocurrió en enero de 2025 y afectó cerca de 500 mil registros, reportados por el Isac a la ANPD. El alcance de los datos es amplio: nombre, fecha de nacimiento, historias clínicas, exámenes, prescripciones, atenciones y diagnósticos, todos datos sensibles bajo la LGPD.
Según el auto de infracción, los atacantes accedieron a los backups en la nube. El Isac no pagó rescate y comunicó a la ANPD espontáneamente en 2025. Pero lo que parecía una postura de transparencia se convirtió, según la ANPD, en un caso de "fallas graves en la protección de datos personales y sensibles". La diferencia entre comunicar y comprobar es lo que separa una defensa válida de un agravante.
Los artículos de la LGPD citados y las citas literales del auto
Según el auto de infracción de la ANPD, los artículos citados son: Art. 46 (seguridad), Art. 48 (comunicación de incidentes), Art. 41 (DPO) y Art. 6º, incisos IV y VI (prevención y responsabilidad). Las citas literales del auto son duras:
- "hay indicios de minimización de la gravedad del incidente"
- "fallas graves en la protección de datos personales y sensibles"
- "comunicación insuficiente a los titulares"
- "ausencia de evidencias sobre la adopción de medidas correctivas, pese a reiterados pedidos para comprobarlas"
Cada una de estas frases apunta a una falla operacional concreta: sin IR formal, sin DPO formal y sin plan de comunicación a los titulares, la organización acumula violaciones que la ANPD trata como agravantes, no como atenuantes.
La tesis de defensa del ISAC y por qué falló
Según la tesis del Isac, la organización niega fuga y exfiltración. Alega "indisponibilidad temporal". Sostiene que los atacantes accedieron "solo a información administrativa y bases de datos referentes a contratos ya finalizados". El problema es que, según el auto de infracción, no hubo comprobación técnica tras reiterados cuestionamientos.
Esta es la lección central para cualquier DPO: la alegación sin evidencia no es defensa. Sin un informe de respuesta a incidentes formal, con preservación de cadena de custodia, logs forenses y análisis de exfiltración, la ANPD trata la narrativa como especulativa. El principio de prevención, citado por Fabrício Guimarães, superintendente de Fiscalización de la ANPD, es explícito: "Bajo la lógica del principio de prevención, tengo que estimar lo peor y prepararme para lo peor". En otras palabras, la carga de la prueba técnica recae sobre el controlador.
El techo legal y el precedente Telekall
Conforme el Art. 52 de la LGPD, la multa puede llegar al 2% de la facturación de la persona jurídica de derecho privado, limitada a 50 millones de reales por infracción. Otras sanciones previstas incluyen advertencia, publicidad de la infracción, bloqueo o eliminación de los datos y suspensión parcial del funcionamiento por hasta 6 meses, conforme la Resolución CD/ANPD nº 4/2023. El plazo de defensa del ISAC es de 10 días hábiles. Ninguna multa fue aplicada hasta el momento, el proceso está en curso.
El precedente importa. La primera multa pecuniaria de la ANPD fue aplicada a Telekall en julio de 2023, por el valor de 14.400 reales. El caso ISAC es un PAS de escala inédita contra una organización privada de salud pública. Como persona jurídica de derecho privado, el ISAC puede recibir multa pecuniaria, a diferencia de los órganos públicos. Según la ANPD, reportado por Estadão, Folha, Valor, O Globo, G1 y CNN Brasil, el caso redefinió el estándar de fiscalización de datos de salud en Brasil.
Lo que Tech86 implementa
Repetimos: comunicar a la ANPD no basta. Hay que comprobar. Lo que Tech86 implementa en clientes de salud e infraestructura crítica:
- SOC 24/7 con MDR, el dwell time de una violación se convierte en detección en horas, no en meses. El incidente del ISAC ocurrió en enero de 2025 y el PAS solo fue instaurado en julio de 2026, 18 meses de brecha.
- Backup inmutable y offline, las copias de seguridad en la nube con la misma credencial son el segundo objetivo del ransomware. Los atacantes del ISAC accedieron a los backups en la nube directamente.
- Respuesta a incidentes con preservación de evidencias, sin IR formal no hay informe para la ANPD. La defensa del ISAC falló porque no presentó comprobación técnica tras reiterados cuestionamientos.
- Comunicación de incidentes a la ANPD en 3 días hábiles, conforme la Resolución CD/ANPD nº 15/2024, relato técnico fundamentado, sin narrativa especulativa.
- Cumplimiento de la LGPD con DPO formal y plan de comunicación a los titulares, los Art. 41 y Art. 48 exigidos en el auto son exactamente los puntos donde la "comunicación insuficiente a los titulares" fue citada como falla.
Conclusión: la carga de la prueba técnica recae sobre el controlador
El caso ISAC no es solo un incidente de ransomware, es, principalmente, un caso de fiscalización de la LGPD por fallas de respuesta a incidentes. La ANPD no está juzgando el ataque; está juzgando la respuesta. Según el auto de infracción, la "ausencia de evidencias sobre la adopción de medidas correctivas" es lo que transforma un incidente en sanción. Ayudamos a las organizaciones a construir exactamente lo que faltó: SOC 24/7, backup inmutable, IR con evidencia, comunicación en 3 días hábiles y DPO formal. Antes del PAS, no después.