ANPD aplica sanções e medidas corretivas à Prefeitura de Feira de Santana por vazamento de dados de saúde

Vazamentos envolvendo dados de saúde exigem resposta rápida e documentada, especialmente quando atingem titulares vulneráveis. O caso da Prefeitura de Feira de Santana ilustra os riscos de falhas de governança em dados sensíveis. A Compliance Vision acompanha esse tipo de decisão para apoiar equipes de privacidade na gestão de processos e evidências de conformidade.

Resumo

A Autoridade Nacional de Proteção de Dados (ANPD) concluiu processo administrativo sancionador contra a Prefeitura de Feira de Santana (BA) em decisão divulgada em 26/10/2026. A sanção decorre da exposição, em setembro de 2025, dos nomes de 1.241 pessoas com HIV, anemia falciforme e fibromialgia no Diário Oficial do Município, durante publicação determinada judicialmente sobre corte de passe livre. Além dos nomes exigidos pela decisão judicial, a publicação divulgou indevidamente os diagnósticos dos beneficiários, que ficaram acessíveis por algumas horas.

A prefeitura retirou a publicação no mesmo dia, mas não comunicou o incidente à ANPD nem aos titulares afetados, como exige o Regulamento de Comunicação de Incidente de Segurança. A Agência recebeu denúncia 48 horas depois e abriu fiscalização, que evoluiu para processo sancionador (nº 00261.004315/2025-11), vinculado ao processo de monitoramento (nº 00261.004154/2025-66). A SFI-ANPD reconheceu seis infrações à LGPD, incluindo tratamento sem finalidade legítima, exposição de dados sigilosos, ausência de medidas de segurança e falta de comunicação do incidente.

Como medida punitiva, a ANPD aplicou advertência e determinou a publicização da infração na página inicial do site da prefeitura por seis meses. Vale destacar, como limitação relevante, que órgãos públicos não estão sujeitos à aplicação de multa pela LGPD — por isso a sanção se concentrou em medidas corretivas e de transparência.

O que muda na prática

A decisão estabelece um conjunto extenso de medidas corretivas para a Prefeitura de Feira de Santana, que podem servir de referência para outros órgãos públicos que tratam dados sensíveis. Entre as obrigações determinadas estão: nomeação de Encarregado de dados pessoais; elaboração de Política de Privacidade, Política de Segurança da Informação e Plano de Resposta a Incidentes; realização de Relatórios de Impacto à Proteção de Dados (RIPD); formalização de fluxos de compartilhamento de dados entre secretarias; criação de etapa de avaliação de impacto antes de publicações no Diário Oficial; capacitação de servidores envolvidos no tratamento de dados; e eliminação de dados tratados sem base legal.

A prefeitura também deve incluir, em seu site, informações claras sobre finalidades de tratamento, hipóteses legais, compartilhamentos, prazos de retenção e direitos dos titulares. O caso reforça que a ausência de comunicação de incidentes à ANPD e aos titulares, mesmo após correção rápida da falha, pode configurar infração autônoma e agravar a responsabilização do agente de tratamento. Órgãos públicos e privados que lidam com dados de saúde, orientação sexual, origem étnica ou convicções religiosas devem adotar etapas de revisão prévia antes de publicações que envolvam listas nominais vinculadas a condições pessoais.

Como a Compliance Vision pode ajudar

O Canal de Privacidade da Compliance Vision apoia o registro e o acompanhamento de solicitações de titulares, com prazos e tarefas internas organizadas. O módulo de Gestão de Compliance permite documentar processos, responsáveis e evidências relacionadas a políticas de privacidade e planos de resposta a incidentes, auxiliando equipes enxutas a manter rastreabilidade das atividades exigidas pela LGPD.

Leia na íntegra: texto oficial completo