Feira de Santana é penalizada por vazamento de dados médicos sigilosos

A Agência Nacional de Proteção de Dados (ANPD) concluiu processo administrativo sancionador contra a Prefeitura de Feira de Santana, impondo sanções de advertência, obrigatoriedade de publicização da infração e diversas medidas corretivas. A decisão decorre do vazamento e da exposição pública das informações médicas de 1.241 pessoas diagnosticadas com HIV, anemia falciforme e fibromialgia, cujos dados foram veiculados no Diário Oficial do Município (DOM) em setembro de 2025.

O incidente ocorreu durante a publicação de uma lista para corte de benefício de passe livre em cumprimento a uma determinação judicial, oportunidade em que os diagnósticos dos beneficiários foram indevidamente divulgados e permaneceram acessíveis online por algumas horas até a remoção do conteúdo.

Veja também: Prefeitura de Feira é alvo de recomendações contra assédio eleitoral

A apuração da SFI-ANPD teve início após denúncia formal apresentada 48 horas após o ocorrido. O órgão regulador identificou o descumprimento do princípio da finalidade no tratamento de dados pessoais sensíveis, além da falta de comunicação do incidente de segurança à ANPD e aos titulares afetados. A ausência de resposta às solicitações formais de esclarecimento enviadas pela agência configurou ainda obstrução da atividade fiscalizatória.

O processo culminou na responsabilização do município por seis infrações à Lei Geral de Proteção de Dados Pessoais (LGPD), abrangendo condutas como o tratamento ilegítimo, exposição de dados sigilosos para fins potencialmente discriminatórios, falta de transparência e ausência de mecanismos adequados de governança e segurança.

Sanções aplicadas e medidas de governança

Por se tratar de ente público, a legislação afasta a aplicação de sanções pecuniárias. O município foi condenado a publicar o extrato da infração na primeira página de seu portal institucional por um período contínuo de seis meses, além de implementar um plano de adequação estrutural e técnico.

As determinações expedidas pela ANPD exigem a nomeação de um Encarregado pelo Tratamento de Dados Pessoais (DPO), a elaboração da Política de Privacidade e da Política de Segurança da Informação (PSI), a criação de um Plano de Resposta a Incidentes de Segurança (PRIS) e a confecção de Relatórios de Impacto à Proteção de Dados Pessoais (RIPD).

A gestão municipal deverá também normatizar o fluxo de compartilhamento interno de dados entre secretarias, instituir uma etapa prévia de revisão antes de publicações no Diário Oficial, promover o treinamento de servidores, eliminar os dados tratados sem base legal e adequar seu site oficial para informar com clareza as hipóteses e finalidades do tratamento de dados de cidadãos.