Por Daniel Monastersky – www.danielmonastersky.com
Cerca de 78.772 chicos y 47.921 personas mayores tienen algo en común, aunque nunca se hayan cruzado: sus historias clínicas, sus diagnósticos, sus internaciones quedaron expuestos cuando un grupo de ransomware secuestró los sistemas de la organización social que gestiona unidades públicas de salud en distintos estados de Brasil. En total, alrededor de 500.000 pacientes. El ataque ocurrió en 2025 y la propia entidad lo comunicó a la Agencia Nacional de Protección de Datos, la ANPD. Pero comunicar un incidente no es lo mismo que gestionarlo bien, y ahí es donde empieza esta historia.
La ANPD abrió un Proceso Administrativo Sancionador porque, según su investigación, la organización no logró demostrar que había adoptado medidas técnicas y administrativas adecuadas para proteger esa información. Tampoco avisó a los pacientes de manera individual: se limitó a publicar un comunicado en su sitio web, que ni siquiera detallaba la fecha del ataque, qué datos se habían visto comprometidos o qué perfil tenían los afectados. La entidad intentó minimizar el hecho, argumentando que los atacantes solo habían accedido a información administrativa y a contratos ya vencidos. La Agencia no le encontró sustento técnico a esa versión. Y encima faltaba algo tan básico como informar quién era el encargado de tratamiento de datos personales en la organización, una exigencia elemental de la LGPD.
Lo que sigue ahora es previsible: diez días hábiles para presentar su defensa, y si se confirman las infracciones, sanciones que van desde una advertencia hasta multas de hasta el 2% de la facturación, pasando por la suspensión de las actividades de tratamiento de datos. Nada nuevo bajo el sol regulatorio brasileño, salvo por un detalle que cambia la lectura de todo el caso: este episodio no es un hecho aislado, es la puesta en práctica de una hoja de ruta que la ANPD ya había anunciado.
A fines de diciembre de 2025, la Agencia publicó el Mapa de Temas Prioritários para el bienio 2026-2027, a través de la Resolução CD/ANPD nº 30. El documento no es un simple comunicado institucional: es, literalmente, el aviso previo de dónde va a poner la lupa el regulador brasileño durante los próximos dos años. Y define cuatro ejes. El primero, los derechos de los titulares, con foco explícito en datos sensibles: biometría, salud, información financiera y todo dato que pueda derivar en discriminación o exclusión social. El segundo, la protección de niños, niñas y adolescentes en el entorno digital, exigiendo que la verificación etaria y los controles parentales dejen de ser un casillero tildado en un formulario de compliance y pasen a funcionar de verdad. El tercero, el tratamiento de datos por parte del Estado, con especial atención a la biometría, los registros sociales y la salud pública. Y el cuarto, la inteligencia artificial aplicada al tratamiento de datos personales, con exigencias de transparencia algorítmica y mitigación de sesgos que llegan antes de que exista un marco legal específico para la IA en Brasil.
Leído en conjunto, el mensaje de la ANPD es difícil de ignorar: el caso de la organización social no es una anécdota aislada, es exactamente el tipo de situación que el regulador anticipó que iba a perseguir con más fuerza. Salud, datos sensibles, sector público, falta de comunicación adecuada a los titulares: los cuatro elementos del caso calzan casi perfectamente con los cuatro ejes del mapa. Y no es la primera vez que un organismo vinculado a la salud pública brasileña queda en la mira. Ya en 2024, la ANPD había sancionado al Ministerio de Salud por no haber designado a tiempo un encargado de datos y por no presentar los Informes de Impacto a la Protección de Datos que la propia Agencia le había solicitado. La designación del encargado, de hecho, recién llegó después de iniciado el proceso sancionador. El patrón se repite: gobernanza tardía, respuesta reactiva, subestimación del riesgo hasta que el regulador golpea la puerta.
Para quienes trabajamos en protección de datos en América Latina, este caso deja una comparación difícil de esquivar. En Argentina todavía discutimos actualizar una ley de 2000 que quedó desactualizada frente al RGPD europeo y a la propia LGPD brasileña, mientras Brasil ya construyó una autoridad de datos con capacidad sancionadora real, con mapas de fiscalización públicos y con jurisprudencia administrativa acumulada. La lección no es solo brasileña: es sobre qué pasa cuando una organización de salud, pública o social, trata datos de cientos de miles de personas sin haber invertido en gobernanza antes de que ocurra el incidente. Un plan de respuesta a incidentes que no se ensayó nunca, una comunicación a los titulares pensada como trámite y no como obligación sustantiva, un encargado de datos que existe en el papel pero no en los hechos: todo eso se paga, tarde o temprano, y en este caso se paga con datos de salud de casi 80.000 chicos.
La pregunta que le queda a cada organización que maneja datos sensibles, esté en Brasil, en Argentina o en cualquier país de la región, es simple: si mañana la autoridad de protección de datos de tu país pidiera evidencia técnica de las medidas de seguridad implementadas, ¿la tendrías lista, o recién empezarías a armarla?
Nota metodológica: la información sobre el caso de la organización social proviene de un artículo de IBDCNI del 9 de julio de 2026, que cita como fuente primaria a gov.br/anpd. Los datos sobre el Mapa de Temas Prioritários 2026-2027 surgen del comunicado oficial de la ANPD y de análisis coincidentes de varios estudios jurídicos brasileños (Martinelli Advogados, Trench Rossi Watanabe, TI Inside, Café com Bytes, Data Guide). El precedente del Ministerio de Salud se basa en un artículo de Maeda, Ayres & Sarubbi Advogados.