Incidente no Einstein e o Regime de Dados Sensíveis: o que a confirmação do ataque revela sobre as obrigações do controlador
Introdução
Em comunicado enviado ao CISO Advisor, o Hospital Israelita Albert Einstein confirmou ter sido vítima de ataque cibernético que resultou em acesso e obtenção não autorizados de parte de sua base de dados de pacientes [1]. A instituição declarou não ter identificado evidências de que os dados tenham sido divulgados publicamente. Nenhuma informação adicional foi divulgada quanto ao volume de registros comprometidos, à data precisa do incidente, ao vetor de entrada ou à técnica empregada.
A sobriedade do comunicado não reduz a gravidade jurídica do evento. Pelo contrário: a base afetada contém dados de saúde, categoria enquadrada como dado pessoal sensível pelo art. 11 da Lei nº 13.709/2018, a Lei Geral de Proteção de Dados Pessoais (LGPD) [2]. Esse enquadramento desencadeia um regime de obrigações mais exigente do que o aplicável a dados pessoais comuns, com consequências diretas para a relação entre o controlador, a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados.
Este artigo analisa, sob a ótica da LGPD e dos normativos da ANPD, quais obrigações se ativam a partir da confirmação de um incidente envolvendo dados de saúde, o que a ausência de informações públicas sobre notificação à autoridade regulatória implica do ponto de vista de conformidade, e quais medidas de governança contínua distinguem organizações que respondem adequadamente de organizações que apenas reagem. O escopo é deliberadamente jurídico e operacional: o objetivo é fornecer a DPOs, C-levels e equipes jurídicas um mapa de ação concreto, não um post-mortem especulativo.
Resultados e Análise
Dados de saúde como categoria sensível: o peso do art. 11
A LGPD trata dados pessoais sensíveis em capítulo próprio por razão estrutural: o potencial de dano decorrente do seu uso inadequado é, por natureza, mais elevado. O art. 11 da LGPD [2] exige que o tratamento de dados de saúde se ampare em hipótese legal específica, sendo as mais relevantes para hospitais o consentimento do titular (art. 11, I) e a tutela da saúde, exclusivamente por profissionais de saúde, serviços de saúde ou autoridade sanitária (art. 11, II, f). Fora dessas hipóteses, o tratamento é vedado.
A consequência prática para o incidente do Einstein é direta: qualquer acesso não autorizado a essa base não é apenas uma falha de segurança da informação, é uma violação de dados pessoais sensíveis com potencial de causar danos qualificados ao titular, entre eles discriminação, exposição de condição de saúde, risco à integridade e dano moral. O art. 42 da LGPD [2] estabelece a responsabilidade civil do controlador por danos decorrentes do tratamento, e o art. 44 presume a culpa quando o tratamento não observa a legislação ou quando não fornece a segurança que o titular razoavelmente esperava. Em dados de saúde, essa expectativa de segurança é necessariamente elevada.
O Regulamento de Doses de Aplicação de Sanções da ANPD, aprovado pela Resolução CD/ANPD nº 4/2023 [3], lista como agravante a natureza sensível dos dados envolvidos. Isso significa que, em eventual processo administrativo sancionador, a dosimetria da multa começa em patamar mais alto quando o incidente envolve dados de saúde.
O regime de notificação: prazos, conteúdo e o que ainda não foi confirmado
O art. 48 da LGPD [2] obriga o controlador a comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. A Resolução CD/ANPD nº 2/2022 [4] regulamentou esse dispositivo com três determinações centrais.
Primeiro, o prazo: a comunicação à ANPD deve ocorrer em até três dias úteis a partir do momento em que o controlador tomar conhecimento do incidente, quando houver indício de que dados pessoais foram comprometidos e que o incidente possa gerar risco ou dano relevante. Segundo, o conteúdo mínimo da comunicação inclui a descrição dos dados afetados, o número de titulares, as medidas técnicas e organizacionais adotadas para mitigar os efeitos e a indicação do encarregado de dados (DPO). Terceiro, a ANPD pode determinar medidas adicionais, incluindo a comunicação pública ou direta aos titulares.
Até a publicação deste artigo, não há confirmação pública de que o Einstein tenha notificado a ANPD. Essa ausência de confirmação não equivale à ausência de notificação: a comunicação pode ter sido feita e ainda não divulgada, o que é factível e até provável dada a postura ativa de comunicação demonstrada pelo envio do comunicado ao CISO Advisor [1]. Contudo, para fins de análise de conformidade, o ponto crítico é que o prazo de três dias úteis estabelecido pela Resolução CD/ANPD nº 2/2022 [4] é contado a partir do conhecimento do incidente pelo controlador, não a partir da confirmação pública. Se o Einstein tomou conhecimento do acesso não autorizado antes de emitir o comunicado ao mercado, o prazo regulatório já estava correndo.
A distinção entre "dados acessados" e "dados divulgados publicamente" também tem relevância jurídica própria. A Resolução CD/ANPD nº 2/2022 [4] não exige que os dados tenham sido publicados para que a obrigação de notificação se ative. O critério é o risco ou dano relevante ao titular. Acesso não autorizado a dados de saúde de pacientes é, pela natureza da informação, suficiente para caracterizar risco relevante, ainda que o atacante não tenha publicado os dados. O risco de uso futuro, extorsão ou venda em mercado restrito é real e deve compor a avaliação do controlador.
Deveres do controlador além da notificação: o art. 46 e a segurança por design
O incidente expõe também a dimensão preventiva da LGPD. O art. 46 da lei [2] determina que os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão. A norma não define um padrão técnico específico, mas a ANPD já sinalizou, em sua Guia Orientativa sobre Segurança da Informação [5], que boas práticas como ISO/IEC 27001, NIST Cybersecurity Framework e controles de acesso baseados em privilégio mínimo são referências esperadas de organizações que tratam dados sensíveis em larga escala.
Para um hospital do porte do Einstein, que processa dados de saúde de um volume significativo de pacientes, a expectativa regulatória é que os controles de segurança sejam proporcionais à criticidade e ao volume dos dados tratados. A ausência de informação sobre o vetor de ataque impede análise técnica definitiva, mas a questão jurídica relevante é outra: em eventual investigação, caberá ao controlador demonstrar que as medidas adotadas eram adequadas antes do incidente, não apenas após.
Esse ônus probatório invertido é consequência direta do art. 44, parágrafo único, da LGPD [2], que presume a culpa do controlador quando o tratamento não fornece a segurança que o titular razoavelmente esperaria. A demonstração de conformidade pré-incidente, por meio de políticas documentadas, avaliações de impacto (RIPDs), registros de atividades de tratamento e evidências de controles técnicos implementados, é o único caminho para afastar ou mitigar essa presunção.
Impacto setorial: saúde como alvo prioritário e o papel do DPO
O setor de saúde concentra uma combinação de atributos que o torna alvo preferencial: dados de alto valor para extorsão e revenda, infraestruturas frequentemente heterogêneas pela convivência de sistemas legados e tecnologias modernas, e pressão operacional que pode levar equipes a priorizar disponibilidade sobre segurança. O incidente no Einstein não é um caso isolado; insere-se em um padrão global de ataques a hospitais e operadoras de planos de saúde que tem sido documentado por reguladores em diversas jurisdições.
No Brasil, a ANPD ainda não publicou relatório consolidado de incidentes por setor, mas o painel público de comunicações de incidentes disponível no portal da autoridade [6] já registra comunicações de organizações do setor de saúde, evidenciando que o problema tem dimensão setorial, não episódica.
Para o DPO de organizações de saúde, o incidente do Einstein reforça três responsabilidades concretas. Primeira: manter o Registro de Atividades de Tratamento atualizado, com identificação explícita dos sistemas que processam dados sensíveis, para que, em caso de incidente, seja possível mapear rapidamente o escopo do comprometimento. Segunda: ter o Plano de Resposta a Incidentes formalmente aprovado, testado e com papéis definidos, incluindo o canal de comunicação com a ANPD e os modelos de notificação já preparados. Terceira: garantir que a avaliação de risco e dano relevante seja realizada por critérios documentados, não ad hoc, de modo que a decisão de notificar ou não seja defensável perante a autoridade.
O art. 41 da LGPD [2] atribui ao encarregado (DPO) a função de atuar como canal de comunicação entre o controlador, os titulares e a ANPD. Em um incidente envolvendo dados sensíveis, essa função deixa de ser administrativa e torna-se central para a estratégia de resposta e para a relação com o regulador.
Discussão
Para C-levels e conselhos, o incidente do Einstein oferece um caso concreto para duas conversas que costumam ficar em segundo plano até que um evento force sua realização.
A primeira é sobre o critério de materialidade de incidentes. Muitas organizações tratam a questão da notificação à ANPD como uma decisão a ser tomada após uma análise prolongada, quando o regulador espera a comunicação em três dias úteis a partir do conhecimento. A diferença entre o tempo que a organização considera necessário para "entender o incidente completamente" e o prazo regulatório cria exposição direta a sanção por descumprimento do art. 48 [2] e da Resolução CD/ANPD nº 2/2022 [4]. A solução não é notificar precipitadamente, mas ter critérios de triagem pré-definidos que permitam uma avaliação rápida e documentada de risco, com informações preliminares enviadas à ANPD dentro do prazo, seguidas de complementação conforme previsto na própria resolução.
A segunda conversa é sobre o custo comparado de prevenção e resposta. A LGPD prevê multa de até 2% do faturamento do grupo no Brasil no último exercício, limitada a R$ 50 milhões por infração [2]. A dosimetria real, considerando os agravantes da Resolução CD/ANPD nº 4/2023 [3], como reincidência, dados sensíveis envolvidos e o número de titulares afetados, pode resultar em valores expressivos mesmo para organizações com programas de conformidade existentes. Mas o custo financeiro direto pode ser menor do que o custo reputacional em um setor onde a relação de confiança com o paciente é o ativo central.
Para as equipes jurídicas, o foco imediato deve ser triplo: preservação de evidências para demonstrar as medidas de segurança pré-incidente adotadas; documentação transparente e tempestiva de todos os passos da resposta, pois a ANPD considera a colaboração e a boa-fé como atenuantes na dosimetria; e avaliação das obrigações contratuais com operadores (empresas que processam dados em nome do controlador), uma vez que o art. 39 da LGPD [2] responsabiliza o controlador pelo tratamento realizado por operadores que não seguirem suas instruções.
A postura do Einstein de comunicar o incidente diretamente a um veículo especializado, antes mesmo de qualquer divulgação mais ampla, indica consciência institucional sobre a importância da transparência. Essa postura é relevante não apenas do ponto de vista reputacional, mas também regulatório: a ANPD considera a conduta do controlador após o incidente, incluindo a proatividade na comunicação, como fator na avaliação do caso.
O que o incidente deixa em aberto, pela escassez de informações públicas disponíveis, é exatamente o que importa para a avaliação de conformidade: o volume de titulares afetados, a natureza específica dos dados comprometidos dentro da categoria saúde (diagnósticos, resultados de exames, prontuários completos ou apenas dados cadastrais associados a atendimentos), e o momento em que o controlador tomou conhecimento do incidente. Essas três variáveis determinam a gravidade regulatória do caso e a extensão das obrigações de notificação aos titulares. Sua ausência do debate público é compreensível do ponto de vista estratégico para a instituição, mas é exatamente o tipo de informação que a ANPD solicitará na comunicação formal.
Para organizações que ainda não testaram seu Plano de Resposta a Incidentes com a régua da Resolução CD/ANPD nº 2/2022 [4], o incidente do Einstein é o tipo de evento externo que justifica uma revisão imediata, não porque a instituição tenha necessariamente errado, mas porque demonstra que nenhum porte, reputação ou histórico de investimento em segurança elimina o risco de comprometimento de dados. O que diferencia organizações em um incidente é a qualidade da resposta, não a ausência do evento.
Bibliografia
[1] CISO Advisor. "Einstein confirma ocorrência de incidente". Comunicado institucional do Hospital Israelita Albert Einstein reproduzido pela publicação. https://www.cisoadvisor.com.br [2] Brasil. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD). Diário Oficial da União, Brasília, DF. https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm [3] Autoridade Nacional de Proteção de Dados (ANPD). Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023. Aprova o Regulamento de Dosimetria e Aplicação de Sanções Administrativas. https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/resolucao-cd-anpd-no-4-de-24-de-fevereiro-de-2023-regulamento-de-dosimetria.pdf [4] Autoridade Nacional de Proteção de Dados (ANPD). Resolução CD/ANPD nº 2, de 27 de janeiro de 2022. Aprova o Regulamento de Comunicação de Incidente de Segurança com Dados Pessoais. https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/resolucao-cd-anpd-no-2-de-27-01-2022-regulamento-de-incidentes.pdf [5] Autoridade Nacional de Proteção de Dados (ANPD). Guia Orientativo de Segurança da Informação para Agentes de Tratamento de Pequeno Porte. Brasília: ANPD, 2021. (Referência às boas práticas de segurança também aplicáveis a agentes de maior porte por analogia regulatória.) https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/guia-de-seguranca-da-informacao-para-agentes-de-tratamento-de-pequeno-porte.pdf [6] Autoridade Nacional de Proteção de Dados (ANPD). Painel de Dados de Comunicações de Incidentes de Segurança. Portal ANPD, atualizado periodicamente. https://www.gov.br/anpd/pt-br/assuntos/incidentes-de-seguranca