Goiânia – A exposição de dados pessoais e clínicos de cerca de 500 mil pacientes reacendeu o debate sobre a segurança da informação na saúde e colocou o setor hospitalar em estado de alerta. O incidente cibernético comprometeu prontuários, diagnósticos, exames, prescrições e históricos de internação — alcançando inclusive 78,7 mil registros de crianças e adolescentes e 47,9 mil de idosos. A Agência Nacional de Proteção de Dados (ANPD) instaurou processo administrativo contra o Instituto Saúde e Cidadania (Isac), organização social atuante em Goiás e em outros cinco estados.
O episódio coincide com o fortalecimento institucional da ANPD. Aprovada em fevereiro, a Lei 15.352/2026 transformou o órgão em autarquia de natureza especial, estruturou a carreira de Regulação e Fiscalização e concedeu a 200 novos especialistas prerrogativas típicas do poder de polícia. Entre as atribuições previstas em norma para situações de obstrução ou desacato estão o poder de apreender bens, solicitar auxílio policial e até mesmo interditar estabelecimentos, instalações ou equipamentos.
Os limites do poder de polícia na saúde
A possibilidade de interdição gerou dúvidas no setor sobre se falhas de segurança poderiam levar ao fechamento compulsório de unidades de saúde. Em entrevista ao Mais Goiás, a advogada Rogéria Storck, especialista em Direito Médico e integrante das comissões do tema na OAB-GO e na OAB-SP, esclarece que a prerrogativa legal não autoriza sanções drásticas automáticas motivadas unicamente por vazamentos ou irregularidades na Lei Geral de Proteção de Dados (LGPD).
“O ponto jurídico central está na existência de comportamento que possa configurar desacato ou embaraço à fiscalização. O ambiente hospitalar adiciona uma variável indispensável: a continuidade do atendimento e a segurança dos pacientes. A análise jurídica não pode desconsiderar que determinados setores prestam assistência vital”, ressalta Storck.
Na prática, as sanções e apurações por falhas técnicas de proteção seguem o rito gradual da ANPD — que vai de notificações de esclarecimento a multas —, enquanto medidas extremas de interdição exigem condutas ativas de impedimento ao trabalho dos fiscais.
Mecanismos de Atuação da ANPD (Lei 15.352/2026 e LGPD)
┌───────────────────────────────────┐ ┌───────────────────────────────────┐
│ Apuração de Incidentes/LGPD │ │ Poder de Polícia/Fiscal │
├───────────────────────────────────┤ ├───────────────────────────────────┤
│ • Solicitação de esclarecimentos │ │ • Verificação presencial/remota │
│ • Determinação de salvaguardas │ │ • Requisição de documentos │
│ • Processo administrativo sancionador │ │ • Sanção por embaraço/obstrução │
└───────────────────────────────────┘ └───────────────────────────────────┘
Resposta a fiscais e a questão do sigilo médico
O dever de cooperação com a ANPD vigora desde 2021, de modo que negar documentos ou deixar de responder a notificações oficiais pode ser interpretado legalmente como obstrução. A especialistas adverte, contudo, que hospitais precisam diferenciar restrições técnicas e médicas legítimas de uma recusa deliberada.
Para evitar litígios ou alegações de embaraço fiscalitório durante diligências presenciais, os estabelecimentos de saúde devem adotar os seguintes protocolos previstos:
- Designação de representação prévia: Definir formalmente os profissionais responsáveis por receber a fiscalização e acompanhar as rotinas de verificação.
- Justificativa de acesso restrito: Formalizar eventuais restrições de entrada em Unidades de Terapia Intensiva (UTIs), centros cirúrgicos e áreas de isolamento com base estrita em normas sanitárias e de biossegurança, oferecendo vias alternativas para o fornecimento dos dados requisitados.
- Mapeamento do sigilo sem negativa genérica: Identificar os registros protegidos pelo sigilo médico de forma fundamentada e por escrito, uma vez que o sigilo profissional não pode ser utilizado como justificativa simplista para impedir a atuação do órgão regulador.
Vazamento de dados e reflexos em golpes no estado
A urgência por adequações de segurança ganha relevância diante do uso fraudulento de dados de saúde na região. Recentemente, investigações policiais revelaram a ação de criminosos que utilizaram informações privilegiadas de pacientes internados em UTIs em Aparecida de Goiânia e na Santa Casa de Misericórdia de Goiânia para extorquir familiares, cobrando valores entre R$ 5,8 mil e R$ 9,8 mil por supostos exames de emergência.
Paralelamente à expansão dos serviços digitais — a exemplo da integração de Goiás à Rede Nacional de Dados em Saúde e ao aplicativo CUIDA+GOIÁS —, os estabelecimentos de saúde enfrentam a obrigação de intensificar controles de permissão de acesso, manter registros de auditoria interna e capacitar equipes humanas.
Diante da ausência de regulamentação específica sobre como aplicar sanções administrativas sem comprometer equipamentos vitais de suporte à vida, a atuação fiscalizadora deve observar o princípio constitucional da proporcionalidade, cabendo aos hospitais a estruturação imediata de seus planos de governança e resposta a incidentes.
