ANPD pune Prefeitura de Feira de Santana (BA) por expor dados de 1,2 mil pacientes

A Agência Nacional de Proteção de Dados (ANPD) concluiu um processo administrativo sancionador contra a Prefeitura de Feira de Santana, BA, e aplicou sanções de advertência e de publicização da infração, além de estabelecer medidas corretivas.

O caso envolve a exposição de diagnósticos de 1.241 pacientes no Diário Oficial do Município (DOM), em setembro de 2025.

A publicação indevida revelou que os pacientes eram portadores do vírus da imunodeficiência humana (HIV), anemia falciforme ou fibromialgia.

Os dados permaneceram acessíveis ao público por algumas horas antes de a prefeitura remover a publicação do ar no mesmo dia em que a falha foi identificada.

Origem do incidente O episódio ocorreu quando a prefeitura cumpria determinação judicial para listar os nomes de cidadãos que teriam o benefício de passe livre cortado.

Além dos nomes, que deveriam constar no DOM, os diagnósticos dos beneficiários foram divulgados de forma indevida.

Quarenta e oito horas após o ocorrido, a ANPD recebeu denúncia sobre o caso e abriu processo de fiscalização.

A agência investigou tanto as possíveis infrações à Lei Geral de Proteção de Dados Pessoais (LGPD) quanto as medidas adotadas pelo município para reduzir os impactos da exposição.

Diagnósticos médicos se enquadram na categoria de dados pessoais sensíveis, que abrange também informações sobre vida sexual, origem racial ou étnica, convicções religiosas, opiniões políticas e filiação a entidades de caráter religioso, filosófico ou político.

Leia também: “Não seja heroína, conte com sua rede de apoio”, ensina Mara Maehara, CIO da Totvs As seis infrações reconhecidas A Superintendência de Fiscalização (SFI) da ANPD constatou que a publicação configurou tratamento ilegítimo dos dados, por desrespeito ao princípio da finalidade previsto no artigo 6º da LGPD.

O processo evoluiu para processo administrativo sancionador após a prefeitura não responder à solicitação formal da agência por informações sobre o evento, conduta caracterizada como obstrução da atividade fiscalizatória.

A decisão reconheceu seis infrações à LGPD: Tratamento de dados sem propósitos legítimos, específicos, explícitos e informados ao titular; Não disponibilização de informações claras e acessíveis sobre o tratamento de dados e os agentes responsáveis; Exposição pública de dados legalmente sigilosos e tratamento com fins discriminatórios ilícitos ou abusivos; Ausência de medidas técnicas e administrativas de segurança e de mecanismos de governança e conformidade; Tratamento irregular sem o nível de segurança esperado pelo titular; Falta de comunicação à ANPD e aos titulares sobre incidente que pode acarretar risco ou dano relevante.