Protocolamos nesta terça-feira, 18, denúncia ao Ministério Público do Estado da Bahia e ao Tribunal de Contas dos Municípios da Bahia, com pedido de recomendação à Autoridade Nacional de Proteção de Dados, sobre o vazamento de dados pessoais sensíveis de pacientes da rede pública de saúde de Santo Estêvão.


O caso não é suposição. Está documentado, assinado digitalmente pelo próprio gestor e disponível para download em portal público, sem senha, sem cadastro e sem nenhum controle de quem acessa. Qualquer pessoa, de qualquer lugar do país, consegue baixar o arquivo e ler tudo.


Para comprovar que um laboratório conveniado prestou os serviços e receber o pagamento, a Prefeitura anexou ao processo os relatórios de faturamento do próprio laboratório, do jeito que saíram do sistema. Sem tarja. Sem resumo. Sem anonimização nenhuma. O resultado é uma lista aberta com nome completo, data de nascimento, número do CPF e o exame que cada pessoa fez.


Foram mais de 290 atendimentos que teve os dados expostos dessa forma, e isso referente a um único mês de faturamento. Dentro desse mesmo material existe um relatório ainda mais grave: uma relação separada, filtrada por código de procedimento, que lista nominalmente 46 pessoas que fizeram exame de HIV e de hepatite B pela rede municipal. Nome, data de nascimento, CPF e, na coluna ao lado, o exame.


Entre os expostos há 22 menores de idade. Há adolescentes, há crianças de cinco, sete, oito e dez anos, há uma criança de três anos e há dois recém-nascidos, que aparecem identificados pelo nome da mãe, com data de nascimento e CPF próprios. E há, entre esses menores, uma criança pequena e uma adolescente cujos nomes estão justamente na lista de exames de HIV e hepatite.


Cabe um esclarecimento técnico, porque isso costuma ser usado para diminuir a gravidade do caso: os relatórios não mostram o resultado do exame. Mostram que fulano, com nome, CPF e data de nascimento, realizou exame de HIV em determinado dia, pelo serviço público da cidade. Só isso já é dado sensível de saúde pela lei brasileira. Só isso já basta para estigma, para conversa de cidade pequena, para constrangimento dentro de casa, para problema no trabalho e para chantagem. Não precisa do resultado.


E existe hoje centenas de pessoas nessa lista que não fazem ideia de que estão ali. Ninguém avisou. Ninguém pediu autorização. Ninguém tirou do ar.


O conjunto nome completo, CPF e data de nascimento é exatamente o pacote que criminoso usa para abrir conta, contratar crédito consignado no nome da vítima, aplicar golpe por telefone e por mensagem e cometer falsidade ideológica. Junte a isso a informação de saúde e o vínculo com um serviço de atendimento específico, e o material passa a ter valor real para quem quer extorquir alguém. Está tudo ali, empacotado, em ordem alfabética, pronto para copiar.


A legislação sobre isso não é nova e não é obscura. A Lei 14.289, de 2022, tornou obrigatória a preservação do sigilo sobre a condição de pessoa que vive com HIV, com hepatites virais crônicas, com hanseníase e com tuberculose, e vale tanto para instituição privada quanto para o poder público. A Lei Geral de Proteção de Dados, de 2018, classifica dado de saúde como dado sensível, exige base legal específica para qualquer tratamento e impõe os princípios da necessidade e da segurança. A Lei de Acesso à Informação, no artigo 31, deixa claro há mais de uma década que informação pessoal tem acesso restrito, independentemente de classificação de sigilo. O Estatuto da Criança e do Adolescente protege a identidade e a integridade moral de criança e de adolescente. E a Constituição, desde a Emenda 115, de 2022, trata proteção de dados pessoais como direito fundamental.


Transparência pública recai sobre o gasto. Sobre o valor unitário, a quantidade, o procedimento, o prestador e a nota. Nunca recaiu sobre a identidade do paciente. Um demonstrativo quantitativo por tipo de exame comprovaria a mesma despesa sem expor uma única pessoa.


O ponto mais preocupante é que isso não parece ter sido deslize de um servidor distraído. Dentro do próprio processo existe um checklist do setor de compras com um item perguntando se a lista de usuários foi anexada, marcado como sim. Ou seja, juntar a relação nominal de pacientes é etapa prevista e conferida na rotina interna. Não há, em nenhum momento desse fluxo, uma etapa que mande tarjar ou resumir. O erro virou procedimento.


E o instrumento que rege a relação entre a Prefeitura e o laboratório não traz uma única cláusula sobre proteção de dados, sigilo médico ou confidencialidade. Nenhuma. O contrato inteiro trata do processamento de exames de centenas de pessoas e ignora o assunto.


Houveram também falhas graves na fiscalização. O relatório que atesta a execução dos serviços, e que é o documento que destrava o pagamento, foi assinado por uma servidora que, pela própria lista de contratos publicada no site da Prefeitura, não aparece designada para fiscalizar esse ajuste. O documento ainda traz período de referência trocado, data de vigência posterior ao próprio pagamento e um quantitativo de itens mais de cinco vezes maior do que o que consta nos relatórios anexados ao mesmo processo. Mesmo assim, o campo de irregularidades foi marcado como nada a registrar, e o dinheiro saiu.


Na denúncia pedimos, entre outras coisas, a retirada imediata do arquivo do ar ou sua substituição por versão tarjada, a identificação do encarregado pelo tratamento de dados pessoais do município, que a Lei Geral de Proteção de Dados obriga todo órgão público a ter e a divulgar no site, os metadados completos dos arquivos e os registros do sistema que apontem quem carregou aquele documento, o ato de designação do fiscal do contrato, a apuração de quantos outros processos de pagamento estão com o mesmo vício e a comunicação do incidente aos titulares e à Autoridade Nacional de Proteção de Dados.


Fazem mais de três meses que esse arquivo está disponível na internet.


Chamamos atenção para uma coisa que costuma passar batido. Quem analisa licitação, contrato e processo de pagamento normalmente procura sobrepreço, direcionamento, certidão vencida, saldo de ata. Quase ninguém abre o anexo para ver se tem dado pessoal de cidadão ali dentro. Por isso a prática se repete em município atrás de município, todo mês, sem que ninguém denuncie. O paciente nunca fica sabendo, então nunca reclama, e como nunca reclama, ninguém corrige.


Este caso precisa servir de precedente. Não pela punição em si, mas porque enquanto o fluxo continuar do jeito que está, todo mês uma lista nova de gente que fez exame de HIV vai parar na internet com nome e CPF, e a gente vai continuar chamando isso de rotina administrativa.


Por decisão editorial, não divulgamos o número do processo, os códigos de validação do documento, o nome do laboratório nem qualquer informação que permita chegar ao arquivo e às pessoas listadas nele. O material integral foi entregue aos órgãos de controle.