ANPD pune Prefeitura de Feira de Santana por vazamento de dados de pacientes

A Agência Nacional de Proteção de Dados (ANPD) aplicou sanções de advertência e de publicização da infração à Prefeitura de Feira de Santana, na Bahia, após um processo administrativo sancionador. O caso envolve a exposição indevida de diagnósticos de 1.241 pacientes no Diário Oficial do Município (DOM) em setembro de 2025. Os dados revelavam que os pacientes eram portadores de HIV, anemia falciforme ou fibromialgia. A publicação permaneceu acessível ao público por algumas horas antes de ser removida no mesmo dia da identificação da falha.

Origem e Investigação do Incidente

O incidente ocorreu quando a prefeitura cumpria uma determinação judicial para listar nomes de cidadãos que teriam o benefício de passe livre cortado. Contudo, além dos nomes, os diagnósticos médicos dos beneficiários foram divulgados de forma indevida. Quarenta e oito horas após o ocorrido, a ANPD recebeu uma denúncia e abriu um processo de fiscalização. A agência investigou as infrações à Lei Geral de Proteção de Dados Pessoais (LGPD) e as medidas adotadas pelo município para mitigar os impactos da exposição.

Diagnósticos médicos são considerados dados pessoais sensíveis pela LGPD, assim como informações sobre vida sexual, origem racial ou étnica, convicções religiosas, opiniões políticas e filiação a entidades de caráter religioso, filosófico ou político. A Superintendência de Fiscalização (SFI) da ANPD constatou que a publicação configurou tratamento ilegítimo dos dados, violando o princípio da finalidade.

Infrações à LGPD e Medidas Corretivas

O processo evoluiu para administrativo sancionador após a prefeitura não responder a uma solicitação formal da ANPD por informações, o que foi caracterizado como obstrução da atividade fiscalizatória. A decisão reconheceu seis infrações à LGPD, incluindo tratamento de dados sem propósitos legítimos, não disponibilização de informações claras, exposição pública de dados sigilosos com fins discriminatórios, ausência de medidas de segurança e governança, tratamento irregular sem o nível de segurança esperado e falta de comunicação do incidente à ANPD e aos titulares.

A prefeitura também falhou em comunicar o incidente à ANPD e aos titulares afetados, conforme exige o Regulamento de Comunicação de Incidente de Segurança. Como medidas corretivas, a ANPD estabeleceu que o município deve:

• Nomear um encarregado de dados pessoais.
• Elaborar e divulgar Política de Privacidade, Política de Segurança da Informação (PSI), Plano de Resposta a Incidentes de Segurança (PRIS) e Relatórios de Impacto à Proteção de Dados Pessoais (RIPD).
• Editar ato normativo interno para disciplinar o uso compartilhado de dados.
• Formalizar o registro do fluxo de uso compartilhado de dados pessoais entre secretarias.
• Criar uma etapa prévia à publicação no Diário Oficial para avaliação de impacto.
• Apresentar plano de capacitação e treinamento para servidores.
• Eliminar dados tratados sem base legal ou finalidade válida.
• Incluir no site da prefeitura informações claras sobre dados tratados, finalidades, prazos e direitos dos titulares.

Além das mudanças estruturais, a prefeitura deverá publicar a infração em destaque na primeira página de seu site por seis meses. Órgãos públicos não estão sujeitos à aplicação de multa pela LGPD.