LGPD na prática: o que o vazamento em Feira de Santana ensina às empresas

Leitura estimada: 12 a 15 minutos. Apuração atualizada em 28 de outubro de 2026.

Uma pessoa entrega informações sobre sua saúde para conseguir um benefício de transporte. Espera que esses dados sejam usados para analisar seu direito e viabilizar o atendimento. Quando seu nome aparece publicamente associado a um diagnóstico, ela perde o controle sobre uma informação que pode ter escolhido compartilhar com poucas pessoas.

Foi uma exposição desse tipo que colocou a Prefeitura de Feira de Santana, na Bahia, sob fiscalização da Agência Nacional de Proteção de Dados (ANPD). O episódio oferece uma oportunidade para discutir, com um exemplo concreto, como a adequação à Lei Geral de Proteção de Dados Pessoais precisa fazer parte das decisões administrativas e da rotina das empresas.

Para quem administra um negócio, a pergunta é bastante prática: quais controles impedem que informações de clientes, pacientes ou funcionários cheguem a quem não deveria recebê-las? Uma resposta consistente envolve pessoas, processos, tecnologia e capacidade de demonstrar o que foi feito.

O que aconteceu em Feira de Santana

Em 20 de setembro de 2025, o Diário Oficial municipal publicou informações de beneficiários do passe livre no transporte coletivo, em um procedimento relacionado à suspensão do benefício por decisão judicial. A própria prefeitura reconheceu que houve divulgação indevida envolvendo pessoas com HIV, anemia falciforme e fibromialgia. 1

Segundo a ANPD, a exposição alcançou 1.241 pessoas, e a publicação foi retirada no mesmo dia, após ficar acessível por algumas horas. 2

O episódio ocorreu no fluxo de publicação de um ato administrativo. Ele ajuda a perceber um risco que merece atenção também nas empresas: um documento destinado ao público pode carregar informações que deveriam permanecer no processo interno. A prevenção precisa alcançar a seleção dos campos, a preparação do arquivo e a aprovação de sua divulgação.

Dados de saúde são classificados pela LGPD como dados pessoais sensíveis, sujeitos às condições específicas do artigo 11. A Lei nº 14.289/2022 acrescenta proteção ao sigilo da condição de pessoas que vivem com HIV e outras condições nela enumeradas, inclusive na administração pública. Fibromialgia e anemia falciforme não integram essa lista específica, mas seus dados continuam protegidos pela LGPD. 34

O impacto humano apareceu na manifestação da Associação de Familiares, Amigos e Pessoas Vivendo com HIV/Aids, que cobrou reparação na Câmara Municipal. 5 Associar publicamente alguém a um diagnóstico pode afetar relações familiares, profissionais e sociais. O cuidado com essa informação deve começar antes de qualquer discussão sobre o valor de uma penalidade.

Na minha avaliação, esse é o ponto que deve orientar a gestão: cada registro corresponde a uma pessoa, com expectativas legítimas sobre o uso daquilo que informou.

O que a prefeitura divulgou publicamente

A prefeitura tornou o incidente público. Existem manifestações oficiais que precisam ser consideradas para uma descrição correta do caso:

Data	Manifestação municipal
21/09/2025	A Secretaria Municipal de Mobilidade Urbana publicou uma nota reconhecendo a divulgação indevida, atribuiu o ocorrido a uma “falha do sistema” e anunciou uma edição corrigida do Diário Oficial. Essa foi a explicação apresentada pela secretaria, não uma conclusão técnica independente. 6
22/09/2025	O município anunciou uma sindicância para investigar o vazamento, identificar responsabilidades e propor medidas preventivas. 1
26/10/2026	A Procuradoria-Geral publicou nota sobre o processo e a decisão recente da ANPD. Informou que aguardava a formalização da ciência para analisar os termos e avaliar as providências administrativas e jurídicas, inclusive medidas e prazos. 7

Essas publicações comprovam que houve manifestação à população. Entretanto, é necessário distinguir três situações: informar o público sobre um episódio, comunicar o incidente conforme a regulamentação e cumprir uma sanção de publicização da infração.

A comunicação regulamentar tem destinatários, conteúdo, forma e prazo próprios. A Resolução CD/ANPD nº 15/2024 prevê comunicação direta e individualizada aos titulares identificáveis; admite divulgação pública nas hipóteses estabelecidas para impossibilidade de contato individual ou identificação dos afetados. Também distingue expressamente a ampla divulgação do incidente da sanção de publicização. 8

No caso, a ANPD apontou descumprimento do dever de comunicação à agência e aos titulares. 2 Isso deve ser relatado como uma conclusão da fiscalização, sem transformar a existência das notas em prova de conformidade ou afirmar, além da documentação consultada, que ninguém recebeu qualquer contato.

Até a atualização deste artigo, as manifestações examinadas não permitem confirmar o cumprimento integral da sanção de publicização, o início de sua contagem ou o encerramento de eventuais possibilidades de recurso. A posição municipal de 26 de outubro deve ser lida com essa delimitação. 7

As sanções anunciadas e as correções exigidas

Em 26 de outubro de 2026, a ANPD anunciou advertência e publicização da infração, esta na página inicial do site municipal por seis meses. Relatou seis infrações e obstrução da fiscalização pela ausência de resposta a solicitações. 2

As determinações incluíram encarregado; políticas de privacidade e segurança; plano de resposta a incidentes e relatórios de impacto; regras e registros de compartilhamento; avaliação anterior às publicações; capacitação; eliminação de dados sem base legal ou finalidade válida; e transparência sobre operações e direitos. 2

Há uma consequência gerencial clara nesse conjunto: a organização precisa estabelecer responsáveis, revisar procedimentos e produzir evidências de que as mudanças funcionam. Aprovar uma política é uma etapa; fazer com que ela oriente quem publica documentos, administra sistemas ou atende pessoas exige acompanhamento.

Também é importante entender o significado da publicização. A regulamentação determina que o infrator divulgue a infração nas condições definidas pela ANPD. O conteúdo, o meio, a duração e o prazo de cumprimento integram a medida. 9 Por isso, a existência de uma notícia antiga sobre o vazamento não demonstra, por si, que essa obrigação específica foi atendida.

Órgãos públicos e empresas: quais sanções são possíveis?

O artigo 52, § 3º, da LGPD exclui as multas simples e diária do conjunto aplicável aos órgãos e entidades públicos. Uma prefeitura, portanto, pode sofrer outras sanções administrativas da LGPD. 3

O quadro abaixo apresenta as possibilidades legais. A aplicação depende do processo e dos requisitos de cada medida; não significa que todas tenham sido impostas a Feira de Santana. 11

Sanção administrativa	Órgãos públicos, como prefeituras	Empresas privadas
Advertência, com prazo para correção	Sim	Sim
Multa simples	Não	Sim
Multa diária	Não	Sim
Publicização da infração	Sim	Sim
Bloqueio dos dados relacionados à infração	Sim	Sim
Eliminação dos dados relacionados à infração	Sim	Sim
Suspensão parcial do funcionamento do banco de dados	Sim, com requisitos legais	Sim, com requisitos legais
Suspensão da atividade de tratamento	Sim, com requisitos legais	Sim, com requisitos legais
Proibição parcial ou total de atividades de tratamento	Sim, com requisitos legais	Sim, com requisitos legais

As duas modalidades de suspensão têm prazo de até seis meses, prorrogável por igual período. Suspensões e proibição exigem a aplicação prévia, no mesmo caso, de uma das sanções indicadas no artigo 52, § 6º. Para órgãos públicos, essa etapa pode ser publicização, bloqueio ou eliminação; uma advertência isolada não basta. Quando houver regulador setorial com competência sancionatória, ele também deve ser ouvido. 9

Há uma ressalva sobre estatais: o artigo 24 confere tratamento de pessoa jurídica privada às empresas públicas e sociedades de economia mista que atuam em concorrência. Quando operacionalizam políticas públicas, a lei prevê tratamento de Poder Público no âmbito dessa execução. O enquadramento precisa considerar a atividade. 14

O alcance das multas no setor privado

A multa simples pode chegar a 2% do faturamento no Brasil da pessoa jurídica de direito privado, grupo ou conglomerado, no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração. A multa diária também observa o limite total legal. 10

O valor depende da análise do caso. A dosimetria considera fatores como gravidade, danos, reincidência, cooperação, governança e medidas corretivas, com respeito ao processo administrativo e ao direito de defesa. 11 O teto divulgado nas manchetes é um limite, não uma cobrança automática por qualquer falha.

Também seria impreciso afirmar que multas alcançam exclusivamente empresas comerciais: o regulamento contempla agentes privados como entidades sem fins lucrativos e pessoas naturais, conforme seu enquadramento. 9

Para uma empresa, o risco operacional também merece atenção. Imagine um serviço que depende de uma base de clientes e precisa interromper determinado uso desses dados. Mesmo sem colocar um valor nessa interrupção, é possível perceber a importância de organizar a operação e corrigir tratamentos irregulares antes que se tornem um problema maior.

Outras responsabilidades continuam possíveis

A ausência de multa administrativa da LGPD para uma prefeitura não elimina possíveis consequências em outras esferas. A própria ANPD esclarece que seu regime sancionador convive com responsabilidades previstas em outras leis. 10

A Lei nº 14.289/2022, por exemplo, prevê reparação de danos materiais e morais pelo descumprimento das regras de sigilo nela estabelecidas. 4 Eventual responsabilização de agentes públicos exige apuração e os requisitos do regime aplicável. Não há transferência automática de uma multa ao prefeito ou ao servidor, nem todo incidente configura, por si, crime ou improbidade.

O que fazer quando um incidente acontece

Retirar um arquivo exposto é uma providência de contenção. Para organizar a resposta, recomendo trabalhar simultaneamente em três frentes: interromper a exposição, compreender seu alcance e avaliar as comunicações devidas.

A orientação da ANPD é que incidentes capazes de causar risco ou dano relevante sejam comunicados à agência e às pessoas afetadas. A regra geral é de três dias úteis, contados do conhecimento pelo controlador de que o incidente afetou dados pessoais. Informações à ANPD podem ser complementadas, de maneira fundamentada, em até vinte dias úteis a partir da comunicação. 812

Isso exige preparo. Se ninguém souber quem decide, onde estão os registros ou como localizar os titulares, a organização gastará parte desse prazo tentando se organizar. Um plano útil deve indicar responsáveis, substitutos, contatos, critérios de avaliação e a forma de registrar as providências.

Nem todo incidente exige notificação à ANPD: a avaliação depende dos dados envolvidos, do contexto e do risco aos titulares. 12 A decisão de comunicar ou não deve ser documentada; o regulamento exige o registro de incidentes, inclusive dos não comunicados. 8

Na prática, uma comunicação útil precisa permitir que a pessoa compreenda o ocorrido e saiba onde buscar orientação. Expressões genéricas sobre compromisso com a privacidade ajudam pouco quando faltam informações sobre quais dados foram afetados e quais medidas estão sendo tomadas.

Como transformar a adequação em rotina

Nas orientações sobre adequação, a ANPD destaca mapeamento e registro de operações, identificação das bases legais e finalidades, medidas de segurança, políticas internas e um canal para os titulares. 13 A partir dessas diretrizes, proponho organizar o trabalho nas frentes abaixo, adaptando a profundidade ao porte e aos riscos de cada empresa.

1. Conhecer o caminho dos dados

Comece por uma atividade concreta: contratação de funcionários, atendimento a clientes, cadastro de pacientes ou envio de campanhas. Identifique quais informações entram, onde ficam, quem as utiliza, com quem são compartilhadas e quando deixam de ser necessárias.

Esse levantamento deve alcançar o trabalho real. Inclua planilhas, documentos em papel, pastas compartilhadas, formulários, mensagens e sistemas contratados. Ao final, a direção precisa conseguir responder quem cuida de cada operação e onde estão os pontos que exigem intervenção.

O inventário serve como instrumento de gestão. Quando uma nova ferramenta for contratada ou um processo mudar, ele deve ajudar a identificar o que precisa ser reavaliado. 13

2. Rever finalidade, acesso e publicação

Cada uso precisa ser associado à sua finalidade e à hipótese legal adequada. O consentimento é uma das bases previstas na LGPD; não funciona como autorização genérica para qualquer uso, e dados sensíveis têm regras próprias. 3

Para publicações, proponho separar o documento interno completo da versão destinada à divulgação e criar uma revisão antes da liberação. A equipe deve verificar campos desnecessários, anexos, nomes de arquivos e informações que revelem indiretamente uma condição sensível.

O guia da ANPD para o Poder Público orienta compatibilizar transparência com proteção de dados e limitar a divulgação ao necessário. 14 Essa reflexão também ajuda empresas a preparar relatórios, resultados de seleções e comunicações coletivas: o fato de uma informação estar disponível internamente exige uma nova avaliação antes de torná-la pública.

3. Implantar controles proporcionais ao risco

O guia de segurança para agentes de pequeno porte aborda controle de acessos, autenticação multifator, atualização de sistemas, cópias de segurança, treinamento e cuidados com fornecedores. 15 São referências para definir o que precisa funcionar na operação, com responsáveis e evidências de execução.

Uma implementação pode começar pela revisão de contas antigas, eliminação de acessos compartilhados, definição de permissões por função e proteção dos ambientes que armazenam informações mais delicadas. Para os backups, proponho verificar também se a recuperação funciona e quem consegue executá-la.

O checklist da ANPD reúne medidas de segurança e orientações de capacitação. 16 Ele pode apoiar o diagnóstico inicial. Sua aplicação precisa ser acompanhada de análise: marcar um item como concluído deve corresponder a uma prática verificável.

4. Organizar responsabilidades e atendimento

Defina quem recebe solicitações de titulares, como a identidade será verificada, quem encontra as informações e quem responde. Esclareça também as atribuições de fornecedores que armazenam ou processam dados em nome da empresa. As orientações da ANPD incluem canais de atendimento e gestão de contratos. 1315

Minha proposta é conectar essas responsabilidades ao funcionamento da organização. A direção aprova prioridades e recursos; as equipes executam as rotinas; profissionais de tecnologia implementam controles; e a assessoria jurídica participa das questões que exigem análise legal. Essa divisão precisa permitir colaboração e decisões claras.

5. Avaliar impacto e acompanhar as melhorias

O Relatório de Impacto à Proteção de Dados Pessoais (RIPD) descreve operações, riscos e salvaguardas. A ANPD recomenda sua elaboração em contextos de alto risco e pode determiná-la. Não existe uma obrigação genérica de toda empresa publicar um RIPD; a exigência e a divulgação dependem da situação. 17

Para acompanhar o plano de adequação, proponho indicadores simples: operações mapeadas, acessos revisados, ações vencidas, pessoas capacitadas e incidentes tratados. Eles ajudam a direção a avaliar o avanço e a manter o tema presente quando mudam os sistemas, os fornecedores ou a equipe.

Pequenas empresas também precisam se adequar

A Resolução CD/ANPD nº 2/2022 prevê flexibilizações para agentes de pequeno porte elegíveis, como registros simplificados e dispensa de encarregado, acompanhada de canal de comunicação com os titulares. Há também prazos diferenciados, inclusive contagem em dobro para comunicação de incidentes, quando o enquadramento permite. 18

Essas flexibilizações não afastam os princípios, as bases legais e os direitos previstos na LGPD. O regime depende de critérios de receita, grupo econômico e risco; determinadas operações de alto risco impedem seu uso. 18

Uma empresa pequena pode começar por um diagnóstico enxuto e um plano de prioridades. O tamanho da equipe ajuda a definir como o trabalho será organizado, enquanto a natureza dos dados e das operações orienta o cuidado necessário.

Como posso apoiar a adequação da sua empresa

A adequação à LGPD é um serviço que posso prestar às empresas, conectando gestão, processos e tecnologia. Minha proposta é organizar o trabalho a partir da realidade da operação, com prioridades claras e entregas que possam ser acompanhadas.

O apoio pode incluir diagnóstico inicial, inventário de dados, revisão de fluxos e acessos, implementação de controles, organização do atendimento aos titulares, plano de resposta a incidentes e capacitação da equipe. As questões jurídicas específicas podem ser conduzidas em conjunto com a assessoria jurídica da empresa.

Um primeiro projeto pode entregar um mapa das operações, uma relação dos riscos prioritários e um plano de ação com responsáveis e prazos. A continuidade permite verificar a implantação, ajustar os controles e incorporar mudanças do negócio.

Se sua empresa precisa estruturar esse trabalho, entre em contato comigo para avaliar o cenário e definir um plano de adequação.

O caso de Feira de Santana oferece uma referência concreta para essa conversa: quem recebe dados pessoais assume decisões que afetam a vida de outras pessoas. Uma gestão responsável torna esse cuidado visível nas rotinas, nos sistemas e na forma de responder quando algo falha.

Referências bibliográficas

Fontes consultadas em 28 de outubro de 2026. As informações sobre a decisão contra Feira de Santana foram extraídas do comunicado oficial da ANPD; este artigo não pressupõe acesso integral aos autos nem decisão administrativa irrecorrível.

1. FEIRA DE SANTANA. Prefeitura de Feira abrirá sindicância para apurar vazamento de dados. 22 set. 2025.
2. ANPD. ANPD estabelece medidas corretivas à Prefeitura de Feira de Santana pelo vazamento de dados médicos de 1.200 pessoas. 26 out. 2026.
3. BRASIL. Lei nº 13.709, de 14 de agosto de 2018 — LGPD. Texto atualizado, especialmente arts. 5º, 7º, 11, 24 e 52.
4. BRASIL. Lei nº 14.289, de 3 de janeiro de 2022. Sigilo sobre as condições de saúde especificadas na lei.
5. CÂMARA MUNICIPAL DE FEIRA DE SANTANA. Associação de Pessoas Vivendo com HIV pede reparação, devido a divulgação de nomes. 24 set. 2025.
6. FEIRA DE SANTANA. Secretaria Municipal de Mobilidade Urbana. Nota. 21 set. 2025.
7. FEIRA DE SANTANA. Procuradoria-Geral do Município. Nota oficial. 26 out. 2026.
8. ANPD. Resolução CD/ANPD nº 15, de 24 de abril de 2024. Regulamento de Comunicação de Incidente de Segurança.
9. ANPD. Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023. Regulamento de Dosimetria e Aplicação de Sanções Administrativas.
10. ANPD. Sanções administrativas: o que muda após 1º de agosto de 2021?. 30 jul. 2021; atualização de 31 out. 2022.
11. ANPD. ANPD publica regulamento de aplicação de sanções administrativas. 27 fev. 2023.
12. ANPD. Comunicação de Incidente de Segurança. Orientações e perguntas frequentes; atualização de 26 ago. 2026.
13. ANPD. Perguntas frequentes. Seção 5: adequação à LGPD; atualização de 9 set. 2026.
14. ANPD. Guia orientativo: tratamento de dados pessoais pelo Poder Público. Versão 2.0. Brasília, jun. 2023.
15. ANPD. Guia orientativo sobre segurança da informação para agentes de tratamento de pequeno porte. Versão 1.0, out. 2021.
16. ANPD. Checklist de medidas de segurança para agentes de tratamento de pequeno porte.
17. ANPD. Relatório de Impacto à Proteção de Dados Pessoais — perguntas e respostas. Atualização de 23 set. 2026.
18. ANPD. Resolução CD/ANPD nº 2, de 27 de janeiro de 2022. Regulamento para agentes de tratamento de pequeno porte, com alterações posteriores.