ANPD Feira de Santana: o que a punição mostra sobre LGPD

A ANPD advertiu a Prefeitura de Feira de Santana por expor dados de saúde no Diário Oficial. Veja as falhas apontadas, as medidas e o que a ANPD pede num incidente.

Por Redação Eleven Host · @robson.direitodigital · 28 de outubro de 2026 · 5 min de leitura

Capa da Redação Eleven Host para a notícia: ANPD Feira de Santana: o que a punição mostra sobre LGPD Arte: Eleven Host

ANPD Feira de Santana: a Autoridade Nacional de Proteção de Dados aplicou advertência e medidas corretivas à prefeitura, segundo o Convergência Digital, por expor dados de saúde de 1.241 pessoas no Diário Oficial do Município.

De acordo com a reportagem, a prefeitura tinha de listar quem teve o passe livre suspenso por ordem judicial, mas os diagnósticos foram divulgados além do que a ordem pedia. O Acorda Cidade informa que a publicação foi em 20 de setembro de 2025. Segundo o Convergência Digital, os dados ficaram acessíveis por algumas horas e foram retirados no mesmo dia em que a prefeitura percebeu o erro.

Ainda segundo o Convergência Digital, a ANPD recebeu denúncia cerca de 48 horas depois e abriu fiscalização. A prefeitura não comunicou o incidente à ANPD nem às pessoas afetadas. Segundo o Acorda Cidade, a Procuradoria-Geral do Município aguarda a formalização da ciência da decisão para analisar os termos e avaliar as medidas cabíveis.

As seis falhas apontadas

O processo sancionador reconheceu seis infrações. Em linguagem simples:

1. Tratar dados sem finalidade legítima, específica e informada.
2. Não dar aos titulares informação clara sobre o tratamento.
3. Expor publicamente dados legalmente sigilosos e tratar dados para fins discriminatórios ilícitos ou abusivos.
4. Não adotar medidas técnicas e administrativas de segurança, nem governança.
5. Tratar dados sem a segurança que o titular podia esperar.
6. Não comunicar o incidente à ANPD e aos titulares, embora houvesse risco ou dano relevante.

A Superintendência de Fiscalização da ANPD viu tratamento ilegítimo, contrário ao princípio da finalidade (art. 6º da LGPD). A prefeitura também não respondeu ao pedido formal de informações, tratado como obstrução da fiscalização.

O que a ANPD mandou corrigir

As fontes não informam prazos. Entre as medidas:

• nomear Encarregado de dados;
• publicar Política de Privacidade, Política de Segurança da Informação e Plano de Resposta a Incidentes, e elaborar Relatórios de Impacto à Proteção de Dados;
• registrar o fluxo de dados entre as secretarias;
• avaliar o impacto antes de publicar dado pessoal no Diário Oficial;
• capacitar os servidores que tratam dados;
• eliminar dados tratados sem base legal ou finalidade válida;
• publicar no site informações claras sobre finalidades, bases legais, prazos de retenção e direitos dos titulares.

A ANPD também determinou que a prefeitura divulgue a infração na página inicial do site oficial por seis meses.

O que isso mostra para quem guarda dados de clientes

A decisão é sobre um órgão público, que não está sujeito a multa pela LGPD, lembra o Convergência Digital. Mesmo assim, a lista de falhas e de medidas serve como pontos de atenção para quem guarda dados de clientes. Perguntas antes de um problema:

• Sei por que guardo cada dado, e o cliente foi informado?
• Há uma pessoa responsável pelos dados, que o cliente consiga encontrar?
• Existem políticas de privacidade e de segurança escritas?
• Sei por onde os dados circulam e com quem são compartilhados?
• Avalio o impacto antes de publicar dado pessoal?
• Quem lida com os dados foi orientado?
• Existe um plano escrito para o caso de incidente?

Tem um projeto que guarda dados e precisa de servidor? VPS a partir de R$ 17,00/mês no Plano Bronze; confira na loja o que cada plano inclui. Ver planos de VPS

Se acontecer um incidente: o que a ANPD pede

A página da ANPD sobre comunicação de incidente de segurança, atualizada em 26/08/2026, define o incidente como um evento adverso confirmado que comprometa a confidencialidade, a integridade, a disponibilidade ou a autenticidade de dados pessoais. Pode ser acidental ou intencional.

Comunique quando as três condições valem juntas: incidente confirmado, dados pessoais sujeitos à LGPD e possível risco ou dano relevante aos titulares.

O prazo é de três dias úteis, para a ANPD e para os titulares, ressalvados prazos de lei específica. Dá para fazer uma comunicação preliminar e completá-la em até 20 dias úteis. Quem comunica é o encarregado ou um representante legal do controlador, pelo peticionamento eletrônico no SEI!ANPD, com login gov.br.

O aviso aos titulares deve ter linguagem simples e, se possível, ser direto e individual. Ele precisa trazer:

• a natureza e a categoria dos dados afetados;
• as medidas de segurança usadas;
• os riscos e os possíveis impactos;
• o motivo da demora, se houver;
• as medidas adotadas ou previstas para reduzir os efeitos;
• a data em que o incidente foi conhecido;
• o contato e o encarregado, se houver.

Precisa de um banco de dados na nuvem para o seu projeto? O 11SQL Mini sai a partir de R$ 9,90/mês; confira na loja o que cada plano inclui. Ver planos de 11SQL

Perguntas frequentes

A prefeitura pagou multa?

Não. A decisão foi advertência e medidas corretivas. A reportagem do Convergência Digital lembra que órgãos públicos não estão sujeitos à aplicação de multa pela LGPD.

Qual o prazo para comunicar um incidente de segurança?

Segundo a página da ANPD, três dias úteis, para a ANPD e para os titulares, ressalvados prazos de lei específica. A comunicação preliminar pode ser completada em até 20 dias úteis.

O que o aviso aos clientes deve conter?

Natureza e categoria dos dados afetados, medidas de segurança usadas, riscos e impactos, motivo da demora (se houver), medidas adotadas, data em que o incidente foi conhecido e contato.

Preciso comunicar todo incidente?

Não. A ANPD indica que a comunicação vale quando as três condições aparecem juntas: incidente confirmado, dados pessoais sujeitos à LGPD e possibilidade de risco ou dano relevante aos titulares.