ANPD sanciona a Feira de Santana por datos médicos

Actualización 31 de octubre de 2026: Cescon Barrieu indicó que el Relatório de Instrução nº 3/2026/CGS/SFI individualizó seis conductas y las calificó como infracciones graves por involucrar datos sensibles y producir efectos discriminatorios. También señaló que la publicización de la infracción debe mantenerse en el sitio de la prefeitura durante 180 días y que la ausencia de multa administrativa se apoya en el artículo 52, §3º, de la LGPD.

La ANPD concluyó un proceso administrativo sancionador contra la Prefeitura de Feira de Santana, en Bahía, por la exposición en el Diário Oficial do Município de datos personales sensibles de 1.241 personas. Entre los datos divulgados había información relacionada con VIH, anemia falciforme y fibromialgia. La autoridad aplicó advertencia, publicización de la infracción y una serie de medidas correctivas.

¿Cómo comenzó el caso?

El caso comenzó con una denuncia recibida 48 horas después del hecho y luego evolucionó de un proceso de fiscalización a un proceso administrativo sancionador, según la ANPD. En su decisión, la autoridad reconoció seis infracciones a la LGPD y clasificó el caso como una violación de las reglas de tratamiento de datos personales.

¿Qué ordenó la ANPD a la prefeitura?

La ANPD impuso obligaciones concretas de gobernanza y cumplimiento. Entre ellas figuran nombrar un encargado de datos personales, elaborar y publicar políticas de privacidad y de seguridad de la información, preparar un plan de respuesta a incidentes y presentar informes de impacto a la protección de datos.

La autoridad también informó medidas relativas a la creación de una etapa previa de evaluación del impacto sobre los titulares antes de publicar datos personales en el Diário Oficial, además de capacitación de servidores, reglas para compartir información entre sectores y evaluaciones de riesgo antes de nuevas publicaciones. Bahia Notícias indicó que los datos fueron eliminados pocas horas después de su aparición, pero que la ANPD detectó un incumplimiento del procedimiento de notificación del incidente.

¿Qué alcance tuvo la infracción?

De acuerdo con la ANPD, la exposición alcanzó a 1.241 personas y comprometió datos sensibles, una categoría especialmente protegida por la LGPD. La cobertura especializada informó que las conductas fueron clasificadas como infracciones graves y que la publicación original incluía nombres y números de tarjeta de transporte.

G1 informó además que la Prefeitura de Feira de Santana deberá publicar durante seis meses, en su sitio oficial, un aviso sobre la infracción. El medio también señaló que los órganos públicos no están sujetos a las multas administrativas previstas en la LGPD.

¿Qué dijo la ANPD sobre la notificación a los titulares?

La ANPD sostuvo que un aviso general en el sitio web no sustituye la comunicación directa e individualizada del incidente a las personas afectadas. Según el análisis jurídico citado por Cescon Barrieu, la prefeitura intentó notificar por correo postal solo a 22 de los 1.241 titulares afectados, equivalentes al 1,77%.

¿Qué muestra este caso sobre la ANPD?

La ANPD sostuvo que mantiene actividades de monitoreo, fiscalización y sanción contra empresas y plataformas por infracciones a la LGPD y a otros marcos de protección de titulares, con un enfoque orientado a conducir a los regulados hacia la conformidad y responsabilizarlos por daños eventualmente causados. En paralelo, la autoridad publicó versiones traducidas a otros idiomas de la LGPD actualizada y de los Decretos nº 12.975 y nº 12.976, que le atribuyen competencias de regulación, monitoreo y fiscalización relacionadas con obligaciones para plataformas, transparencia, gestión de riesgos y protección de derechos de usuarios.