A Agência Nacional de Proteção de Dados (ANPD) concluiu um processo administrativo sancionador contra a Prefeitura de Feira de Santana, BA, e aplicou sanções de advertência e de publicização da infração, além de estabelecer medidas corretivas. O caso envolve a exposição de diagnósticos de 1.241 pacientes no Diário Oficial do Município (DOM), em setembro de 2025.

A publicação indevida revelou que os pacientes eram portadores do vírus da imunodeficiência humana (HIV), anemia falciforme ou fibromialgia. Os dados permaneceram acessíveis ao público por algumas horas antes de a prefeitura remover a publicação do ar no mesmo dia em que a falha foi identificada.

Origem do incidente

O episódio ocorreu quando a prefeitura cumpria determinação judicial para listar os nomes de cidadãos que teriam o benefício de passe livre cortado. Além dos nomes, que deveriam constar no DOM, os diagnósticos dos beneficiários foram divulgados de forma indevida.

Quarenta e oito horas após o ocorrido, a ANPD recebeu denúncia sobre o caso e abriu processo de fiscalização. A agência investigou tanto as possíveis infrações à Lei Geral de Proteção de Dados Pessoais (LGPD) quanto as medidas adotadas pelo município para reduzir os impactos da exposição. Diagnósticos médicos se enquadram na categoria de dados pessoais sensíveis, que abrange também informações sobre vida sexual, origem racial ou étnica, convicções religiosas, opiniões políticas e filiação a entidades de caráter religioso, filosófico ou político.

Leia também: “Não seja heroína, conte com sua rede de apoio”, ensina Mara Maehara, CIO da Totvs

As seis infrações reconhecidas

A Superintendência de Fiscalização (SFI) da ANPD constatou que a publicação configurou tratamento ilegítimo dos dados, por desrespeito ao princípio da finalidade previsto no artigo 6º da LGPD. O processo evoluiu para processo administrativo sancionador após a prefeitura não responder à solicitação formal da agência por informações sobre o evento, conduta caracterizada como obstrução da atividade fiscalizatória.

A decisão reconheceu seis infrações à LGPD:

  • Tratamento de dados sem propósitos legítimos, específicos, explícitos e informados ao titular;
  • Não disponibilização de informações claras e acessíveis sobre o tratamento de dados e os agentes responsáveis;
  • Exposição pública de dados legalmente sigilosos e tratamento com fins discriminatórios ilícitos ou abusivos;
  • Ausência de medidas técnicas e administrativas de segurança e de mecanismos de governança e conformidade;
  • Tratamento irregular sem o nível de segurança esperado pelo titular;
  • Falta de comunicação à ANPD e aos titulares sobre incidente que pode acarretar risco ou dano relevante.

A prefeitura também não comunicou o incidente à ANPD nem aos titulares afetados, como exige o Regulamento de Comunicação de Incidente de Segurança.

Medidas corretivas impostas

Entre as medidas corretivas estabelecidas pela agência para reduzir os danos e evitar a recorrência do tipo de incidente, estão:

  • Nomeação de um encarregado de dados pessoais;
  • Elaboração e divulgação de Política de Privacidade do Município, Política de Segurança da Informação (PSI), Plano de Resposta a Incidentes de Segurança (PRIS) e Relatórios de Impacto à Proteção de Dados Pessoais (RIPD);
  • Edição de ato normativo interno para disciplinar o uso compartilhado de dados dentro da prefeitura;
  • Formalização do registro do fluxo de uso compartilhado de dados pessoais entre secretarias;
  • Criação de etapa prévia à publicação no Diário Oficial para avaliação do impacto sobre os titulares;
  • Apresentação de plano de capacitação e treinamento para servidores que lidam com dados pessoais;
  • Eliminação dos dados tratados sem base legal ou finalidade válida;
  • Inclusão, no site da prefeitura, de informações claras sobre dados tratados, finalidades, hipóteses legais, compartilhamentos, prazos de retenção e direitos dos titulares.

Além das mudanças estruturais, a prefeitura deve publicar a infração na primeira página de seu site por seis meses. Órgãos públicos não estão sujeitos à aplicação de multa pela LGPD.

Siga o IT Forum no LinkedIn e fique por dentro de todas as notícias!