ANPD pune prefeitura baiana após expor no Diário Oficial nomes e diagnósticos de 1.241 pessoas

A Agência Nacional de Proteção de Dados (ANPD) concluiu processo administrativo sancionador contra a Prefeitura de Feira de Santana (BA) e aplicou advertência e publicização da infração, além de um pacote de medidas corretivas. O motivo: a exposição dos nomes de 1.241 pessoas com HIV, anemia falciforme e fibromialgia no Diário Oficial do Município, em setembro de 2025.

A falha não veio de um invasor. A prefeitura publicava, por determinação judicial, a lista de cidadãos que teriam o benefício do passe livre cortado — mas, junto dos nomes que deveriam constar, foram divulgados indevidamente os diagnósticos dos beneficiários. O conteúdo ficou acessível ao público por algumas horas na página do Diário Oficial. A publicação foi retirada do ar no mesmo dia, e 48 horas depois a ANPD recebeu a denúncia e instaurou a fiscalização.

Fonte: ANPD — ANPD estabelece medidas corretivas à Prefeitura de Feira de Santana pelo vazamento de dados médicos de 1.200 pessoas (26/10/2026)

No processo, a ANPD reconheceu seis infrações à LGPD, entre elas tratamento de dados sem propósito legítimo, exposição pública de dados legalmente sigilosos, ausência de medidas técnicas e administrativas de segurança e falta de mecanismos adequados de governança e demonstração de conformidade. Dois pontos agravam o caso e interessam a qualquer organização que trate dado sensível: a prefeitura não comunicou o incidente à ANPD nem aos titulares afetados, como exige o regulamento de comunicação de incidentes; e não respondeu ao pedido formal de informações da Agência, o que foi tratado como obstrução da atividade fiscalizatória.

Por que isso importa

Aqui a causa do vazamento não foi exploração externa — foi processo interno: um fluxo de dados que misturou o que podia ser publicado com o que nunca poderia, sem uma etapa de revisão capaz de barrar o campo errado. É a classe de risco que aparece com mais frequência do que o ataque espetacular: exposição de dados pessoais sensíveis por falha de controle, ausência de trilha e resposta a incidente improvisada. E o desfecho mostra o outro lado da conta — não basta remover a publicação do ar; o que pesa depois é a capacidade de demonstrar governança e comunicar o incidente no prazo.

O que testar e monitorar continuamente

• Gate de publicação/exportação: quem pode publicar ou exportar o quê, com quais campos, e existe revisão obrigatória antes de ir ao ar?
• Controle de acesso e trilha sobre a base sensível: quem leu, quem copiou, quem publicou — com log exportável, não reconstruído na mão depois.
• Detecção e tempo de exposição: quanto tempo a operação leva para perceber que publicou o que não devia?
• Plano de resposta a incidente testado: notificação à ANPD e aos titulares dentro do prazo regulamentar — verificado antes do incidente, não durante.
• Retenção e eliminação: dado sem base legal ou finalidade válida continua armazenado onde?