Agência Nacional de Proteção de Dados pune Prefeitura de Feira de Santana por expor diagnósticos de HIV e dados médicos de 1.241 pessoas
Uma lista que deveria tratar da suspensão do passe livre no transporte público acabou revelando informações que jamais deveriam ter sido expostas: o diagnóstico de HIV e outras condições de saúde de beneficiários de um programa municipal. Mais de um ano depois do episódio, a Prefeitura de Feira de Santana, segunda maior cidade da Bahia, foi punida pela Agência Nacional de Proteção de Dados (ANPD), que identificou seis infrações à Lei Geral de Proteção de Dados Pessoais (LGPD). A decisão, divulgada nesta segunda-feira (26), responsabiliza o município pela exposição de dados médicos de 1.241 pessoas e determina uma série de medidas para impedir que situações semelhantes voltem a acontecer.
A punição inclui advertência e a obrigação de divulgar a infração na página inicial do site da prefeitura durante seis meses. A investigação também revelou que, além de permitir a publicação de informações sigilosas, a administração municipal deixou de comunicar o vazamento à ANPD e às pessoas afetadas, descumprindo exigências legais de proteção de dados. A decisão representa um novo capítulo de um caso que trouxe à tona os riscos da exposição de informações sobre a saúde, especialmente quando envolvem diagnósticos historicamente associados ao preconceito e à discriminação, como o HIV.
O episódio ocorreu em 20 de setembro de 2025, quando a prefeitura publicou no Diário Oficial uma relação de beneficiários que teriam o passe livre suspenso por determinação judicial. O documento, no entanto, não se limitou às informações necessárias para o procedimento administrativo. Ao lado dos nomes, foram divulgados diagnósticos de HIV, anemia falciforme e fibromialgia, permitindo a identificação da condição de saúde dos cidadãos. A publicação permaneceu disponível por algumas horas e foi retirada do ar no mesmo dia. Na ocasião, a Secretaria Municipal de Mobilidade Urbana (Semob) atribuiu o vazamento a uma falha no sistema e anunciou a abertura de uma sindicância interna.
Investigação identifica seis infrações e falta de comunicação às vítimas
A ANPD iniciou a fiscalização após receber uma denúncia, 48 horas depois da divulgação dos dados. A investigação buscou esclarecer não apenas as circunstâncias da exposição, mas também quais providências haviam sido adotadas para reduzir os possíveis prejuízos às pessoas atingidas.
A conclusão foi de que a prefeitura descumpriu obrigações fundamentais previstas na LGPD. Entre as irregularidades identificadas estão o tratamento de dados sem finalidade legítima, a falta de transparência sobre a utilização das informações, a exposição pública de dados legalmente sigilosos e a ausência de medidas técnicas e administrativas adequadas para garantir sua segurança. A decisão também enquadrou a ocorrência nas disposições legais que vedam o tratamento de dados para fins discriminatórios ilícitos ou abusivos.
Outro ponto considerado grave pela agência foi a ausência de comunicação do incidente. Mesmo diante da divulgação de informações médicas sensíveis, o município não notificou formalmente a autoridade reguladora nem os cidadãos potencialmente afetados, como exige a regulamentação nos casos em que há risco ou dano relevante. Durante a fiscalização, a prefeitura também deixou de responder a uma solicitação formal de esclarecimentos, conduta classificada pela ANPD como obstrução da atividade fiscalizatória.
Diagnóstico de HIV é protegido por legislação específica
No caso das pessoas vivendo com HIV, a divulgação não autorizada do diagnóstico envolve uma proteção legal que vai além das regras gerais de privacidade. A Lei nº 14.289, sancionada em janeiro de 2022, estabelece a obrigatoriedade de preservar o sigilo sobre a condição de pessoas vivendo com HIV, hepatites virais crônicas, hanseníase e tuberculose, inclusive no âmbito da administração pública.
A legislação proíbe que agentes públicos ou privados divulguem informações capazes de identificar essas condições, ressalvadas as situações expressamente admitidas em lei. A garantia busca preservar a intimidade e impedir que dados de saúde sejam utilizados de maneira a provocar constrangimento, exposição indevida ou discriminação.
A associação pública entre o nome de uma pessoa e seu diagnóstico de HIV pode produzir consequências que ultrapassam o ambiente administrativo, atingindo relações familiares, profissionais e sociais. Por essa razão, o acesso a essas informações deve ser restrito às finalidades legalmente autorizadas, com mecanismos de segurança compatíveis com sua sensibilidade.
Em Feira de Santana, a determinação judicial relacionada ao passe livre não autorizava a divulgação dos diagnósticos. A publicação de um ato oficial, ainda que necessária para cumprir uma decisão da Justiça, não dispensa o município de observar os limites legais para o tratamento de dados pessoais.
Prefeitura terá de divulgar punição por seis meses
Além das sanções, a ANPD determinou que a Prefeitura de Feira de Santana implemente mudanças em seus procedimentos internos. Entre as obrigações estão a nomeação de um encarregado de proteção de dados, a elaboração de políticas de privacidade e segurança da informação, a criação de um plano de resposta a incidentes e a capacitação de servidores que trabalham com informações pessoais.
O município também deverá estabelecer regras para o compartilhamento de dados entre secretarias, avaliar previamente os riscos à privacidade antes de publicar documentos oficiais e eliminar informações mantidas sem base legal ou finalidade válida. Outra exigência é disponibilizar aos cidadãos explicações claras sobre quais dados são coletados, como são utilizados, com quem são compartilhados e quais direitos podem ser exercidos pelos titulares.
Não houve aplicação de multa financeira. Segundo a ANPD, órgãos públicos não estão sujeitos a essa modalidade de penalidade prevista na LGPD. A responsabilização, neste caso, ocorreu por meio de advertência, publicização da infração e imposição de medidas corretivas.
Em nota divulgada após a decisão, a Procuradoria-Geral do Município informou que aguarda a notificação oficial da ANPD para analisar o conteúdo integral do processo e avaliar as providências administrativas e jurídicas cabíveis. A prefeitura afirmou ainda que, desde que tomou conhecimento do vazamento, vem adotando medidas para apurar o episódio e aprimorar os mecanismos de proteção de dados pessoais.
A decisão ocorre mais de um ano após a exposição dos diagnósticos e estabelece obrigações que vão além da retirada da publicação do ar. Ao reconhecer as seis infrações, a ANPD reforça a responsabilidade dos órgãos públicos pela utilização e proteção das informações sob sua guarda. Para as pessoas vivendo com HIV, o episódio evidencia a importância de uma garantia expressamente assegurada pela legislação brasileira: o direito de manter seu diagnóstico em sigilo, sem exposição indevida ou discriminação.
Da Agência de Notícias da Aids