O que a ANPD decidiu
Em 26 de outubro de 2026, a Agência Nacional de Proteção de Dados (ANPD) divulgou a conclusão de um processo sancionador contra a Prefeitura de Feira de Santana, na Bahia. Nós acompanhamos o caso com atenção porque ele reúne, em um único episódio, quase tudo o que a fiscalização cobra de qualquer organização que publica listas: base legal, finalidade, segurança, transparência e resposta a incidentes. E isso vale muito além do setor público.
A decisão aplicou duas sanções, advertência e publicização da infração, e fixou uma série de medidas corretivas. A prefeitura deverá divulgar a infração na primeira página do seu site por seis meses. O motivo foi a exposição, em setembro de 2025, dos nomes de 1.241 pessoas com HIV, anemia falciforme e fibromialgia no Diário Oficial do Município.
A publicação aconteceu quando a prefeitura, por determinação judicial, deveria listar os nomes de cidadãos que teriam o benefício do passe livre cortado. Além das informações que deveriam constar, os diagnósticos dos beneficiários foram divulgados indevidamente e ficaram acessíveis ao público por algumas horas. A prefeitura retirou a publicação do ar no mesmo dia. Apesar disso, a história estava longe de acabar.
O erro que nasceu de um dever legítimo
Há um detalhe que torna o caso instrutivo: a publicação nasceu do cumprimento de uma ordem. O problema não foi o dever de publicar, mas o conteúdo que acompanhou a lista. Uma etapa de revisão antes da divulgação teria identificado que os diagnósticos não tinham nenhuma função naquele ato.
Esse padrão é comum fora das prefeituras. Uma associação que divulga o resultado de um processo seletivo pode incluir, por descuido, informações de saúde de candidatos com deficiência. Uma empresa que publica uma ata com nomes de afastados pode revelar o motivo do afastamento. Em todos os casos, o dever ou a conveniência de publicar convive com a obrigação de publicar apenas o necessário.
Publicação sem avaliação prévia versus publicação com avaliação prévia: onde está a diferença
A diferença está na existência de um ponto de controle. Quando o texto vai direto do sistema para a publicação, a qualidade do resultado depende de nenhum erro acontecer naquele dia. Quando há uma etapa de avaliação, o erro ainda é possível, mas passa por alguém cuja função é procurar exatamente esse tipo de falha.
As seis infrações reconhecidas e o que cada uma ensina
A ANPD reconheceu seis infrações à LGPD. A tabela abaixo organiza o que cada uma significa na prática e qual controle ajuda a evitá-la:
| Infração reconhecida | O que significa na prática | Controle que previne |
|---|---|---|
| Tratamento sem finalidade legítima, específica e informada | Os diagnósticos não tinham função no ato publicado | Definir, antes de publicar, quais dados atendem à finalidade do ato |
| Falta de transparência com os titulares | Os titulares não tinham informação clara sobre o tratamento e seus agentes | Política de privacidade e informações acessíveis no site |
| Exposição de dados legalmente sigilosos e tratamento para fins discriminatórios ilícitos ou abusivos | Dados de saúde protegidos ficaram expostos ao público | Identificação de dados sigilosos e restrição de acesso e de divulgação |
| Falta de medidas de segurança e de governança capazes de demonstrar conformidade | Não havia mecanismos para prevenir, detectar e comprovar a conformidade | Política de segurança da informação e programa de governança |
| Tratamento irregular, sem o nível de segurança esperado pelo titular | O resultado e os riscos do tratamento eram previsíveis | Avaliação de risco e revisão antes de publicar |
| Ausência de comunicação do incidente à ANPD e aos titulares | O incidente que gerava risco relevante não foi comunicado | Plano de resposta a incidentes com responsáveis e prazos |
Esse quadro mostra que o vazamento em si respondeu por parte das infrações. As demais dizem respeito ao que a organização não tinha antes do erro e ao que não fez depois dele.
Retirar do ar não encerra o incidente
A retirada rápida do conteúdo foi uma boa medida de contenção, mas não substitui a comunicação. A ANPD apontou que a prefeitura não comunicou o incidente nem à Agência nem aos titulares afetados, como exige o Regulamento de Comunicação de Incidente de Segurança, para situações em que há risco ou dano relevante aos direitos dos titulares. Esse regulamento fixa um prazo curto, de três dias úteis, o que torna indispensável saber, de antemão, quem decide e quem comunica.
O art. 48 da LGPD é a base dessa exigência: o controlador deve comunicar à autoridade e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. Em um caso envolvendo dados de saúde de pessoas em situação de vulnerabilidade, o risco de discriminação é evidente. Contudo, a tentação de tratar o incidente como encerrado, porque o conteúdo saiu do ar, é uma das falhas mais frequentes em organizações de todos os portes.
O silêncio diante do regulador
Outro ponto pesou na decisão. Quarenta e oito horas depois do ocorrido, a ANPD recebeu uma denúncia e instaurou um processo de fiscalização. A Agência solicitou formalmente informações à prefeitura, incluindo as medidas adotadas, mas não obteve resposta, o que foi considerado obstrução da atividade fiscalizatória. A falta de resposta contribuiu para que o processo evoluísse de fiscalização para processo administrativo sancionador.
Na nossa leitura, esse é um dos aprendizados mais úteis para empresas. Quem recebe um ofício da ANPD precisa ter um caminho definido para responder, com prazo, responsável e conteúdo. Ignorar o pedido, ou deixá-lo parado em uma caixa de e-mail, transforma um problema de segurança em um problema de postura perante o regulador.
As medidas corretivas funcionam como um roteiro
Entre as medidas impostas, algumas formam um verdadeiro roteiro de governança que qualquer organização pode usar como lista de verificação: nomeação de encarregado; elaboração e divulgação de política de privacidade, política de segurança da informação, plano de resposta a incidentes e relatórios de impacto; ato normativo interno sobre o uso compartilhado de dados e registro do fluxo entre as áreas; etapa prévia de avaliação de impacto antes de publicar dados pessoais no Diário Oficial; plano de capacitação dos servidores; eliminação dos dados tratados sem base legal; e informações claras no site sobre dados tratados, finalidades, compartilhamentos, prazos de retenção e direitos dos titulares.
Entretanto, o valor desse roteiro não está em copiá-lo item por item, e sim em perceber o que ele revela: a ANPD não pediu apenas que o erro fosse corrigido, pediu que a organização passasse a ter um sistema capaz de evitar o próximo.
Por que órgão público não paga multa e ainda assim é sancionado
A ANPD lembrou que órgãos públicos não estão sujeitos à aplicação de multa pela LGPD. O art. 52, §3º, limita as sanções aplicáveis a entidades e órgãos públicos, entre as quais estão a advertência, a publicização da infração, o bloqueio e a eliminação dos dados. Isso explica por que a decisão se concentrou em advertência, em publicização e em obrigações de fazer.
Todavia, ausência de multa não significa ausência de consequência. A publicização na primeira página do site, por seis meses, é uma sanção reputacional relevante, e as medidas corretivas exigem investimento em estrutura e em pessoas. Para empresas privadas, a lógica é diferente, porque multas e outras sanções podem ser aplicadas, o que torna o caso ainda mais pertinente como alerta.
O que empresas e associações podem aprender
O caso de Feira de Santana fala diretamente a quem publica informação com dados pessoais: editais, comunicados, atas, listas de aprovados, escalas, relatórios e planilhas compartilhadas. Quatro perguntas, feitas antes de cada divulgação, ajudam a evitar a repetição do problema. Quais dados pessoais constam do documento? Todos são necessários à finalidade? Há dado sensível ou sigiloso? Quem revisou e quem aprova a publicação?
Além disso, convém ter pronto, antes do erro, o que a organização faria depois dele: quem retira o conteúdo, quem avalia o risco, quem comunica à ANPD e aos titulares e quem responde ao regulador. Um plano que só é escrito depois do incidente costuma ser tarde demais para as primeiras horas, que são as mais importantes.
Conclusão
A decisão da ANPD contra a Prefeitura de Feira de Santana mostra que um erro de publicação pode se transformar em um processo sancionador quando faltam governança, comunicação do incidente e resposta ao regulador. Mais do que o vazamento, a Agência avaliou o que a organização tinha e deixou de ter antes, durante e depois do episódio. Para órgãos públicos e empresas, a lição é a mesma: o que protege é um processo de avaliação prévia, e não a boa intenção de quem publica.
Para aprofundar temas relacionados, vale consultar os artigos O Que Mudou nas Fiscalizações da ANPD Entre 2023 e 2026? e Acidentes de Trabalho e Saúde Ocupacional: Quem Pode Acessar os Dados Sensíveis de Segurança do Trabalho dentro da Empresa? no blog da DPOnet.
Perguntas frequentes (FAQ)
Dúvidas comuns sobre a sanção da ANPD à Prefeitura de Feira de Santana e suas lições
1. Por que a prefeitura foi sancionada se retirou o conteúdo do ar no mesmo dia?
Porque a retirada foi apenas uma medida de contenção. A ANPD reconheceu seis infrações, entre elas a falta de finalidade legítima no tratamento, a falta de medidas de segurança e de governança e a ausência de comunicação do incidente à Agência e aos titulares, além da falta de resposta ao pedido de informações da fiscalização.
2. Órgãos públicos podem ser multados pela LGPD?
Não. A ANPD observa que órgãos públicos não estão sujeitos à multa, e o art. 52, §3º, da LGPD limita as sanções aplicáveis a eles, como advertência, publicização da infração, bloqueio e eliminação dos dados. No caso, foram aplicadas advertência e publicização, além de medidas corretivas.
3. Quais medidas corretivas a ANPD impôs à prefeitura?
Entre outras, a nomeação de encarregado, a elaboração de política de privacidade, política de segurança da informação, plano de resposta a incidentes e relatórios de impacto, uma etapa prévia de avaliação de impacto antes de publicações no Diário Oficial, um plano de capacitação dos servidores, a eliminação de dados sem base legal e a divulgação clara de informações sobre os tratamentos no site.
4. O que a empresa deve fazer antes de publicar listas ou documentos com dados pessoais?
Identificar quais dados pessoais constam do documento, verificar se todos são necessários à finalidade da divulgação, separar dados sensíveis e sigilosos, definir quem revisa e aprova a publicação e manter pronto um plano de resposta a incidentes, com responsáveis para comunicar a ANPD e os titulares quando houver risco ou dano relevante.
