Caso expõe falhas na governança de dados do poder público e reforça a responsabilidade de órgãos públicos na proteção de informações pessoais sensíveis
A Agência Nacional de Proteção de Dados (ANPD) concluiu um processo administrativo sancionador contra a Prefeitura de Feira de Santana (BA) após a exposição indevida de dados médicos de 1.241 pessoas no Diário Oficial do Município, em setembro de 2025. O caso envolve informações de pacientes com HIV, anemia falciforme e fibromialgia e resultou na aplicação de sanções de advertência e publicização da infração, além da determinação de uma série de medidas corretivas para adequar o tratamento de dados pessoais à Lei Geral de Proteção de Dados Pessoais (LGPD).
Para Rodrigo Pironti, especialista em Privacidade e Proteção de Dados e sócio-fundador e CEO do Pironti+Moura, o episódio evidencia que a proteção de dados precisa estar incorporada aos procedimentos administrativos dos órgãos públicos, especialmente quando envolve informações relacionadas à saúde. A divulgação de dados dessa natureza pode ampliar a exposição dos titulares a situações de discriminação, constrangimento e outros danos, tornando indispensável a adoção de mecanismos preventivos e protocolos claros de segurança da informação.
“O caso demonstra que a publicação de informações em canais oficiais da administração pública não afasta a obrigação de observar os princípios e as exigências da LGPD. Mesmo quando existe uma determinação judicial para divulgar determinados dados, é necessário avaliar quais informações são efetivamente indispensáveis para cumprir essa finalidade. A divulgação de diagnósticos médicos, por exemplo, exige uma justificativa legal específica e não pode ser tratada como uma consequência automática da publicidade administrativa”, afirma Pironti.
A exposição ocorreu durante a publicação de uma lista de beneficiários que teriam o passe livre suspenso, em cumprimento a uma determinação judicial. Além dos nomes das pessoas envolvidas, o documento disponibilizado no Diário Oficial continha informações sobre seus diagnósticos médicos. O conteúdo permaneceu acessível ao público por algumas horas, até ser retirado do ar pela própria prefeitura.
Dois dias após o incidente, a ANPD recebeu uma denúncia e iniciou um procedimento de fiscalização para apurar as circunstâncias do vazamento e as providências adotadas pelo município. Durante a investigação, a Agência identificou irregularidades no tratamento dos dados e apontou que a prefeitura não comunicou o incidente à autoridade nem aos titulares afetados, apesar do risco relevante associado à exposição de informações sensíveis. A administração municipal também deixou de responder formalmente a solicitações de informações da Agência, o que caracterizou obstrução à atividade fiscalizatória.
Ao final do processo, foram reconhecidas seis infrações à LGPD, relacionadas, entre outros pontos, ao desvio de finalidade no tratamento de dados, à exposição de informações legalmente sigilosas, à ausência de medidas adequadas de segurança e à falta de comunicação do incidente. A decisão também apontou falhas de transparência e de governança na gestão das informações pessoais.
Governança e prevenção de novos incidentes
Entre as medidas corretivas determinadas pela ANPD estão a nomeação de um encarregado pelo tratamento de dados pessoais, a elaboração e divulgação de políticas de privacidade e segurança da informação, a criação de um plano de resposta a incidentes e a apresentação de relatórios de impacto à proteção de dados pessoais. A prefeitura também deverá estabelecer regras para o compartilhamento de informações entre secretarias, formalizar os fluxos de dados e implementar uma etapa de avaliação prévia dos riscos antes da publicação de documentos no Diário Oficial.
A decisão prevê ainda a capacitação de servidores, a eliminação de dados tratados sem base legal ou finalidade válida e a divulgação de informações claras sobre as práticas de tratamento de dados no site institucional. Como sanção adicional, a prefeitura deverá publicar a infração na primeira página de seu portal por seis meses.
Segundo Pironti, as determinações reforçam a necessidade de tratar a conformidade com a LGPD como uma questão de governança, e não apenas como uma obrigação documental. “A prevenção depende de processos bem definidos, controle sobre o acesso e a divulgação das informações, capacitação dos servidores e avaliação dos riscos antes que os dados sejam disponibilizados ao público. Quando esses mecanismos falham, a administração pode comprometer direitos fundamentais e enfrentar consequências administrativas e reputacionais”, avalia.
Embora a LGPD não preveja a aplicação de multas administrativas aos órgãos e entidades públicas nas mesmas condições aplicáveis a agentes privados, isso não significa que a administração esteja dispensada de cumprir a legislação. O caso de Feira de Santana mostra que a ANPD pode aplicar sanções previstas para o poder público e exigir mudanças estruturais para corrigir irregularidades e reduzir o risco de novos incidentes.
Os documentos dos processos de fiscalização e sancionador estão disponíveis para consulta pública no Sistema Eletrônico de Informações da ANPD.
Nenhum comentário:
Postar um comentário