BRASILANPD impõe sanções à Prefeitura de Feira de Santana (BA) pelo vazamento de dados médicos de 1.200 pessoas
A Agência Nacional de Proteção de Dados (ANPD) aplicou sanções de advertência e medidas corretivas contra a Prefeitura de Feira de Santana (BA) por conta da exposição dos nomes de 1.241 pessoas com HIV, anemia falciforme e fibromialgia no Diário Oficial do Município (DOM), em setembro de 2025. A publicação aconteceu quando a prefeitura, por determinação judicial, deveria listar os nomes de cidadãos que teriam o benefício de passe livre cortado. Além das informações que deveriam constar no DOM, foram divulgados indevidamente os diagnósticos dos beneficiários do programa, que permaneceram acessíveis ao público por algumas horas na página do Diário Oficial municipal.
Assim que percebeu a falha, a Prefeitura de Feira de Santa retirou a publicação do ar no mesmo dia. No entanto, 48 horas após o ocorrido, a ANPD recebeu denúncia sobre o caso e instaurou processo de fiscalização para apurar não apenas as possíveis infrações à Lei Geral de Proteção de Dados Pessoais (LGPD), mas também as medidas adotadas pelo município para mitigar os impactos decorrentes da exposição indevida de dados pessoais sensíveis. Essa categoria abrange informações relacionadas à saúde, vida sexual, origem racial ou étnica, às convicções religiosas, opiniões políticas e à filiação a entidades de caráter religioso, filosófico ou político.
Diante das irregularidades identificadas, a Superintendência de Fiscalização (SFI-ANPD) constatou que a publicação configurou tratamento ilegítimo dos dados dos titulares, uma vez que não foi respeitado o princípio da finalidade, imprescindível para qualquer gestão de informações sensíveis, conforme art. 6º da LGPD. Além disso, o governo municipal não comunicou o incidente à ANPD nem aos titulares afetados, como exigido pelo Regulamento de Comunicação de Incidente de Segurança para as situações em que há risco ou dano relevante aos direitos dos titulares.
A Agência solicitou, formalmente, que a prefeitura prestasse informações sobre o evento, incluindo as medidas adotadas, mas não obteve resposta, o que configurou obstrução da atividade fiscalizatória. Devido à gravidade dos fatos, o processo de fiscalização evoluiu para a instauração de um processo administrativo sancionador, em cuja decisão foi reconhecida a prática de seis infrações à LGPD:
Tratamento de dados pessoais sem propósitos legítimos, específicos, explícitos e informados ao titular, ou com tratamento posterior incompatível com essas finalidades;
Não disponibilização, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento de dados pessoais e os respectivos agentes de tratamento;
Exposição pública de dados pessoais legalmente sigilosos e tratamento de dados pessoais para fins discriminatórios ilícitos ou abusivos;
Não adoção de medidas técnicas e administrativas de segurança capazes de proteger os dados pessoais e ausência de mecanismos adequados de governança, segurança e demonstração de conformidade;
Realização de tratamento irregular sem o nível de segurança esperado pelo titular;
Ausência de comunicação à ANPD e aos titulares potencialmente afetados por incidente de segurança que possa lhes acarretar risco ou dano relevante.
Entre as medidas corretivas impostas pela Agência para reduzir os danos que os titulares dos dados expostos possam ter sofrido, além de evitar a recorrência desse tipo de incidente, estão:
Nomeação de um Encarregado de dados pessoais;
Elaboração e divulgação da Política de Privacidade do Município, da Política de Segurança da Informação (PSI); do Plano de Resposta a Incidentes de Segurança (PRIS) e de Relatórios de Impacto à Proteção de Dados Pessoais (RIPD);
Edição de ato normativo interno, disciplinando o uso compartilhado de dados dentro da própria prefeitura;
Formalização do registro do fluxo de uso compartilhado de dados pessoais entre secretarias;
Instituição, em procedimento específico, de etapa prévia à publicação em Diário Oficial, para avaliação do impacto sobre os titulares acerca da divulgação de dados pessoais;
Apresentação de um plano de capacitação e treinamento para os servidores diretamente relacionados com o tratamento de dados pessoais;
Eliminação dos dados tratados sem base legal ou finalidade válida;
Incluir, no site da Prefeitura, informações claras sobre dados tratados, finalidades, hipóteses legais, compartilhamentos, prazos de retenção e direitos dos titulares.
Além das mudanças, a Prefeitura deve publicizar a infração na primeira página do seu site, por seis meses. Vale ressaltar que órgãos públicos não estão sujeitos à aplicação de multa pela LGPD.
