ANPD pune Prefeitura de Feira de Santana por expor dados de pacientes com HIV
Destaques
- •ANPD aplicou sanções de advertência e publicização contra a Prefeitura de Feira de Santana por expor diagnósticos de 1.241 pacientes.
- •A publicação indevida no Diário Oficial do Município revelou que os pacientes eram portadores de HIV, anemia falciforme ou fibromialgia.
- •A prefeitura terá que implementar medidas corretivas, incluindo a nomeação de um encarregado de dados e a publicação da infração em seu site por seis meses.
A Agência Nacional de Proteção de Dados (ANPD) aplicou sanções de advertência e de publicização da infração contra a Prefeitura de Feira de Santana, BA, após um processo administrativo sancionador. O caso envolve a exposição indevida dos diagnósticos de 1.241 pacientes no Diário Oficial do Município (DOM) em setembro de 2025. Os dados revelaram que os pacientes eram portadores do vírus da imunodeficiência humana (HIV), anemia falciforme ou fibromialgia. As informações permaneceram públicas por algumas horas antes de serem removidas pela prefeitura no mesmo dia da identificação da falha.
Origem e investigação do incidente
O incidente ocorreu quando a prefeitura buscava cumprir uma determinação judicial para listar nomes de cidadãos que teriam o benefício de passe livre cortado. No entanto, além dos nomes, os diagnósticos médicos dos beneficiários foram divulgados de forma indevida. Quarenta e oito horas após o ocorrido, a ANPD recebeu uma denúncia e abriu um processo de fiscalização. A agência investigou as possíveis infrações à Lei Geral de Proteção de Dados Pessoais (LGPD) e as medidas adotadas pelo município para mitigar os impactos da exposição. Diagnósticos médicos são considerados dados pessoais sensíveis pela LGPD.
A Superintendência de Fiscalização (SFI) da ANPD constatou que a publicação configurou tratamento ilegítimo dos dados, violando o princípio da finalidade. O processo avançou para administrativo sancionador quando a prefeitura não respondeu a uma solicitação formal da agência por informações, caracterizando obstrução da atividade fiscalizatória.
Infrações à LGPD e medidas corretivas
A decisão reconheceu seis infrações à LGPD cometidas pela prefeitura. Entre elas, estão o tratamento de dados sem propósitos legítimos, a não disponibilização de informações claras sobre o tratamento, a exposição pública de dados sigilosos com fins discriminatórios, a ausência de medidas de segurança adequadas e a falta de comunicação do incidente à ANPD e aos titulares afetados, conforme exigido pelo regulamento.
Para reduzir os danos e prevenir a recorrência de incidentes semelhantes, a ANPD estabeleceu diversas medidas corretivas. A prefeitura deverá nomear um encarregado de dados pessoais, elaborar e divulgar políticas de privacidade, segurança da informação e de resposta a incidentes, além de relatórios de impacto à proteção de dados. Também será necessário editar um ato normativo interno para disciplinar o uso compartilhado de dados, formalizar o registro de fluxo de dados entre secretarias e criar uma etapa prévia de avaliação de impacto antes de publicações no Diário Oficial.
Próximos passos e obrigações contínuas
Adicionalmente, a prefeitura precisará apresentar um plano de capacitação e treinamento para servidores que lidam com dados pessoais e garantir a eliminação de dados tratados sem base legal ou finalidade válida. O site da prefeitura deverá incluir informações claras sobre os dados tratados, suas finalidades, hipóteses legais, compartilhamentos, prazos de retenção e direitos dos titulares. Como parte das sanções, a prefeitura terá que publicar a infração na primeira página de seu site por seis meses. Órgãos públicos não estão sujeitos à aplicação de multa pela LGPD.
