Em resumo: o Hospital Israelita Albert Einstein confirmou, em 7 de outubro de 2026, que um ataque cibernético identificado em 4 de agosto deu acesso não autorizado a dados de pacientes, entre eles dados cadastrais, imagens de documentos pessoais (RG, CPF e CNH) e, segundo a imprensa, possivelmente prescrições médicas e resultados de exames. Os pacientes atingidos estão recebendo um e-mail que informa quais dados seus foram acessados. Abaixo, o que se sabe até agora, o que a lei diz, o que o STJ já decidiu e o que o paciente pode fazer.
O que aconteceu
Segundo as informações divulgadas pelo próprio hospital e pela imprensa entre 7 e 8 de outubro de 2026:
- o Einstein identificou sinais de invasão em seus sistemas em 4 de agosto de 2026;
- houve acesso e obtenção não autorizados de parte das bases de dados de pacientes;
- entre os dados atingidos estão dados cadastrais (nome, CPF e data de nascimento) e, possivelmente, dados de saúde, como prescrições médicas e resultados de exames;
- o hospital afirma que não encontrou, até agora, evidência de divulgação ou uso indevido das informações, e que os sistemas de atendimento e o prontuário eletrônico funcionaram normalmente;
- o caso foi comunicado à Autoridade Nacional de Proteção de Dados (ANPD) e à Polícia Federal;
- em 7 de outubro, a Polícia Federal deflagrou a Operação Insidioso, em Joinville (SC), com prisão temporária de um suspeito de facilitar a extração dos dados. Segundo a PF, os investigados teriam exigido pagamentos depois de obter as informações do hospital;
- os pacientes afetados estão sendo avisados individualmente por e-mail, e o hospital criou um canal de atendimento para dúvidas.
O que diz o e-mail enviado aos pacientes
A comunicação que os pacientes vêm recebendo confirma o “acesso e obtenção não autorizados de uma parte da base de dados de pacientes”, informa que a suspeita do incidente surgiu em 4 de agosto e que a ANPD e a Polícia Federal foram comunicadas. Em seguida, traz um item chamado “Quais dos seus dados foram afetados”, que muda de paciente para paciente. Em mensagens às quais tivemos acesso, os dados listados eram:
- dados pessoais, como nome, CPF, e-mail ou telefone;
- imagens de documentos pessoais, como RG, CPF ou CNH.
O próprio hospital recomenda atenção redobrada a mensagens, ligações e e-mails que usem informações pessoais ou de saúde para pedir pagamentos, senhas, códigos ou instalação de aplicativos, e indica o Portal de Relacionamento com o Titular para quem quiser detalhes sobre os próprios dados. Guarde esse e-mail. É a prova de que você está entre os atingidos e de quais dados seus foram expostos.
O número de pessoas atingidas não foi divulgado. O próprio hospital informou que os dados estavam distribuídos em bases diferentes, o que dificulta medir a extensão do incidente.
Por que dados de saúde mudam tudo
A LGPD (Lei nº 13.709/2018) separa os dados pessoais comuns dos dados pessoais sensíveis. Dado referente à saúde está expressamente nessa segunda categoria (art. 5º, II). A razão é simples: um exame, um diagnóstico ou uma receita revelam aspectos da intimidade que podem gerar discriminação, constrangimento e prejuízo, no trabalho, no seguro, na família.
Por isso, a lei exige cuidado redobrado no tratamento desses dados e impõe a quem os guarda o dever de adotar medidas de segurança aptas a protegê-los de acessos não autorizados (art. 46). Um hospital é, por natureza, um dos maiores guardiões de dados sensíveis que existem.
Ataque hacker afasta a responsabilidade do hospital?
Em regra, não. A LGPD estabelece que quem causa dano em razão do tratamento de dados pessoais, em violação à legislação, é obrigado a repará-lo (art. 42), e considera irregular o tratamento que não fornece a segurança que o titular pode esperar (art. 44). A relação entre paciente e hospital também é relação de consumo, o que atrai a responsabilidade objetiva do Código de Defesa do Consumidor (art. 14), como a própria LGPD prevê (art. 45).
A lei admite que o agente se exima de responsabilidade se provar culpa exclusiva de terceiro (art. 43, III). Mas a ação de um hacker, por si só, não basta. Em dezembro de 2024, a Terceira Turma do STJ julgou caso de vazamento causado por ataque hacker e concluiu que a alegação de ato de terceiro não afasta os deveres do agente de tratamento quando a culpa exclusiva do terceiro não é comprovada (REsp 2.147.374/SP, Rel. Min. Ricardo Villas Bôas Cueva, j. 3/12/2024). Proteger o sistema contra invasões é exatamente o que se espera de quem guarda esse tipo de informação.
Cabe indenização por dano moral?
Aqui está o ponto mais importante, e a resposta depende de quais dados de cada paciente foram atingidos. Por isso o e-mail do hospital é tão relevante.
O que o STJ já decidiu. Em 2023, a Segunda Turma decidiu que o vazamento de dados pessoais comuns, daqueles que se informam em qualquer cadastro, não gera dano moral presumido: o titular precisa demonstrar o prejuízo concreto (AREsp 2.130.619/SP, Rel. Min. Francisco Falcão, j. 7/3/2023). O próprio julgado ressalvou que a situação seria diferente se houvesse vazamento de dados sensíveis.
Em fevereiro de 2025, a Terceira Turma enfrentou justamente essa diferença. Ao julgar o vazamento de dados sensíveis, inclusive de saúde, decidiu que a responsabilidade do fornecedor é objetiva e que o dano moral é presumido, porque a exposição desses dados, por si só, submete o titular a riscos à honra, à intimidade, ao patrimônio e à segurança. O acórdão também afirma que cabe ao fornecedor provar que cumpriu o dever de proteger os dados (REsp 2.121.904/SP, Rel. Min. Nancy Andrighi, j. 11/2/2025).
Na prática, há três situações:
- Dados de saúde expostos (exames, prescrições, informações clínicas): há fundamento sólido para pedir indenização por dano moral, com base no entendimento mais recente da Terceira Turma do STJ.
- Imagens de documentos (RG, CPF, CNH): não são dados sensíveis na definição da lei, mas também não são dados “de qualquer cadastro”. A cópia de um documento com foto, assinatura e número é exatamente o que um criminoso precisa para abrir conta em nome de outra pessoa, contratar empréstimo ou habilitar chip de celular. Há bons argumentos para distinguir esse caso do precedente de 2023, e o pedido de indenização ganha muita força se houver qualquer uso indevido do documento.
- Apenas nome, CPF, e-mail e telefone: a indenização é possível, mas, pelo entendimento de 2023, tende a exigir a demonstração de prejuízo concreto, como tentativas de golpe ou uso indevido do CPF.
Em qualquer das três situações, prejuízos materiais causados pelo vazamento, como valores perdidos em golpes aplicados com esses dados, podem ser cobrados, desde que comprovados.
O prazo de comunicação também importa
Desde 2024, o Regulamento de Comunicação de Incidente de Segurança da ANPD (Resolução CD/ANPD nº 15/2024) exige que o controlador comunique a ANPD e os titulares em até três dias úteis a partir do conhecimento de que o incidente afetou dados pessoais, quando houver risco ou dano relevante, e o envolvimento de dados sensíveis é um dos critérios desse risco. A comunicação deve explicar, entre outros pontos, quais dados foram afetados, os riscos envolvidos, as medidas adotadas e, se houver atraso, os motivos.
Pelas informações públicas, a invasão foi identificada em agosto e a comunicação aos pacientes começou em outubro. Ainda não se sabe em que momento o hospital teve conhecimento de que dados pessoais haviam sido atingidos. Esse ponto deve ser esclarecido e pode ter peso na avaliação de cada caso.
Como saber se você foi afetado
- Verifique seu e-mail, inclusive a caixa de spam, em busca da comunicação do hospital. Guarde a mensagem: ela é a primeira prova de que seus dados estavam entre os atingidos.
- Peça informações formalmente. A LGPD garante ao titular o direito de saber quais dados seus são tratados e o que aconteceu com eles (arts. 18 e 19). Faça o pedido por escrito ao canal do hospital ou ao encarregado de dados e guarde o protocolo. O STJ já decidiu que essa obrigação de informar se mantém mesmo quando o vazamento decorre de ataque hacker (REsp 2.147.374/SP).
- Anote tudo o que acontecer a partir de agora: ligações, mensagens, cobranças e tentativas de golpe que mencionem seus exames, seu médico ou seu convênio.
- Se imagens dos seus documentos foram expostas, consulte o Registrato, serviço gratuito do Banco Central, para ver se há contas, chaves Pix ou empréstimos abertos em seu nome, e acompanhe seu CPF nos birôs de crédito. Repita a consulta periodicamente. Qualquer registro que você não reconheça é prova e precisa ser contestado na hora.
Cuidado redobrado com golpes
Dados médicos são matéria-prima de golpes sofisticados, porque dão credibilidade ao criminoso. Fique atento a:
- ligações ou mensagens de supostos médicos, laboratórios ou do próprio hospital cobrando exames, procedimentos ou “taxas de liberação” de resultados;
- falsas centrais de convênio pedindo confirmação de dados, senhas ou códigos recebidos por SMS;
- links para “consultar se seus dados vazaram” ou “receber indenização”;
- pedidos de Pix urgentes em nome de familiares internados.
Na dúvida, desligue e ligue você mesmo para o número oficial. Nenhuma instituição séria pede senha, código ou pagamento por esses canais. Se você perder dinheiro num golpe que use seus dados, registre boletim de ocorrência e comunique seu banco imediatamente: no Pix, o pedido de devolução pelo Mecanismo Especial de Devolução (MED) tem prazo de 80 dias.
Quando vale a pena entrar com ação
Cada caso precisa ser analisado individualmente. Em geral, a ação de reparação é mais consistente quando:
- há comunicação do hospital ou outra prova de que seus dados estavam entre os atingidos;
- os dados expostos incluem informações de saúde ou imagens de documentos;
- houve consequências concretas, como tentativas de golpe, uso do CPF por terceiros ou exposição de diagnóstico;
- o hospital não respondeu, ou respondeu de forma incompleta, ao pedido de informações.
O prazo para a ação de reparação por falha na prestação de serviço é de cinco anos (CDC, art. 27), mas a prova se perde com o tempo. O ideal é organizar a documentação desde já.
Como a Pardi e Morais pode ajudar
A Pardi e Morais atua em direito digital, proteção de dados e responsabilização por fraudes e vazamentos. Se você recebeu a comunicação do hospital ou suspeita que seus dados foram expostos, podemos analisar o seu caso de forma confidencial: quais dados foram atingidos, que provas reunir e se há fundamento para a ação.
Fale com a equipe pelo WhatsApp
Fontes
- Comunicado do Einstein enviado por e-mail aos pacientes atingidos (outubro de 2026) e página einstein.br/comunicado.
- Imprensa: Diário ESP, 8/10/2026; Gazeta de São Paulo, 8/10/2026; Viva, 8/10/2026; Saúde Digital News, 9/10/2026.
- STJ, Informativo nº 842: REsp 2.121.904/SP, Rel. Min. Nancy Andrighi, Terceira Turma, j. 11/2/2025.
- STJ, Informativo nº 838: REsp 2.147.374/SP, Rel. Min. Ricardo Villas Bôas Cueva, Terceira Turma, j. 3/12/2024.
- STJ, Informativo nº 766: AREsp 2.130.619/SP, Rel. Min. Francisco Falcão, Segunda Turma, j. 7/3/2023.
- Lei nº 13.709/2018 (LGPD), arts. 5º, 18, 19, 42 a 46; Código de Defesa do Consumidor, arts. 14 e 27; Resolução CD/ANPD nº 15/2024.
Conteúdo informativo, atualizado em 13 de outubro de 2026, com base nas informações públicas disponíveis até esta data. As apurações seguem em andamento e o texto será atualizado se houver fatos novos. Este artigo não substitui a análise individual do caso.
