A Autoridade Nacional de Proteção de Dados (ANPD) decidiu aplicar advertência e determinar medidas corretivas à Prefeitura de Feira de Santana, na Bahia, depois que informações médicas de 1.241 pessoas foram expostas. O conteúdo sensível apareceu na edição do Diário Oficial do Município (DOM).
Origem do problema
Em setembro de 2025, a administração municipal divulgou uma relação de moradores que poderiam perder o direito ao passe livre no transporte público por determinação judicial. Nessa lista, porém, também surgiram diagnósticos de saúde, como os de HIV (vírus da imunodeficiência humana), anemia falciforme e fibromialgia.
A Lei Geral de Proteção de Dados Pessoais (LGPD) enquadra informações sobre saúde como dados sensíveis, que exigem cuidado redobrado e oferecem alto risco quando expostos. Os arquivos ficaram acessíveis ao público por poucas horas, até que a prefeitura percebesse a falha e retirasse o documento do ar.
Irregularidades identificadas pela ANPD
A fiscalização começou dois dias após o episódio, a partir de uma denúncia encaminhada à agência. Ao término do procedimento administrativo, o regulador constatou seis violações graves às normas de privacidade cometidas pela gestão municipal.
Entre as falhas listadas estão o uso indevido de dados sem finalidade definida, a divulgação de informações que deveriam ser sigilosas e a ausência de comunicação imediata às pessoas afetadas. A agência também registrou que a prefeitura não respondeu aos pedidos formais de esclarecimento, situação que caracterizou obstrução da fiscalização.
Sanção sem multa e obrigações da prefeitura
A legislação brasileira não permite a aplicação de multas em dinheiro a órgãos e entidades públicas que descumpram a LGPD. Por isso, a principal penalidade é a obrigação de manter, durante seis meses, um aviso sobre a infração na página inicial do site oficial da prefeitura.
O município também deverá nomear um encarregado de dados, conhecido pela sigla em inglês DPO (data protection officer), além de criar regras claras de segurança da informação e de resposta a incidentes. A decisão ainda determina a implantação de uma checagem prévia de qualquer conteúdo antes de sua publicação no DOM e a realização de treinamentos sobre privacidade para os servidores públicos.
