LGPD en la práctica: qué enseña a las empresas la filtración de Feira de Santana

Tiempo estimado de lectura: de 12 a 15 minutos. Investigación actualizada el 28 de octubre de 2026.

Una persona entrega información sobre su salud para obtener un beneficio de transporte. Espera que esos datos se utilicen para evaluar su derecho y facilitar la atención. Cuando su nombre aparece públicamente asociado a un diagnóstico, pierde el control sobre una información que quizá había elegido compartir con pocas personas.

Una exposición de este tipo llevó al Ayuntamiento de Feira de Santana, en Bahía, a ser investigado por la Agencia Nacional de Protección de Datos de Brasil (ANPD). El episodio ofrece una oportunidad para analizar, con un ejemplo concreto, cómo la adecuación a la Ley General de Protección de Datos Personales de Brasil debe formar parte de las decisiones administrativas y de la actividad cotidiana de las empresas.

Para quien dirige un negocio, la pregunta es muy práctica: ¿qué controles impiden que la información de clientes, pacientes o empleados llegue a quienes no deberían recibirla? Una respuesta sólida implica personas, procesos, tecnología y capacidad para demostrar lo que se ha hecho.

Qué ocurrió en Feira de Santana

El 20 de septiembre de 2025, el Diario Oficial municipal publicó información de beneficiarios del transporte público gratuito, en un procedimiento relacionado con la suspensión del beneficio por decisión judicial. El propio ayuntamiento reconoció que se había divulgado indebidamente información sobre personas con VIH, anemia falciforme y fibromialgia. 1

Según la ANPD, la exposición afectó a 1.241 personas, y la publicación se retiró ese mismo día, después de permanecer accesible durante algunas horas. 2

El episodio se produjo durante la publicación de un acto administrativo. Ayuda a identificar un riesgo que también merece atención en las empresas: un documento destinado al público puede contener información que debería permanecer en el expediente interno. La prevención debe abarcar la selección de los campos, la preparación del archivo y la aprobación de su divulgación.

La LGPD clasifica los datos de salud como datos personales sensibles, sujetos a las condiciones específicas de su artículo 11. La Ley n.º 14.289/2022 añade protección a la confidencialidad de la condición de las personas que viven con VIH y otras condiciones enumeradas en ella, también en la administración pública. La fibromialgia y la anemia falciforme no forman parte de esa lista específica, pero sus datos siguen estando protegidos por la LGPD. 34

El impacto humano se hizo visible en la intervención de la Associação de Familiares, Amigos e Pessoas Vivendo com HIV/Aids, que reclamó una reparación ante la Cámara Municipal. 5 Asociar públicamente a alguien con un diagnóstico puede afectar sus relaciones familiares, profesionales y sociales. El cuidado de esa información debe comenzar antes de cualquier discusión sobre el importe de una sanción.

En mi opinión, ese es el criterio que debe orientar la gestión: cada registro corresponde a una persona, con expectativas legítimas sobre el uso de la información que proporcionó.

Qué hizo público el ayuntamiento

El ayuntamiento hizo público el incidente. Existen comunicaciones oficiales que deben considerarse para describir correctamente el caso:

Fecha	Comunicación municipal
21/09/2025	La Secretaría Municipal de Movilidad Urbana publicó una nota en la que reconoció la divulgación indebida, atribuyó lo ocurrido a un «fallo del sistema» y anunció una edición corregida del Diario Oficial. Esa fue la explicación presentada por la secretaría, no una conclusión técnica independiente. 6
22/09/2025	El municipio anunció una investigación administrativa interna para esclarecer la filtración, identificar responsabilidades y proponer medidas preventivas. 1
26/10/2026	La Procuraduría General publicó una nota sobre el procedimiento y la reciente decisión de la ANPD. Informó que esperaba recibir la notificación formal para analizar su contenido y evaluar las actuaciones administrativas y jurídicas pertinentes, incluidas las medidas y los plazos. 7

Estas publicaciones demuestran que hubo comunicaciones a la población. Sin embargo, es necesario distinguir tres situaciones: informar al público sobre un episodio, comunicar el incidente conforme a la normativa y cumplir una sanción que obliga a hacer pública la infracción.

La comunicación reglamentaria tiene sus propios destinatarios, contenido, forma y plazo. La Resolución CD/ANPD n.º 15/2024 prevé una comunicación directa e individualizada a los titulares identificables; permite la divulgación pública en los supuestos establecidos de imposibilidad de contacto individual o identificación de las personas afectadas. También distingue expresamente la amplia divulgación del incidente de la sanción de publicación de la infracción. 8

En este caso, la ANPD señaló el incumplimiento del deber de comunicación a la agencia y a los titulares. 2 Esto debe presentarse como una conclusión de la fiscalización, sin convertir la existencia de las notas en prueba de cumplimiento ni afirmar, más allá de la documentación consultada, que nadie recibió contacto alguno.

Hasta la actualización de este artículo, las comunicaciones examinadas no permiten confirmar el cumplimiento íntegro de la sanción de publicación de la infracción, el inicio del cómputo de su plazo ni el agotamiento de las posibles vías de recurso. La posición municipal del 26 de octubre debe leerse teniendo en cuenta ese alcance. 7

Las sanciones anunciadas y las correcciones exigidas

El 26 de octubre de 2026, la ANPD anunció una advertencia y la publicación de la infracción, esta última en la página de inicio del sitio web municipal durante seis meses. Informó de seis infracciones y de obstrucción de la fiscalización por la falta de respuesta a solicitudes. 2

Las exigencias incluyeron la designación de un delegado de protección de datos; políticas de privacidad y seguridad; un plan de respuesta a incidentes e informes de impacto; reglas y registros de intercambio de datos; evaluación previa a las publicaciones; formación; eliminación de datos tratados sin base legal o finalidad válida; y transparencia sobre las operaciones y los derechos. 2

Este conjunto de medidas tiene una consecuencia clara para la gestión: la organización debe asignar responsables, revisar procedimientos y producir evidencias de que los cambios funcionan. Aprobar una política es una etapa; conseguir que oriente a quienes publican documentos, administran sistemas o atienden a las personas exige seguimiento.

También es importante entender el significado de la publicación de la infracción. La normativa establece que el infractor debe divulgarla en las condiciones definidas por la ANPD. El contenido, el medio, la duración y el plazo de cumplimiento forman parte de la medida. 9 Por eso, la existencia de una noticia antigua sobre la filtración no demuestra, por sí sola, que se haya cumplido esa obligación específica.

Órganos públicos y empresas: ¿qué sanciones son posibles?

El artículo 52, § 3.º, de la LGPD excluye las multas simples y diarias del conjunto de sanciones aplicables a los órganos y entidades públicos. Por tanto, un ayuntamiento puede recibir otras sanciones administrativas previstas en la LGPD. 3

La siguiente tabla presenta las posibilidades legales. Su aplicación depende del procedimiento y de los requisitos de cada medida; no significa que todas se hayan impuesto a Feira de Santana. 11

Sanción administrativa	Órganos públicos, como los ayuntamientos	Empresas privadas
Advertencia, con plazo para corregir	Sí	Sí
Multa simple	No	Sí
Multa diaria	No	Sí
Publicación de la infracción	Sí	Sí
Bloqueo de los datos relacionados con la infracción	Sí	Sí
Eliminación de los datos relacionados con la infracción	Sí	Sí
Suspensión parcial del funcionamiento de la base de datos	Sí, con los requisitos legales	Sí, con los requisitos legales
Suspensión de la actividad de tratamiento	Sí, con los requisitos legales	Sí, con los requisitos legales
Prohibición parcial o total de actividades de tratamiento	Sí, con los requisitos legales	Sí, con los requisitos legales

Las dos modalidades de suspensión tienen un plazo de hasta seis meses, prorrogable por un período igual. Las suspensiones y la prohibición requieren la aplicación previa, en el mismo caso, de una de las sanciones indicadas en el artículo 52, § 6.º. Para los órganos públicos, esa etapa puede consistir en la publicación de la infracción, el bloqueo o la eliminación; una advertencia aislada no basta. Cuando exista un regulador sectorial con potestad sancionadora, también debe ser oído. 9

Existe una precisión respecto de las empresas estatales: el artículo 24 otorga el tratamiento de persona jurídica privada a las empresas públicas y sociedades de economía mixta que actúan en régimen de competencia. Cuando ejecutan políticas públicas, la ley prevé su tratamiento como Poder Público en el ámbito de esa ejecución. La clasificación debe tener en cuenta la actividad. 14

El alcance de las multas en el sector privado

La multa simple puede alcanzar el 2 % de la facturación en Brasil de la persona jurídica de derecho privado, grupo o conglomerado, en el último ejercicio, excluidos los tributos, con un límite de 50 millones de reales por infracción. La multa diaria también está sujeta al límite total establecido por la ley. 10

El importe depende del análisis del caso. La determinación de la sanción considera factores como la gravedad, los daños, la reincidencia, la cooperación, la gobernanza y las medidas correctivas, respetando el procedimiento administrativo y el derecho de defensa. 11 El máximo que aparece en los titulares es un límite, no un cobro automático por cualquier fallo.

También sería impreciso afirmar que las multas afectan exclusivamente a empresas comerciales: el reglamento contempla agentes privados como entidades sin ánimo de lucro y personas físicas, según su encuadramiento. 9

Para una empresa, el riesgo operativo también merece atención. Imagine un servicio que depende de una base de clientes y necesita interrumpir determinado uso de esos datos. Incluso sin asignar un valor a esa interrupción, se puede comprender la importancia de organizar la operación y corregir tratamientos irregulares antes de que se conviertan en un problema mayor.

Otras responsabilidades siguen siendo posibles

La ausencia de multa administrativa de la LGPD para un ayuntamiento no elimina las posibles consecuencias en otros ámbitos. La propia ANPD aclara que su régimen sancionador coexiste con responsabilidades previstas en otras leyes. 10

La Ley n.º 14.289/2022, por ejemplo, prevé la reparación de daños materiales y morales por el incumplimiento de las reglas de confidencialidad que establece. 4 La eventual responsabilidad de agentes públicos exige una investigación y el cumplimiento de los requisitos del régimen aplicable. No existe un traslado automático de una multa al alcalde o al empleado público, ni todo incidente constituye, por sí mismo, un delito o un acto de improbidad administrativa.

Qué hacer cuando ocurre un incidente

Retirar un archivo expuesto es una medida de contención. Para organizar la respuesta, recomiendo trabajar simultáneamente en tres frentes: detener la exposición, comprender su alcance y evaluar las comunicaciones que correspondan.

La orientación de la ANPD es que los incidentes capaces de causar un riesgo o daño relevante se comuniquen a la agencia y a las personas afectadas. La regla general es de tres días hábiles, contados desde que el responsable del tratamiento sabe que el incidente afectó a datos personales. La información dirigida a la ANPD puede completarse, de forma justificada, en un plazo de hasta veinte días hábiles a partir de la comunicación. 812

Esto exige preparación. Si nadie sabe quién decide, dónde están los registros o cómo localizar a los titulares, la organización empleará parte de ese plazo en intentar organizarse. Un plan útil debe indicar responsables, suplentes, contactos, criterios de evaluación y la forma de registrar las actuaciones.

No todos los incidentes requieren una notificación a la ANPD: la evaluación depende de los datos implicados, el contexto y el riesgo para los titulares. 12 La decisión de comunicar o no debe documentarse; el reglamento exige registrar los incidentes, incluidos los no comunicados. 8

En la práctica, una comunicación útil debe permitir que la persona comprenda lo ocurrido y sepa dónde buscar orientación. Las expresiones genéricas sobre el compromiso con la privacidad ayudan poco cuando falta información sobre qué datos se vieron afectados y qué medidas se están tomando.

Cómo incorporar la adecuación a la rutina

En sus orientaciones sobre adecuación, la ANPD destaca el mapeo y registro de operaciones, la identificación de las bases legales y finalidades, las medidas de seguridad, las políticas internas y un canal para los titulares. 13 A partir de estas directrices, propongo organizar el trabajo en los siguientes ámbitos, adaptando su profundidad al tamaño y los riesgos de cada empresa.

1. Conocer el recorrido de los datos

Empiece por una actividad concreta: contratación de empleados, atención a clientes, registro de pacientes o envío de campañas. Identifique qué información entra, dónde se almacena, quién la utiliza, con quién se comparte y cuándo deja de ser necesaria.

Ese análisis debe abarcar el trabajo real. Incluya hojas de cálculo, documentos en papel, carpetas compartidas, formularios, mensajes y sistemas contratados. Al finalizar, la dirección debe poder responder quién se ocupa de cada operación y dónde están los puntos que requieren intervención.

El inventario sirve como instrumento de gestión. Cuando se contrate una nueva herramienta o cambie un proceso, debe ayudar a identificar qué necesita revisarse. 13

2. Revisar la finalidad, el acceso y la publicación

Cada uso debe vincularse a su finalidad y a la base legal adecuada. El consentimiento es una de las bases previstas en la LGPD; no funciona como autorización genérica para cualquier uso, y los datos sensibles tienen reglas propias. 3

Para las publicaciones, propongo separar el documento interno completo de la versión destinada a la divulgación y establecer una revisión antes de su difusión. El equipo debe comprobar los campos innecesarios, los anexos, los nombres de los archivos y la información que revele indirectamente una condición sensible.

El manual de la ANPD para el Poder Público orienta a compatibilizar la transparencia con la protección de datos y limitar la divulgación a lo necesario. 14 Esta reflexión también ayuda a las empresas a preparar informes, resultados de procesos de selección y comunicaciones colectivas: que una información esté disponible internamente exige una nueva evaluación antes de hacerla pública.

3. Implantar controles proporcionales al riesgo

El manual de seguridad para agentes de pequeño tamaño aborda el control de accesos, la autenticación multifactor, la actualización de sistemas, las copias de seguridad, la formación y los cuidados con los proveedores. 15 Son referencias para definir qué debe funcionar en la operación, con responsables y evidencias de ejecución.

Una implementación puede comenzar por la revisión de cuentas antiguas, la eliminación de accesos compartidos, la definición de permisos por función y la protección de los entornos que almacenan información más delicada. En el caso de las copias de seguridad, propongo comprobar también si la recuperación funciona y quién puede realizarla.

La lista de verificación de la ANPD reúne medidas de seguridad y orientaciones de formación. 16 Puede apoyar el diagnóstico inicial. Su aplicación debe acompañarse de un análisis: marcar un punto como completado debe corresponder a una práctica verificable.

4. Organizar las responsabilidades y la atención

Defina quién recibe las solicitudes de los titulares, cómo se verificará su identidad, quién localiza la información y quién responde. Aclare también las funciones de los proveedores que almacenan o procesan datos en nombre de la empresa. Las orientaciones de la ANPD incluyen canales de atención y gestión de contratos. 1315

Mi propuesta es conectar estas responsabilidades con el funcionamiento de la organización. La dirección aprueba prioridades y recursos; los equipos ejecutan las rutinas; los profesionales de tecnología implementan controles; y la asesoría jurídica participa en los asuntos que requieren un análisis legal. Esta distribución debe facilitar la colaboración y decisiones claras.

5. Evaluar el impacto y dar seguimiento a las mejoras

El Informe de Impacto sobre la Protección de Datos Personales (RIPD, por sus siglas en portugués) describe operaciones, riesgos y salvaguardas. La ANPD recomienda elaborarlo en contextos de alto riesgo y puede exigirlo. No existe una obligación genérica de que toda empresa publique un RIPD; la exigencia y la divulgación dependen de la situación. 17

Para dar seguimiento al plan de adecuación, propongo indicadores sencillos: operaciones mapeadas, accesos revisados, acciones vencidas, personas capacitadas e incidentes gestionados. Ayudan a la dirección a evaluar el avance y a mantener presente esta cuestión cuando cambian los sistemas, los proveedores o el equipo.

Las pequeñas empresas también deben adecuarse

La Resolución CD/ANPD n.º 2/2022 prevé flexibilizaciones para los agentes de pequeño tamaño que cumplan los requisitos, como registros simplificados y exención de designar un delegado de protección de datos, acompañada de un canal de comunicación con los titulares. También existen plazos diferenciados, incluido el doble de tiempo para comunicar incidentes cuando el encuadramiento lo permite. 18

Estas flexibilizaciones no eliminan los principios, las bases legales ni los derechos previstos en la LGPD. El régimen depende de criterios de ingresos, grupo económico y riesgo; determinadas operaciones de alto riesgo impiden acogerse a él. 18

Una empresa pequeña puede empezar por un diagnóstico acotado y un plan de prioridades. El tamaño del equipo ayuda a definir cómo se organizará el trabajo, mientras que la naturaleza de los datos y de las operaciones orienta el cuidado necesario.

Cómo puedo apoyar la adecuación de su empresa

La adecuación a la LGPD es un servicio que puedo prestar a las empresas, conectando gestión, procesos y tecnología. Mi propuesta es organizar el trabajo a partir de la realidad de la operación, con prioridades claras y entregables cuyo avance pueda seguirse.

El apoyo puede incluir diagnóstico inicial, inventario de datos, revisión de flujos y accesos, implementación de controles, organización de la atención a los titulares, plan de respuesta a incidentes y formación del equipo. Las cuestiones jurídicas específicas pueden abordarse junto con la asesoría jurídica de la empresa.

Un primer proyecto puede entregar un mapa de las operaciones, una relación de los riesgos prioritarios y un plan de acción con responsables y plazos. La continuidad permite verificar la implementación, ajustar los controles e incorporar los cambios del negocio.

Si su empresa necesita estructurar este trabajo, póngase en contacto conmigo para evaluar la situación y definir un plan de adecuación.

El caso de Feira de Santana ofrece una referencia concreta para esta conversación: quien recibe datos personales toma decisiones que afectan la vida de otras personas. Una gestión responsable hace visible ese cuidado en las rutinas, los sistemas y la forma de responder cuando algo falla.

Referencias bibliográficas

Fuentes consultadas el 28 de octubre de 2026. La información sobre la decisión contra Feira de Santana se obtuvo del comunicado oficial de la ANPD; este artículo no presupone acceso íntegro al expediente ni una decisión administrativa que ya no admita recurso.

1. FEIRA DE SANTANA. Prefeitura de Feira abrirá sindicância para apurar vazamento de dados. 22 sep. 2025.
2. ANPD. ANPD estabelece medidas corretivas à Prefeitura de Feira de Santana pelo vazamento de dados médicos de 1.200 pessoas. 26 oct. 2026.
3. BRASIL. Lei nº 13.709, de 14 de agosto de 2018 — LGPD. Texto actualizado, especialmente arts. 5.º, 7.º, 11, 24 y 52.
4. BRASIL. Lei nº 14.289, de 3 de janeiro de 2022. Confidencialidad de las condiciones de salud especificadas en la ley.
5. CÂMARA MUNICIPAL DE FEIRA DE SANTANA. Associação de Pessoas Vivendo com HIV pede reparação, devido a divulgação de nomes. 24 sep. 2025.
6. FEIRA DE SANTANA. Secretaria Municipal de Mobilidade Urbana. Nota. 21 sep. 2025.
7. FEIRA DE SANTANA. Procuradoria-Geral do Município. Nota oficial. 26 oct. 2026.
8. ANPD. Resolução CD/ANPD nº 15, de 24 de abril de 2024. Reglamento de Comunicación de Incidentes de Seguridad.
9. ANPD. Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023. Reglamento de Determinación y Aplicación de Sanciones Administrativas.
10. ANPD. Sanções administrativas: o que muda após 1º de agosto de 2021?. 30 jul. 2021; actualización del 31 oct. 2022.
11. ANPD. ANPD publica regulamento de aplicação de sanções administrativas. 27 feb. 2023.
12. ANPD. Comunicação de Incidente de Segurança. Orientaciones y preguntas frecuentes; actualización del 26 ago. 2026.
13. ANPD. Perguntas frequentes. Sección 5: adecuación a la LGPD; actualización del 9 sep. 2026.
14. ANPD. Guia orientativo: tratamento de dados pessoais pelo Poder Público. Versión 2.0. Brasilia, jun. 2023.
15. ANPD. Guia orientativo sobre segurança da informação para agentes de tratamento de pequeno porte. Versión 1.0, oct. 2021.
16. ANPD. Checklist de medidas de segurança para agentes de tratamento de pequeno porte.
17. ANPD. Relatório de Impacto à Proteção de Dados Pessoais — perguntas e respostas. Actualización del 23 sep. 2026.
18. ANPD. Resolução CD/ANPD nº 2, de 27 de janeiro de 2022. Reglamento para agentes de tratamiento de pequeño tamaño, con modificaciones posteriores.