O que muda na conta de quem compra segurança em saúde:
- O mercado segurador está saindo do segmento, não encarecendo. A diferença é importante. Prêmio alto se negocia. Recusa de aceitação não se negocia: o risco volta inteiro para o balanço do hospital.
- A paralisação deixou de ser o evento central. No caso Einstein o atendimento não parou e o prontuário eletrônico seguiu funcionando. A despesa é outra: perícia forense, assessoria jurídica, notificação individual de titulares, gestão de crise, negociação de extorsão e defesa em reclamação administrativa e judicial.
- O relógio regulatório é de três dias úteis, e o calendário público foi de 65 dias. O regulamento da ANPD conta o prazo da ciência de que dados pessoais foram afetados, data que o hospital não divulgou. O que está público é o intervalo entre a identificação da suspeita e o comunicado.
- Contratar fornecedor por conta própria pode custar o reembolso. Em boa parte das apólices, acionar perito ou escritório fora do painel da seguradora reduz ou elimina a cobertura daquele gasto. É uma decisão tomada na primeira hora do incidente, por quem não leu a apólice.
A linha do tempo, e o relógio que a ANPD conta
Quatro datas organizam o caso. Em 4 de agosto o hospital identificou a suspeita de acesso não autorizado e iniciou procedimentos técnicos para confirmá-la. Em 7 de outubro a Polícia Federal deflagrou a Operação Insidioso, com mandados de busca e apreensão e prisão temporária em Joinville, apurando invasão de dispositivo informático, extorsão e outros possíveis crimes, com relato de que os envolvidos cobraram pagamento depois de obter informação do hospital. Em 8 de outubro o Einstein confirmou publicamente que parte da base de pacientes foi acessada sem autorização. E, segundo a própria instituição, o caso foi comunicado à ANPD e levado à Polícia Federal, com notificação individual dos afetados por e-mail e um canal aberto para dúvidas.
Entre a identificação da suspeita e o comunicado público passaram 65 dias. Aqui é preciso separar duas coisas, porque a confusão entre elas é a origem de quase toda avaliação errada de risco regulatório neste tipo de caso. O prazo do regulamento da ANPD não começa a correr da suspeita nem da conclusão da perícia: ele corre de quando o controlador sabe que o incidente afetou dados pessoais. O hospital não divulgou essa data. O que está público é o intervalo entre o dia em que começou a investigar e o dia em que falou.
Essa distinção é a que o controlador precisa conseguir documentar, e é a parte que quase ninguém prepara antes. O regulamento exige registro de todos os incidentes, inclusive dos não comunicados, por no mínimo cinco anos, disponível à ANPD a qualquer tempo. Na prática, a defesa de um atraso é o registro interno que mostra quando cada fato ficou conhecido. Sem esse registro, o intervalo público é a única linha do tempo que existe, e ela não favorece ninguém.
O que uma seguradora diz quando recusa o segmento inteiro
A informação mais dura da semana não saiu de relatório de ameaça. Saiu de uma seguradora: Carol Ayub, diretora de Riscos Financeiros da Tokio Marine, afirmou que as instituições de saúde lidam diariamente com algumas das informações mais sensíveis que existem, e a companhia informou que atualmente não aceita riscos do segmento hospitalar no seu Seguro Cyber. Os segurados da carteira têm atendimento 24 horas por sete dias pela Crawford.
Recusa de aceitação é um sinal de preço diferente de aumento de prêmio. Prêmio alto significa que a seguradora precificou a perda esperada e quer ser paga por ela. Recusa significa que a perda esperada não é precificável com a informação disponível, ou que a dispersão dos resultados é grande demais para o apetite da carteira. Nos dois casos, o efeito para o hospital é o mesmo: o risco fica retido. E risco retido em instituição de saúde brasileira raramente aparece como provisão contábil. Aparece como surpresa.
Para quem vende segurança ao setor, isso reorganiza o argumento comercial. O gancho deixa de ser conformidade com a LGPD e passa a ser segurabilidade. A pergunta que o diretor financeiro de um hospital vai ouvir do corretor nos próximos meses não é se a instituição está em conformidade. É o que precisa mudar no ambiente para que alguma seguradora volte a aceitar o risco. Isso tende a puxar investimento em controles verificáveis por auditoria externa, com evidência documental, e não em ferramenta nova.
A despesa que não está no orçamento de TI
O caso Einstein é útil justamente porque não houve o evento que todo mundo usa para justificar orçamento. O atendimento não foi interrompido, as plataformas digitais continuaram no ar e o prontuário eletrônico seguiu funcionando. Se a única rubrica prevista fosse interrupção de negócios, a conta seria baixa.
A lista real de despesas é outra: perícia forense, assessoria jurídica, notificação de titulares, gestão de crise, recuperação de sistemas, negociação em cenário de extorsão e defesa em reclamações. Nenhuma delas é orçada em área de tecnologia, e várias são contratadas sob pressão de tempo, na primeira semana, por quem não tem alçada para contratá-las. É nessa hora que surge o problema de cobertura: segundo William Pinela, head de Estratégia e Novos Negócios da Pinella Seguros, o seguro cyber não depende de paralisação, porque a cobertura de interrupção de negócios é apenas uma das garantias. O que define o alcance real são franquias, limites, sublimites, exclusões, prazos de aviso e data de retroatividade.
Dois detalhes dessa lista merecem decisão antecipada em instituição de saúde. O primeiro é a data de retroatividade, que determina se um incidente iniciado antes da vigência está coberto. Em caso com 65 dias entre suspeita e comunicado, e com invasão possivelmente anterior à suspeita, essa cláusula decide se existe apólice aplicável. O segundo é a exclusão de serviços profissionais: erro médico não é coberto por seguro cyber, e a fronteira entre dano decorrente de indisponibilidade de sistema e dano decorrente de conduta clínica é exatamente onde a discussão vai parar.
O precedente que o setor de saúde brasileiro já tem
Não é o primeiro teste. Em julho deste ano a ANPD abriu processo administrativo sancionador contra o Instituto Saúde e Cidadania por um incidente de ransomware que atingiu cerca de 500 mil registros de pacientes, entre eles 78.772 de crianças e adolescentes e 47.921 de idosos, com relatórios de saúde, prontuários, prescrições, diagnósticos e procedimentos. O instituto sustenta que não houve vazamento, que os sistemas administrativos ficaram indisponíveis por um período sem extração de dados e que a situação foi revertida com cópias de segurança.
O que a ANPD apontou ao abrir o processo é mais instrutivo que o volume: falha na adoção de medidas de segurança, na comunicação aos afetados, na divulgação das informações do encarregado e no cumprimento dos princípios da prevenção e da responsabilização. E um detalhe que vale guardar: a agência registrou que o instituto alegou ausência de risco significativo sem apresentar provas, e não respondeu com fundamentação técnica a questionamentos reiterados.
Esse é o padrão de fiscalização que se desenhou em 2026. O que pesa não é demonstrar que ninguém se machucou. É demonstrar, com documento, o que foi feito, quando e por quê. As sanções do artigo 52 da LGPD vão de advertência a multa de até 2% do faturamento, com suspensão ou proibição das atividades de tratamento no limite.
O que o comprador de saúde deveria estar exigindo agora
Três itens mudam a posição de um hospital brasileiro nos próximos trimestres, e nenhum deles é software.
O primeiro é o registro de incidentes com marcação de horário por fato conhecido, não por conclusão de laudo. É o que sustenta o cumprimento do prazo de três dias úteis e é o que um processo sancionador vai pedir. Hoje a maioria das instituições tem laudo final e não tem a cronologia que o laudo deveria referenciar.
O segundo é inventário de onde o dado de paciente está fora do prontuário. Tanto no caso Einstein quanto no do Isac, parte do material é documento solto, espalhado por bases diferentes, que não entra no inventário porque o inventário foi feito por sistema e não por dado. É nessa periferia que a extração acontece, e é ela que inviabiliza responder quantos titulares foram afetados, campo obrigatório na comunicação à ANPD.
O terceiro é a leitura da apólice antes do incidente, com o jurídico e o financeiro na mesma mesa: data de retroatividade, prazo de aviso, painel de fornecedores aceitos e sublimite para extorsão. Vale também perguntar à corretora, por escrito, se a seguradora atual aceita renovar o segmento hospitalar. A resposta dessa pergunta mudou em 2026, e mudou para pior.
Outros movimentos do mercado
- ANPD
Três dias úteis contados da ciência, comunicação individual e registro por cinco anos
O Regulamento de Comunicação de Incidente de Segurança, aprovado pela Resolução CD/ANPD nº 15/2024, fixa prazo de três dias úteis para comunicar o incidente à agência e aos titulares, contados de quando o controlador sabe que dados pessoais foram afetados, e não da avaliação sobre a probabilidade de dano. Quando os titulares podem ser identificados, a comunicação precisa ser direta e individualizada. Há risco relevante presumido quando o incidente envolve dado sensível, dado de criança, adolescente ou idoso, dado financeiro, dado de autenticação, dado sob sigilo legal ou profissional, ou dado em larga escala. Informações podem ser complementadas em até 20 dias úteis, o registro de todos os incidentes deve ficar disponível por no mínimo cinco anos e agentes de pequeno porte têm prazo em dobro.
- Fiscalização
No caso do Isac, o que pesou foi a falta de prova, não a existência de dano
A ANPD abriu processo administrativo sancionador contra o Instituto Saúde e Cidadania por um incidente de ransomware com cerca de 500 mil registros de pacientes, entre eles 78.772 de crianças e adolescentes e 47.921 de idosos. A agência registrou que o instituto alegou ausência de risco significativo sem apresentar provas, não comunicou os pacientes de forma individual e adequada e não respondeu com fundamentação técnica a questionamentos reiterados. O prazo de defesa é de dez dias úteis a partir da intimação, e as sanções do artigo 52 vão de advertência a multa de até 2% do faturamento, com suspensão ou proibição do tratamento.
- Apólice
A cláusula que decide a cobertura é escrita antes do incidente e lida depois
Franquia, limite, sublimite, exclusão, prazo de aviso e data de retroatividade determinam o alcance efetivo do seguro cyber, e a cobertura de interrupção de negócios é apenas uma das garantias. Dois pontos específicos de saúde: erro médico não é coberto, e a exclusão de serviços profissionais precisa ser esclarecida na contratação. E uma decisão operacional com efeito financeiro direto: contratar fornecedor de perícia ou de assessoria por conta própria, fora do painel da seguradora, pode prejudicar o reembolso dependendo da apólice. Essa escolha é feita na primeira hora da crise, normalmente por quem não participou da contratação.
- Extorsão
A apuração da PF trata o caso como invasão com cobrança, não como vazamento acidental
A Operação Insidioso apura invasão de dispositivo informático, extorsão e outros possíveis crimes, com relato de pagamento exigido depois da obtenção de informação do hospital. O preso é apontado como facilitador da extração dos dados, e o material apreendido segue em análise. A distinção importa para a conta: incidente com extorsão acrescenta à despesa a negociação, a avaliação de sanções sobre pagamento e a decisão de comunicar antes ou depois do prazo do atacante. É também a diferença entre um evento com fim previsível e um com interlocutor do outro lado.
Fontes e aprofundamento
- Revista Apólice · Caso Einstein: os custos de um ataque vão além da paralisação, com a posição da Tokio Marine sobre o segmento hospitalar e as declarações sobre cobertura.
- Gazeta de São Paulo · Einstein é alvo de ataque hacker e PF prende suspeito após acesso a dados de pacientes, com a Operação Insidioso, a prisão temporária em Joinville e os crimes apurados.
- Revista Oeste · Einstein: ataque hacker acessou dados de pacientes, com a data de 4 de agosto e a nota integral do hospital.
- Convergência Digital · Einstein assume incidente cibernético e dados médicos podem ter vazados, com a comunicação à ANPD e o encaminhamento à Polícia Federal.
- Cescon Barrieu · ANPD aprova o Regulamento de Comunicação de Incidente de Segurança, com o prazo de três dias úteis, as hipóteses de risco relevante e as obrigações de registro.
- CNN Brasil · ANPD investiga ataque cibernético que vazou dados de 500 mil pacientes, com o processo sancionador contra o Isac e a fundamentação da agência.