Prefeitura de Feira de Santana terá de reforçar proteção de dados após caso com 1.241 titulares

A determinação da ANPD inclui novas regras internas, treinamento de servidores e aviso público da infração por seis meses.

A Prefeitura de Feira de Santana, na Bahia, terá de mudar procedimentos de proteção de dados após a Agência Nacional de Proteção de Dados (ANPD) concluir, em 26 de outubro de 2026, um processo sancionador sobre a exposição de informações médicas de 1.241 pessoas. A lista de beneficiários do Passe Livre foi publicada no Diário Oficial do Município em setembro de 2025 e permaneceu disponível por algumas horas.

A agência aplicou advertência e determinou providências administrativas para corrigir falhas e reduzir o risco de repetição. Também ordenou que a infração seja divulgada na página inicial do site municipal durante seis meses. A decisão não prevê multa: a legislação não aplica essa penalidade a órgãos públicos da mesma forma que a empresas privadas.

Como a divulgação saiu do propósito original

A publicação ocorreu em cumprimento a uma determinação judicial que exigia divulgar nomes de pessoas que poderiam perder o benefício de transporte gratuito. Junto aos nomes, porém, apareceram diagnósticos de HIV, anemia falciforme e fibromialgia. A prefeitura retirou o conteúdo do ar no mesmo dia, mas a remoção não eliminou a necessidade de avaliar os riscos para quem foi identificado.

Informações sobre saúde são consideradas dados pessoais sensíveis pela Lei Geral de Proteção de Dados (LGPD). A existência de uma obrigação de publicar uma lista não autoriza, por si só, a divulgação de todos os detalhes que estejam nos registros administrativos. A administração precisa limitar a publicação ao necessário para cumprir sua finalidade e evitar exposição que possa facilitar discriminação ou causar danos aos titulares.

O que a ANPD considerou irregular

A apuração apontou seis violações. Entre elas estão o uso de dados sem finalidade legítima e informada, a falta de transparência sobre o tratamento, a exposição de informação protegida e a ausência de segurança e governança adequadas. A agência também considerou irregular a falta de comunicação do incidente às pessoas afetadas e à própria autoridade, além da ausência de resposta às solicitações feitas durante a fiscalização.

A LGPD exige que órgãos e empresas adotem medidas técnicas e administrativas para proteger informações pessoais. Quando um incidente pode gerar risco ou dano relevante, a comunicação aos titulares e à ANPD é parte da resposta; ela permite que as pessoas compreendam o ocorrido e tomem providências compatíveis com a situação. A retirada rápida de uma página, portanto, não substitui os demais deveres previstos na lei.

Mudanças exigidas dentro da Prefeitura

A administração municipal deverá nomear um encarregado de dados e elaborar políticas de privacidade e segurança, além de um plano de resposta a incidentes. A determinação inclui também relatórios de impacto à proteção de dados, regras formais para compartilhamento de informações entre secretarias e registro desses fluxos.

Outro ponto é a criação de uma etapa de revisão antes de publicar documentos no Diário Oficial, com avaliação do efeito da divulgação sobre as pessoas citadas. A Prefeitura deverá ainda apresentar um plano de capacitação para servidores que lidam com dados pessoais, eliminar informações tratadas sem base legal ou finalidade válida e explicar em seu site quais dados utiliza, por quanto tempo os conserva e como os titulares podem exercer seus direitos.

O efeito prático para os cidadãos

As medidas buscam transformar a correção do caso em controles permanentes, em vez de depender apenas da retirada de uma publicação depois que ela já se tornou pública. Para os moradores, a mudança mais relevante é a possibilidade de haver uma checagem específica de informações pessoais antes de documentos oficiais serem disponibilizados na internet.

A determinação também reforça que a publicação em Diário Oficial não afasta os deveres de proteção quando documentos contêm dados de saúde. A ANPD não detalhou, no resumo público da decisão, um prazo individual para cada providência corretiva; a divulgação da infração, por outro lado, deverá permanecer por seis meses. A implementação das novas políticas e rotinas será essencial para reduzir o risco de que outras informações sensíveis apareçam em atos administrativos.

Quer se aprofundar nesta notícia? Leia mais sobre ela abaixo: