ANPD pune Prefeitura de Feira de Santana por expor dados de 1.241 pessoas com HIV

A Agência Nacional de Proteção de Dados (ANPD) aplicou sanções de advertência e medidas corretivas contra a Prefeitura de Feira de Santana (BA) pela exposição dos nomes de 1.241 pessoas com HIV, anemia falciforme e fibromialgia no Diário Oficial do Município (DOM). A publicação ocorreu em setembro de 2025, quando a prefeitura deveria listar cidadãos que teriam o benefício de passe livre cortado, mas divulgou indevidamente seus diagnósticos, tornando-os acessíveis ao público por algumas horas.

A Prefeitura retirou a publicação do ar no mesmo dia da falha. Contudo, 48 horas depois, a ANPD recebeu uma denúncia e instaurou um processo de fiscalização para apurar as infrações à Lei Geral de Proteção de Dados Pessoais (LGPD) e as medidas adotadas pelo município para mitigar os impactos. Dados sensíveis, como os de saúde, são protegidos pela LGPD.

Irregularidades na gestão de dados pessoais

A Superintendência de Fiscalização (SFI-ANPD) constatou que a publicação configurou tratamento ilegítimo de dados, pois não respeitou o princípio da finalidade, essencial para informações sensíveis. Além disso, o governo municipal falhou em comunicar o incidente à ANPD e aos titulares afetados, uma exigência para situações de risco ou dano relevante aos direitos dos titulares.

A prefeitura não respondeu formalmente às solicitações da Agência sobre o evento, o que foi considerado obstrução da atividade fiscalizatória. O processo administrativo sancionador reconheceu a prática de seis infrações à LGPD, incluindo tratamento de dados sem propósitos legítimos, falta de transparência, exposição de dados sigilosos, ausência de medidas de segurança adequadas e falha na comunicação de incidentes.

Medidas corretivas e obrigações futuras

Para reduzir os danos aos titulares e evitar a recorrência do incidente, a ANPD impôs diversas medidas corretivas à Prefeitura de Feira de Santana. Entre elas, está a nomeação de um Encarregado de dados pessoais e a elaboração e divulgação de políticas de Privacidade, Segurança da Informação e Resposta a Incidentes.

A prefeitura também deverá elaborar Relatórios de Impacto à Proteção de Dados Pessoais (RIPD), editar um ato normativo interno sobre o uso compartilhado de dados, formalizar o registro desses fluxos entre secretarias e instituir uma etapa prévia de avaliação de impacto antes de publicações em Diário Oficial.

Adicionalmente, um plano de capacitação e treinamento para servidores envolvidos no tratamento de dados pessoais será exigido, assim como a eliminação de dados tratados sem base legal ou finalidade válida. O site da Prefeitura deverá incluir informações claras sobre os dados tratados, finalidades, hipóteses legais, compartilhamentos, prazos de retenção e direitos dos titulares.

A Prefeitura de Feira de Santana também terá que publicar a infração na primeira página do seu site por seis meses. Órgãos públicos não estão sujeitos à aplicação de multa pela LGPD, mas as sanções impostas visam garantir a conformidade com a lei.