Prefeitura de Feira de Santana é alvo da ANPD após exposição de dados médicos
A Prefeitura de Feira de Santana, no interior da Bahia, foi alvo de um processo administrativo da Agência Nacional de Proteção de Dados (ANPD) após a divulgação de informações pessoais sensíveis de 1.241 cidadãos no Diário Oficial do Município.
O caso aconteceu em setembro de 2025, quando a administração municipal publicou nomes de pessoas com HIV, anemia falciforme e fibromialgia em um documento relacionado à suspensão do benefício de Passe Livre.
A publicação expôs informações relacionadas às condições de saúde dos beneficiários, consideradas dados pessoais sensíveis pela Lei Geral de Proteção de Dados Pessoais (LGPD).
Embora o conteúdo tenha sido retirado do Diário Oficial poucas horas depois, a exposição motivou uma denúncia à ANPD, que instaurou um procedimento de fiscalização.
A investigação identificou irregularidades no tratamento dos dados e resultou na determinação de medidas corretivas à gestão do prefeito José Ronaldo de Carvalho (União Brasil).
Mais de 1,2 mil pessoas tiveram informações de saúde expostas
A divulgação ocorreu em um ato administrativo referente ao Passe Livre, benefício destinado a pessoas que atendem a determinadas condições previstas na legislação municipal.
O documento publicado pela Prefeitura continha informações que permitiam associar os nomes de 1.241 cidadãos a condições específicas de saúde.
Entre os grupos afetados estavam pessoas vivendo com HIV e cidadãos com anemia falciforme e fibromialgia.
A exposição desse tipo de informação exige cuidados especiais, já que dados referentes à saúde possuem proteção específica na legislação brasileira.
A retirada posterior da publicação não elimina o fato de que os dados ficaram acessíveis ao público durante determinado período.
ANPD identifica violação à Lei Geral de Proteção de Dados
Após receber a denúncia, a Superintendência de Fiscalização da ANPD analisou as circunstâncias da publicação.
O órgão concluiu que houve tratamento inadequado de dados pessoais sensíveis, especialmente em relação ao princípio da finalidade, previsto no artigo 6º da LGPD.
Esse princípio determina que a utilização de informações pessoais deve atender a propósitos legítimos, específicos, explícitos e informados aos titulares.
Na avaliação apresentada pela agência, a divulgação dos dados no Diário Oficial não observou adequadamente essas exigências.
O processo também apontou que a Prefeitura deixou de comunicar o incidente à ANPD, obrigação aplicável nas circunstâncias previstas pela legislação e regulamentação de proteção de dados.
Prefeitura não comunicou incidente à autoridade de proteção de dados
Um dos pontos destacados no procedimento foi a ausência de notificação do incidente à Agência Nacional de Proteção de Dados.
A LGPD estabelece obrigações para os responsáveis pelo tratamento de informações pessoais, incluindo a comunicação de incidentes de segurança capazes de causar riscos ou danos relevantes aos titulares.
Segundo a fiscalização, a administração municipal não cumpriu o procedimento de comunicação exigido para o episódio.
A omissão foi considerada na análise da atuação do município diante da exposição das informações.
A agência também apontou a necessidade de aprimorar os mecanismos internos de controle e prevenção de novos incidentes.
Município terá que nomear responsável pela proteção de dados
Entre as providências determinadas pela ANPD está a nomeação de um encarregado pelo tratamento de dados pessoais.
Esse profissional deverá atuar como ponto de contato entre a Prefeitura, os cidadãos e a autoridade responsável pela fiscalização da LGPD.
O município também terá que elaborar e divulgar documentos institucionais relacionados à proteção das informações pessoais sob sua responsabilidade.
Entre eles estão a Política de Privacidade do Município, a Política de Segurança da Informação e o Plano de Resposta a Incidentes de Segurança.
A administração deverá ainda elaborar Relatórios de Impacto à Proteção de Dados Pessoais, conforme as determinações aplicáveis ao processo.
As medidas buscam estabelecer procedimentos formais para prevenir exposições indevidas e melhorar a gestão das informações dos cidadãos.
Prefeitura terá que controlar compartilhamento de dados entre secretarias
A ANPD também determinou que a Prefeitura de Feira de Santana regulamente o compartilhamento de dados pessoais entre seus órgãos administrativos.
A gestão deverá editar um ato normativo interno que estabeleça critérios para a circulação dessas informações.
Também será necessário formalizar o registro dos fluxos de compartilhamento de dados entre as secretarias municipais.
A exigência busca assegurar maior controle sobre quais informações são utilizadas, por quais setores e com quais finalidades.
A medida é especialmente importante em situações que envolvem dados de saúde, cuja divulgação indevida pode gerar riscos à privacidade e à dignidade dos cidadãos.
Publicações no Diário Oficial passarão por avaliação prévia
Outra determinação envolve a criação de uma etapa de avaliação antes da publicação de informações no Diário Oficial do Município.
A Prefeitura deverá implementar procedimentos para identificar a presença de dados pessoais e avaliar os possíveis impactos de sua divulgação.
A iniciativa busca impedir que documentos administrativos tornem públicas informações protegidas sem necessidade ou justificativa legal adequada.
A administração também deverá apresentar um plano de capacitação e treinamento voltado aos servidores que trabalham diretamente com o tratamento de dados pessoais.
O objetivo é aprimorar o conhecimento sobre a LGPD e reduzir o risco de novas ocorrências.
ANPD exige exclusão de dados tratados sem justificativa legal
O processo também estabelece que a gestão municipal deverá eliminar dados pessoais tratados sem base legal ou finalidade válida, observadas as obrigações legais de conservação de informações.
Além disso, o site oficial da Prefeitura terá que apresentar informações claras sobre as práticas de tratamento de dados.
Entre os esclarecimentos exigidos estão as finalidades da utilização dos dados, as hipóteses legais que autorizam o tratamento, os compartilhamentos realizados, os prazos de retenção e os direitos dos titulares.
Essas informações deverão permitir que os cidadãos compreendam como seus dados são utilizados pela administração pública.
Prefeitura terá que divulgar infração por seis meses
Uma das determinações de maior visibilidade é a obrigação de tornar pública a infração relacionada à exposição dos dados.
Segundo as informações do processo, a Prefeitura de Feira de Santana deverá publicar a informação na página inicial de seu site oficial e mantê-la disponível por seis meses.
A medida funciona como uma forma de publicidade da irregularidade identificada pela autoridade de proteção de dados.
A administração municipal também deverá executar as demais providências determinadas no procedimento administrativo.
Município não receberá multa financeira
Apesar das irregularidades apontadas, a Prefeitura de Feira de Santana não ficará sujeita à aplicação de multa pecuniária pela ANPD nesse processo.
Isso ocorre porque a LGPD não permite a imposição desse tipo de multa administrativa a órgãos e entidades públicas nas mesmas condições aplicáveis às organizações privadas.
Entretanto, o poder público pode receber outras sanções administrativas, incluindo advertências, determinações de publicidade da infração e medidas relacionadas ao tratamento de dados pessoais.
A ausência de multa financeira, portanto, não afasta as obrigações estabelecidas pela agência.
Caso reforça importância da proteção de informações médicas
A exposição dos dados de 1.241 cidadãos em Feira de Santana chama a atenção para os riscos associados à divulgação de informações sensíveis em documentos públicos.
Registros sobre condições de saúde exigem proteção especial, uma vez que sua divulgação indevida pode gerar constrangimentos, discriminação e outras consequências para os titulares.
O episódio também evidencia a necessidade de estabelecer procedimentos de segurança e controle nas publicações oficiais realizadas por órgãos públicos.
Com as determinações da ANPD, a Prefeitura terá que aprimorar sua estrutura de governança de dados, regulamentar o compartilhamento de informações e adotar medidas para prevenir novas ocorrências.
O caso segue como um exemplo dos desafios enfrentados pelas administrações municipais na aplicação da Lei Geral de Proteção de Dados e na preservação da privacidade dos cidadãos.
