0
0
A Lei Geral de Proteção de Dados (LGPD) não deixa de valer para prefeituras, autarquias ou qualquer outro órgão da administração pública — ela só troca a multa por advertência, medida corretiva e exposição pública da falha. É o que mostra o processo da Autoridade Nacional de Proteção de Dados (ANPD) contra a Prefeitura de Feira de Santana (BA), que publicou no diário oficial do município os nomes de 1.241 pessoas ao lado de diagnósticos de HIV, fibromialgia e anemia falciforme. Um relatório de instrução da ANPD, assinado em 9 de outubro de 2026, recomenda seis sanções distintas ao município — e serve de aula prática sobre tratamento de dado sensível, no setor público ou privado.
O que a prefeitura publicou, e como o caso chegou à ANPD
Em 20 de setembro de 2025, a Secretaria de Mobilidade Urbana (SEMOB) de Feira de Santana publicou, no diário oficial do município, portarias relacionadas à concessão de passe livre de transporte coletivo. O problema não foi conceder o benefício — foi como a lista foi publicada: agrupada por diagnóstico, com nome completo e número do cartão de passe livre ao lado da condição de saúde de cada beneficiário. No total, 1.241 pessoas tiveram dados expostos: 611 com HIV/aids, 346 com fibromialgia e 284 com anemia falciforme.
O caso foi levado à ANPD por denúncia registrada em 22 de setembro de 2025 (processo nº 100000446/2025/CGF/ANPD). A autoridade abriu processo administrativo (nº 00261.004315/2025-11), lavrou auto de infração em 20 de outubro de 2025, recebeu a defesa do município em 13 de novembro de 2025 e as alegações finais em 9 de fevereiro de 2026. Em 9 de outubro de 2026, a Coordenação-Geral de Sanções da ANPD assinou o Relatório de Instrução nº 3/2026/CGS/SFI, recomendando ao Superintendente de Fiscalização a aplicação de seis sanções — mas essa é, formalmente, uma recomendação técnica, não a decisão final. Até a publicação deste texto, a decisão de primeira instância ainda não havia sido proferida, e a Procuradoria do município informou que aguardava notificação oficial.
Chama atenção outro dado do relatório: apenas 22 das 1.241 pessoas afetadas — 1,77% do total — foram notificadas individualmente pela prefeitura sobre a exposição de seus dados.
Por que dado de saúde é “dado sensível” — e por que isso muda o cálculo de risco
A LGPD não trata todo dado pessoal da mesma forma. O art. 5º, II, da Lei nº 13.709/2018 define como dado pessoal sensível o “dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural”. Dado de saúde está, portanto, no núcleo mais protegido da lei — exige mais cuidado em todas as fases do tratamento, da coleta à publicação.
O relatório da ANPD aponta violação a seis princípios e deveres do art. 6º e dos arts. 44 a 49 da LGPD:
- Finalidade (art. 6º, I): o tratamento deve servir a propósitos legítimos, específicos e informados ao titular — publicar diagnóstico junto ao nome, para fins de controle de benefício de transporte, extrapola a finalidade do cadastro.
- Transparência (art. 6º, VI): o titular tem direito a informações claras sobre como seus dados são tratados — o que não ocorreu para 98,23% dos afetados.
- Segurança e prevenção (art. 6º, VII e VIII; arts. 46, 47 e 49): publicar uma lista nominal agrupada por diagnóstico em veículo de acesso público é o oposto de uma medida técnica ou administrativa apta a proteger o dado.
- Não discriminação (art. 6º, IX): dado de saúde exposto publicamente cria risco concreto de discriminação — e o relatório da ANPD menciona um caso relatado de pessoa que teria perdido o emprego após constar na lista.
- Responsabilização e prestação de contas (art. 6º, X; art. 44): o art. 44, *caput*, da LGPD considera irregular o tratamento que “deixar de observar a legislação ou não fornecer a segurança que o titular dele pode esperar”; o parágrafo único do mesmo artigo faz o controlador responder pelos danos quando deixar de adotar as medidas de segurança do art. 46.
- Comunicação de incidente (art. 48): o controlador deve comunicar à ANPD e aos titulares a ocorrência de incidente que possa causar risco ou dano relevante — dever que, segundo o relatório, também não foi cumprido a contento.
Soma-se a esse quadro legal, no caso de Feira de Santana, duas leis específicas sobre as condições expostas: a Lei nº 12.984/2014, que torna crime (pena de 1 a 4 anos, mais multa) recusar emprego, demitir, segregar ou divulgar a condição de pessoa com HIV/aids com intuito de ofender sua dignidade (art. 1º, incisos II, III e V); e a Lei nº 14.289/2022, que torna obrigatória a preservação de sigilo sobre a condição de pessoas com HIV, hepatites B e C crônicas, hanseníase e tuberculose, estendendo esse dever à administração pública — e prevendo expressamente que o descumprimento sujeita o agente público ou privado às sanções do art. 52 da LGPD, além da reparação de danos materiais e morais pelo Código Civil, em valor dobrado quando a divulgação partir de quem tinha dever de sigilo profissional e agir com intenção de causar dano.
Por que não há multa — mas há consequência
Um ponto que costuma gerar confusão: órgão público não paga multa por infração à LGPD. O art. 52, § 3º, da Lei nº 13.709/2018 (na redação dada pela Lei nº 13.853/2019) lista, entre as sanções aplicáveis a entidades e órgãos públicos, apenas os incisos I, IV, V, VI, X, XI e XII do *caput* do art. 52 — ficam de fora, exatamente, os incisos II e III, que são a multa simples e a multa diária. Isso não significa impunidade: o relatório da ANPD recomenda, para cada uma das seis infrações apontadas, advertência com prazo para adoção de medida corretiva (variando de 20 a 60 dias úteis, conforme a infração) e, na infração de transparência, publicização do fato por 180 dias na página inicial do site do município, com comprovação por capturas de tela datadas.
As medidas corretivas recomendadas incluem: indicar encarregado de dados e publicar política de privacidade; mapear e registrar formalmente os fluxos de compartilhamento de dados entre secretarias; adotar norma interna de compartilhamento; instituir avaliação prévia antes de publicar dado pessoal em diário oficial; produzir registro de operações de tratamento, relatório de impacto à proteção de dados, política de segurança da informação e plano de resposta a incidentes; e notificar individualmente cada pessoa afetada, além da própria ANPD.
O que isso ensina a quem trata dado sensível, dentro ou fora do setor público
O caso de Feira de Santana não é um precedente vinculante — é, até aqui, uma recomendação técnica da Coordenação-Geral de Sanções, pendente de decisão da Superintendência de Fiscalização, e sujeita a recurso. Mas o roteiro de apuração que ele revela — denúncia, auto de infração, defesa, alegações finais, relatório de instrução, decisão de primeira instância — é o mesmo caminho que qualquer empresa, escritório ou plataforma sujeita à LGPD pode percorrer. E a lição de fundo não depende do desfecho: publicar, em qualquer veículo de acesso público ou semipúblico, uma lista que relacione nome e condição de saúde é, por definição, tratamento de dado sensível sem o cuidado mínimo que a lei exige — ainda que a intenção seja administrativa, e não de causar dano.
Para empresas e profissionais que tratam dado de saúde (planos de saúde, RH, clínicas, seguradoras, plataformas de telemedicina), o mesmo raciocínio se aplica com um agravante: ali, a LGPD permite multa de até 2% do faturamento da pessoa jurídica no Brasil no último exercício, limitada a R$ 50 milhões por infração, além de multa diária, publicização da infração e bloqueio ou eliminação dos dados — nos termos do art. 52 da LGPD.
FAQ — Perguntas Frequentes
Órgão público pode ser multado pela LGPD?
Não com multa em dinheiro. O art. 52, § 3º, da LGPD exclui os incisos de multa simples e multa diária da lista de sanções aplicáveis a entidades e órgãos públicos. Ainda assim, a ANPD pode aplicar advertência, exigir medida corretiva com prazo e determinar a publicização da infração — como recomendado no caso de Feira de Santana.
Publicar diagnóstico de HIV no diário oficial é crime?
Pode ser. A Lei nº 12.984/2014 torna crime, com pena de 1 a 4 anos e multa, divulgar a condição de portador de HIV ou doente de aids com intuito de ofender sua dignidade, além de outras condutas discriminatórias ligadas ao emprego e à escola. A caracterização do crime depende da análise do elemento subjetivo (a intenção) no caso concreto.
O que a Lei nº 14.289/2022 exige de quem lida com dado de saúde?
Ela torna obrigatória a preservação de sigilo sobre a condição de pessoas com HIV, hepatites B e C crônicas, hanseníase e tuberculose, por agentes públicos e privados, inclusive na administração pública, em ambiente de trabalho e escolar. O descumprimento sujeita o agente às sanções do art. 52 da LGPD e à reparação civil, em dobro quando houver dolo de quem tinha dever de sigilo profissional.
Por que dado de saúde é mais protegido do que outros dados pessoais?
Porque o art. 5º, II, da LGPD o classifica como dado pessoal sensível, junto com origem racial, convicção religiosa, opinião política e dado genético ou biométrico. Para esses dados, a lei exige cuidado redobrado em toda finalidade, base legal e medida de segurança do tratamento, exatamente pelo risco de discriminação que sua exposição cria.
Conclusão
O caso de Feira de Santana ainda não tem decisão final — mas já expõe, com uma lista nominal publicada por um órgão público, o que a LGPD trata como o pior cenário possível para dado sensível: ausência de finalidade clara, zero transparência para quase todos os afetados, nenhuma medida de segurança e risco real de discriminação. Para qualquer escritório, empresa ou órgão que lide com dado de saúde, a aula prática do caso é: antes de publicar, compartilhar ou armazenar uma lista com nome e condição de saúde, pergunte-se se a finalidade exige essa publicidade — e, se exigir, se há uma forma de fazê-lo sem expor o dado sensível. Quem tiver dúvida concreta sobre como estruturar esse fluxo, ou sobre uma notificação de incidente em curso, deve buscar orientação jurídica específica para o seu caso; este texto tem finalidade informativa e não substitui uma consulta.
Dr. Luiz Guedes da Luz Neto — Advogado, OAB/PB 11.005, Doutor em Direito Econômico (UFPB). Escreve sobre direito e tecnologia no LawGeek.
Receba a Pauta LawGeek
Uma curadoria do que muda em Direito e Tecnologia (IA, LGPD, cripto e legaltech), explicada na prática, direto no seu e-mail.
