Risco de terceiros: a saúde responde pelo fornecedor

O processo da ANPD contra uma organização social de saúde mostra que terceirizar o sistema não terceiriza a responsabilidade do controlador.

O que aconteceu

O risco de terceiros deixou de ser hipótese de manual. Em 8 de julho de 2026, a ANPD instaurou processo administrativo sancionador contra o Instituto Saúde e Cidadania (Isac), organização social que gere unidades públicas de saúde em seis estados. O processo, autuado sob o número 00261.003381/2026-55, apura falhas relacionadas a um ataque de ransomware ocorrido em 2025 e comunicado pela própria instituição à Agência.

Os números dão a dimensão. Cerca de 500 mil registros afetados, dos quais aproximadamente 78.772 de crianças e adolescentes e 47.921 de idosos. O conteúdo incluía dados de identificação e dados pessoais sensíveis de saúde: histórico de exames, prontuários, prescrições, atendimentos ambulatoriais, internações, diagnósticos e procedimentos realizados.

O caso não é isolado. Em setembro de 2025, o grupo de ransomware KillSec atacou a MedicSolution, fornecedora de software de gestão para clínicas no Brasil. Segundo a empresa de segurança Resecurity, foram extraídos mais de 34 GB e quase 95 mil arquivos, entre exames laboratoriais, avaliações médicas, radiografias e imagens de pacientes, incluindo menores de idade, atingindo cinco laboratórios e clínicas brasileiras. Os dados estavam em buckets abertos na nuvem, o que dispensou qualquer invasão sofisticada.

Dois episódios, um mesmo padrão: o dado do paciente estava sob a guarda de um terceiro.

Por que isso importa para o setor

Porque a LGPD não permite empurrar a responsabilidade pela cadeia. O art. 47 é explícito ao dizer que os agentes de tratamento, ou qualquer pessoa que intervenha em uma das fases do tratamento, obrigam-se a garantir a segurança da informação. O art. 44, parágrafo único, atribui responsabilidade pelos danos a quem deixar de adotar as medidas de segurança previstas no art. 46. E o art. 42, §1º, I, prevê que o operador responde solidariamente quando descumprir as obrigações da legislação ou não seguir as instruções lícitas do controlador.

Na prática, o hospital que contrata o prontuário eletrônico, a operadora que contrata a plataforma de autorização e o laboratório que contrata o sistema de laudos continuam sendo controladores. Escolher mal o fornecedor, não fiscalizar e não documentar essa escolha é falha própria, não do terceiro.

Some a isso o ambiente de 2026. A ANPD é agência reguladora desde a Lei nº 15.352/2026, com autonomia financeira e poder de polícia administrativa, e as Resoluções CD/ANPD nº 30 e nº 31, de dezembro de 2025, fixaram temas prioritários de fiscalização voltados a dados sensíveis.

O que o caso Isac ensina sobre comunicação de incidente

O ponto mais instrutivo do auto de infração não é o ataque em si. É o que veio depois.

A ANPD apura, entre outras condutas, a não adoção de medidas de segurança técnicas e administrativas, a comunicação inadequada às pessoas afetadas, a ausência de informações sobre o Encarregado no portal da instituição e o descumprimento dos princípios da prevenção e da responsabilização e prestação de contas (art. 6º, VIII e X).

Questionado sobre o impacto real, o Isac alegou que os invasores teriam acessado apenas informações administrativas e bases de contratos encerrados. Não apresentou comprovação, mesmo após questionamentos reiterados. Esse é o cerne: sem evidência técnica, a alegação não sustenta a defesa.

Quanto à comunicação, a instituição limitou-se a publicar aviso no site, sem informar a data do incidente, a natureza dos dados e das pessoas afetadas nem as medidas adotadas antes e depois do ataque. A Agência considerou insuficiente. A Resolução CD/ANPD nº 15/2024 mantém o prazo de três dias úteis para comunicar incidente de segurança relevante à ANPD e aos titulares, contado do conhecimento, e define o conteúdo mínimo dessa comunicação.

O prazo para defesa no processo é de dez dias úteis contados da intimação. As sanções do art. 52 vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, além de suspensão ou proibição do exercício de atividades de tratamento, com dosimetria pela Resolução CD/ANPD nº 4/2023.

Onde a cadeia costuma quebrar

Na experiência de campo, o risco de terceiros raramente aparece como invasão espetacular. Ele aparece como configuração.

• Armazenamento em nuvem mal configurado. Buckets públicos, credenciais compartilhadas, ausência de criptografia em repouso. Foi exatamente o vetor do caso MedicSolution.
• Ambientes de homologação com dado real. Cópia de produção usada para teste, sem anonimização, frequentemente fora do inventário.
• Integrações e APIs esquecidas. Conexões com laboratório, telemedicina, faturamento e agendamento que continuam ativas depois do fim do contrato.
• Subcontratação silenciosa. O fornecedor contrata outro agente sem autorização, e o controlador descobre no dia do incidente.
• Contrato sem cláusula de notificação. Se o operador não é obrigado contratualmente a avisar em prazo curto, os três dias úteis do controlador começam tarde demais.

Implicações práticas para o Encarregado

O trabalho aqui é menos jurídico e mais de evidência. Cinco frentes concentram o resultado:

1. Inventário de operadores. Quem trata dado de paciente em nome da instituição, com qual finalidade, em qual base legal e por quanto tempo. Sem essa lista, o ROPA está incompleto.
2. Due diligence documentada. Questionário de segurança, evidência de certificações, política de backup, plano de continuidade e histórico de incidentes do fornecedor. O valor está no registro da diligência, não apenas na resposta.
3. Cláusulas contratuais mínimas. Dever de notificação em prazo compatível com os três dias úteis, vedação a subcontratação sem anuência, direito de auditoria, obrigações de eliminação ao término e responsabilidade por descumprimento.
4. Plano de resposta que inclua o terceiro. O fluxo precisa prever quem aciona o fornecedor, quem apura, quem redige a comunicação ao titular e quem assina a comunicação à ANPD. Testado, não apenas escrito.
5. Encarregado visível. Identidade e canal de contato publicados de forma acessível, conforme o art. 41, §1º. É item de baixo custo e apareceu expressamente no auto de infração.

O que fazer a partir de agora

Comece pelo mais barato: publique corretamente as informações do Encarregado e confira se o canal do titular responde. Em seguida, levante os dez fornecedores que tocam maior volume de dado sensível, classifique-os por criticidade e, para o primeiro terço da lista, revise contrato e peça evidência de medidas de segurança ainda neste trimestre.

Depois, simule um incidente que envolva um fornecedor e cronometre. Se a instituição não reúne data, natureza dos dados, número de titulares e medidas adotadas em menos de três dias úteis, o problema não é jurídico, é operacional.

Documente cada etapa. O caso Isac mostra que a diferença entre defesa e condenação passa pela capacidade de comprovar o que se afirma.

Como o ecossistema HDPO pode ajudar

Inventário de operadores, due diligence de fornecedor, ROPA, plano de resposta e registro de incidentes são exatamente os artefatos que a HDPO opera nos programas de privacidade em saúde, com apoio dos módulos do PROTEGON para ROPA, gestão de incidentes e governança. A vantagem de manter tudo em um só lugar aparece no pior dia: quando o relógio dos três dias úteis começa a correr.