← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem

ANPD pune prefeitura por expor dados de saúde: o que diz a LGPD

Prefeitura publicou diagnósticos de 1.241 pessoas no Diário Oficial. Veja as seis infrações apontadas pela ANPD, as sanções e o que vale para órgãos públicos.

2026-11-01

A Agência Nacional de Proteção de Dados (ANPD) concluiu a apuração contra a Prefeitura de Feira de Santana (BA), que publicou no Diário Oficial do Município listas associando nomes de 1.241 pessoas a diagnósticos de HIV/aids, anemia falciforme e fibromialgia. O caso, noticiado no fim de outubro de 2026, é um dos exemplos mais claros de como a LGPD trata dados de saúde no setor público: não há multa, mas há advertência, publicização da infração e uma lista longa de medidas corretivas.

O que aconteceu em Feira de Santana?

Em 20 de setembro de 2025, a prefeitura publicou no Diário Oficial a relação de pessoas que teriam o passe livre no transporte coletivo suspenso, em cumprimento a uma decisão judicial. Os dados tinham sido coletados para conceder o benefício, mas a publicação trazia o nome de cada beneficiário ao lado da condição de saúde que justificava a gratuidade. Segundo o Portal de Prefeitura, a edição ficou no ar por algumas horas e foi retirada no mesmo dia; a Secretaria de Mobilidade Urbana atribuiu o caso a uma falha no sistema e abriu sindicância.

De acordo com a Convergência Digital, a ANPD recebeu denúncia cerca de 48 horas depois e abriu processo de fiscalização. A prefeitura não respondeu a uma solicitação formal de informações, o que também pesou contra ela.

Quais infrações a ANPD apontou?

O Relatório de Instrução nº 3/2026 da Coordenação-Geral de Sanções individualizou seis condutas, todas classificadas como graves por envolverem dados sensíveis e efeitos discriminatórios, segundo análise do escritório Cescon Barrieu. Os principais pontos:

Ponto da LGPD	O que a ANPD encontrou
Finalidade (art. 6º, I)	Dados coletados para o benefício de transporte foram divulgados nominalmente, uso incompatível com a finalidade original
Transparência (art. 6º, VI)	Sem encarregado (DPO) nomeado e sem política de privacidade publicada
Segurança e prevenção (arts. 46, 47 e 49)	Sem política de segurança da informação, plano de resposta a incidentes, revisão prévia das publicações ou anonimização
Comunicação de incidente (art. 48)	Nota pública no site não substitui o aviso individual; houve tentativa de carta para só 22 dos 1.241 titulares (1,77%)
Sigilo legal	Violação do sigilo garantido a pessoas vivendo com HIV pela Lei 14.289/2022
Cooperação com a fiscalização	Falta de resposta à solicitação formal da ANPD

Prefeitura pode ser multada pela LGPD?

Não. O art. 52, § 3º, da LGPD afasta as multas para órgãos e entidades públicas. Por isso as sanções no caso são não pecuniárias: advertência, publicização da infração na página inicial do site da prefeitura por seis meses e medidas corretivas. Entre elas, segundo o Portal de Prefeitura:

designar um encarregado pela proteção de dados;
elaborar políticas de privacidade e de segurança da informação;
criar um plano de resposta a incidentes;
definir regras para o compartilhamento de dados entre secretarias;
avaliar riscos à privacidade antes de publicar atos no Diário Oficial;
apresentar um plano de capacitação de servidores;
eliminar dados tratados sem base legal ou finalidade válida.

Há uma nuance processual. A análise da Cescon Barrieu, de 27 de outubro, registra que o relatório foi encaminhado ao Superintendente de Fiscalização, que pode acolhê-lo, ajustar a dosimetria ou pedir diligências, e que cabe recurso ao Conselho Diretor em 10 dias úteis após a intimação. A Procuradoria do município disse aguardar a notificação oficial.

Por que dados de saúde exigem cuidado extra?

A LGPD classifica dados de saúde como dados pessoais sensíveis, com regras mais restritas de tratamento. No caso de HIV, hepatites crônicas, hanseníase e tuberculose, a Lei 14.289/2022 vai além: proíbe agentes públicos e privados de divulgar informações que identifiquem essas pessoas, inclusive na administração pública, e remete às sanções da LGPD, como resume a Agência Senado. A lei prevê ainda penalidades e indenizações em dobro quando a divulgação é intencional.

O caso mostra que publicar em diário oficial não é, por si, base legal para expor quem quer que seja. A publicidade dos atos administrativos convive com a LGPD: dá para publicar uma suspensão de benefício sem associar nomes a diagnósticos, usando iniciais, números de protocolo ou comunicação individual.

Qual é o prazo para comunicar um incidente à ANPD?

Pelo Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD nº 15/2024), o controlador tem 3 dias úteis a partir do conhecimento do incidente para comunicar a ANPD e os titulares, quando houver risco ou dano relevante, segundo a Cescon Barrieu. Dados sensíveis estão entre os critérios de relevância. O aviso aos titulares deve ser direto e individual quando for possível identificá-los, e os registros de incidentes precisam ser guardados por pelo menos cinco anos. Foi exatamente o aviso individual que faltou em Feira de Santana. Comparamos esse prazo com GDPR e leis dos EUA em LGPD, GDPR e leis dos EUA: multas e prazos.

O que órgãos públicos devem fazer agora?

O que fazer / Como se proteger

Revisão antes de publicar: crie um checklist de privacidade para atos que citem pessoas, sobretudo listas de beneficiários de programas sociais e de saúde.
Minimização: publique só o necessário; substitua nomes e diagnósticos por protocolo ou iniciais quando a lei permitir.
Encarregado nomeado e visível: publique o contato do DPO e uma política de privacidade clara.
Plano de resposta a incidentes: defina quem avalia, quem comunica a ANPD e como avisar cada titular em até 3 dias úteis.
Responda à ANPD: ignorar ofícios agrava a situação.
Se você foi exposto: peça ao órgão, pelo canal do encarregado, informações sobre o incidente e a eliminação dos dados, e registre reclamação na ANPD. Veja o passo a passo em Vazamento de dados: o que fazer.

Para entender como a autoridade escolhe alvos e o que mudou com sua transformação em agência, leia LGPD na prática: o que a ANPD fiscaliza e ANPD vira agência reguladora. O quadro de leis brasileiras está em Regulação: Brasil, e novos casos aparecem no radar.