ANPD sanciona exposição de dados de saúde: o que o caso Feira de Santana revela sobre a fiscalização e o que as empresas devem fazer
A ANPD concluiu processo sancionador contra a Prefeitura de Feira de Santana (BA) por expor diagnósticos de 1.241 pacientes. O caso mostra o roteiro de análise da Agência: finalidade, segurança, comunicação do incidente e cooperação com a fiscalização. Veja o que esperar e o que fazer na sua empresa.
No fim de outubro de 2026, a Agência Nacional de Proteção de Dados (ANPD) divulgou a conclusão do processo sancionador contra a Prefeitura de Feira de Santana (BA), que expôs no Diário Oficial do Município os diagnósticos de 1.241 pacientes. Como órgão público não paga multa pela LGPD, a punição foi advertência e publicização da infração. Ainda assim, o caso é valioso para o setor privado, porque mostra o que a Agência examina em qualquer agente de tratamento: finalidade, segurança, comunicação do incidente e cooperação com a fiscalização. Para uma empresa, o mesmo roteiro pode terminar em multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração.
O que a ANPD decidiu no caso da Prefeitura de Feira de Santana
O incidente ocorreu em setembro de 2025, quando uma publicação no Diário Oficial do Município trouxe, além do conteúdo pretendido, dados de saúde de 1.241 pessoas. A ANPD recebeu denúncia cerca de 48 horas depois e abriu fiscalização. Ao final, reconheceu seis infrações à LGPD: tratamento sem finalidade legítima, específica, explícita e informada; ausência de informação clara sobre o tratamento; exposição de dados legalmente sigilosos; falta de medidas de segurança técnicas, administrativas e de governança; tratamento sem o nível de segurança que o titular poderia esperar; e ausência de comunicação do incidente à ANPD e aos titulares.
A sanção aplicada foi advertência e publicização da infração, com divulgação na primeira página do portal do município por seis meses. A Agência também determinou medidas corretivas que funcionam como um manual de governança: nomeação de encarregado, política de privacidade, política de segurança da informação, plano de resposta a incidentes, relatórios de impacto, regras para o compartilhamento de dados entre áreas, etapa de revisão antes de qualquer publicação oficial, treinamento de servidores e eliminação dos dados tratados sem base legal.
Por que o silêncio diante da ANPD agravou o caso
O processo evoluiu de fiscalização para sancionador porque o município não respondeu ao pedido formal de informações da Agência, conduta tratada como obstrução da atividade fiscalizatória. A leitura que se faz é de que o incidente é um problema administrativo que pode ser gerido, mas a omissão diante do regulador é o que o transforma em processo sancionador. Responder à ANPD, no prazo e de forma documentada, é a decisão de maior retorno em qualquer fiscalização.
O que esperar da ANPD nos próximos meses
A Lei nº 15.352/2026 transformou a ANPD em agência reguladora e criou carreira própria de regulação e fiscalização, o que amplia a capacidade técnica da Agência de acompanhar, instruir e decidir processos. Essa estrutura dá continuidade ao trabalho construído desde a regulamentação da LGPD e aponta para uma fiscalização mais estruturada e previsível.
Os sinais já aparecem na prática. Em agosto, a ANPD aplicou multa de R$ 153,7 milhões à ByteDance, controladora do TikTok, por falhas no tratamento de dados de crianças e adolescentes, em decisão de primeira instância que ainda comporta recurso ao Conselho Diretor. O Mapa de Temas Prioritários 2026-2027 (Resolução CD/ANPD nº 30/2025) organiza a atuação por eixos temáticos. Em paralelo, a Agência colocou em consulta pública a revisão do regulamento de fiscalização e do processo sancionador, além da resolução que define como ela produz suas próprias normas, esta última com contribuições abertas até 23 de novembro. A expectativa razoável para as empresas é de procedimentos mais claros e prazos mais definidos, com maior exigência de documentação.
O que fazer na empresa
A ANPD avalia a conduta antes e depois do incidente. Por isso, recomenda-se cinco providências, que correspondem ao que a Agência exigiu da prefeitura:
Definir quem responde a ofícios da ANPD e em que prazo, com controle de entrada e registro de todas as respostas.
Manter plano de resposta a incidentes testado, com critérios para avaliar risco ou dano relevante e comunicar a ANPD e os titulares em três dias úteis, nos termos da Resolução CD/ANPD nº 15/2024.
Instituir revisão de privacidade antes de publicar, enviar ou compartilhar documentos com dados pessoais, especialmente dados de saúde e outros dados sensíveis.
Manter a documentação de governança atualizada: mapeamento dos tratamentos, política de privacidade, política de segurança, relatório de impacto quando houver risco elevado e encarregado indicado.
Treinar quem opera os processos, porque o caso de Feira de Santana nasceu de uma falha operacional, não de um ataque externo.
Documentar essas medidas também importa para a dosimetria da sanção. A Resolução CD/ANPD nº 4/2023 prevê atenuantes ligados à cooperação com a Agência, à mitigação dos efeitos para os titulares e à adoção de mecanismos de governança, e agravantes como reincidência e número de titulares afetados.
Perguntas frequentes
A ANPD pode multar uma empresa privada por vazamento de dados?
Sim. Para agentes privados, a LGPD prevê multa simples de até 2% do faturamento da pessoa jurídica no Brasil no último exercício, limitada a R$ 50 milhões por infração (art. 52, II). Órgãos públicos não estão sujeitos a multa, mas podem receber advertência, publicização da infração e outras sanções.
Quando é preciso comunicar um incidente de segurança à ANPD?
Quando o incidente puder acarretar risco ou dano relevante aos titulares. O prazo é de três dias úteis, conforme a Resolução CD/ANPD nº 15/2024, e a comunicação também pode alcançar os titulares afetados.
O que acontece se a empresa não responder a um ofício da ANPD?
A omissão pode ser tratada como obstrução da atividade fiscalizatória e levar à instauração de processo sancionador, como ocorreu no caso de Feira de Santana.
Toda empresa precisa indicar um encarregado (DPO)?
A LGPD exige a indicação de encarregado (art. 41). A Resolução CD/ANPD nº 2/2022 dispensa os agentes de tratamento de pequeno porte dessa indicação, desde que mantenham canal de comunicação com os titulares. Mesmo quando dispensada, a nomeação costuma ser vantajosa para demonstrar governança.
O que muda para sua empresa
O caso Feira de Santana mostra o padrão de análise da ANPD: ela examina o que a organização fez antes do incidente, como reagiu e se cooperou com a fiscalização. Empresas que mantêm governança documentada, respondem à Agência e comunicam incidentes no prazo chegam a uma eventual fiscalização em posição muito mais favorável.
© 2025 - Todos os direitos reservados | FD.law - Gustavo Tonet Fagundes Sociedade Individual de Advocacia
Itajaí - SC
Rua Samuel Heusi
nº 190, sala 701, Centro
CEP 88301-320
(47) 98806-7489