O que são dados sensíveis segundo a LGPD

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) reserva uma categoria especial para informações que, por sua natureza, carregam risco elevado de discriminação ou dano ao titular. O art. 5º, inciso II define dado pessoal sensível como aquele que diz respeito à origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural identificada ou identificável.

A distinção em relação aos dados pessoais comuns (nome, e-mail, CPF, endereço) não é meramente técnica: dados sensíveis demandam bases legais próprias, medidas de segurança adicionais e, em vários casos, consentimento com requisitos formais mais rígidos. O regime jurídico aplicável está no art. 11 da LGPD, não no art. 7º.

O legislador conferiu proteção reforçada a essas categorias porque seu vazamento ou uso indevido pode gerar consequências concretas: demissão discriminatória com base em convicção religiosa, recusa de crédito por histórico de saúde ou perfilamento político indevido. O dano potencial pode afetar emprego, liberdade e integridade física.

No contexto empresarial brasileiro, exemplos práticos aparecem com frequência:

• Origem racial ou étnica: programas internos de diversidade que coletam autodeclaração de raça/cor para fins de política afirmativa.
• Convicção religiosa: RH coletando informação sobre religião para gestão de feriados ou restrições alimentares.
• Opinião política: plataformas de engajamento cívico ou ferramentas de RH que registram posicionamentos em pesquisas internas.
• Filiação sindical: folha de pagamento com desconto de contribuição sindical, um dos casos mais comuns em empresas com grande número de funcionários.
• Saúde: planos de saúde corporativos, atestados médicos armazenados pelo RH, aplicativos de wellness.
• Vida sexual: plataformas de saúde reprodutiva, apps de relacionamento, pesquisas de clima que abordam identidade de gênero.
• Dado genético: programas de saúde ocupacional com exames laboratoriais que incluem análises genéticas.
• Dado biométrico: controle de ponto por impressão digital ou reconhecimento facial, extremamente comum no Brasil.

Bases legais para tratamento de dados sensíveis

O art. 11 da LGPD lista as hipóteses que autorizam o tratamento de dados sensíveis. Elas são mais restritivas do que as do art. 7º: não existe, por exemplo, a base do “interesse legítimo do controlador” para essa categoria. Quem trata dados sensíveis sem enquadramento legal válido está em violação direta à lei.

Consentimento específico e destacado

A principal base legal disponível é o consentimento do titular, com requisitos adicionais: ele deve ser específico (não basta um aceite genérico nos termos de uso) e destacado (deve aparecer separado das demais autorizações, de forma visível e compreensível). Formulários que mesclam autorização para dados sensíveis com outros consentimentos em um único checkbox não atendem à exigência legal.

Na prática, isso significa criar fluxos de coleta distintos: uma tela ou cláusula separada que explique claramente qual dado sensível está sendo coletado, para qual finalidade específica e por quanto tempo será retido. O registro desse consentimento precisa ser armazenado e auditável.

Hipóteses sem necessidade de consentimento

O inciso II do art. 11 lista situações em que o tratamento pode ocorrer sem consentimento:

• Cumprimento de obrigação legal ou regulatória: empresas obrigadas por lei a comunicar doenças ocupacionais ao INSS, por exemplo.
• Execução de políticas públicas: aplicável a órgãos governamentais e entidades que executam programas sociais por delegação do poder público.
• Estudos de pesquisa: com garantia de anonimização sempre que possível, conduzidos por organismos de pesquisa reconhecidos.
• Proteção da vida ou da incolumidade física: situações emergenciais em que o titular não possa consentir.
• Exercício regular de direitos em processo judicial, administrativo ou arbitral.
• Prevenção à fraude e segurança do titular: no caso de dados biométricos, exclusivamente.

Particularidades para planos de saúde, seguradoras e empregadores

Planos de saúde e seguradoras frequentemente tratam dados de saúde como condição de serviço. A base legal mais adequada nesses casos é a execução de contrato, combinada com obrigação legal onde aplicável. O uso dessas informações para fins de discriminação na precificação ou exclusão de coberturas é vedado e pode configurar violação simultânea à LGPD e ao Código de Defesa do Consumidor.

Empregadores que coletam atestados médicos, resultados de exames admissionais ou informações sobre condições de saúde crônicas precisam delimitar com precisão a finalidade do tratamento. Armazenar esses dados sem propósito claro e documentado é uma das infrações mais recorrentes identificadas em auditorias de adequação.

Dados de crianças e adolescentes como categoria de atenção especial

A LGPD trata dados de crianças (até 12 anos incompletos) e adolescentes (de 12 a 18 anos) com atenção específica nos arts. 14 e seguintes. Quando esses dados também se enquadram como sensíveis, como informações de saúde ou biometria de um menor, as obrigações se acumulam, exigindo atenção redobrada.

Para crianças, o tratamento depende de consentimento expresso de pelo menos um dos pais ou do responsável legal. A plataforma ou empresa não pode condicionar a participação da criança à coleta de dados desnecessários, e deve fazer esforço razoável para verificar a autenticidade do consentimento parental, o que exige mecanismos técnicos além de um simples checkbox.

O princípio do melhor interesse da criança, importado do direito da infância e juventude, aplica-se ao tratamento de dados: em caso de dúvida sobre a adequação de uma prática, a decisão deve pender para a proteção do menor, não para o interesse comercial do controlador.

Empresas dos setores de educação (plataformas EdTech), saúde pediátrica e entretenimento digital enfrentam os maiores riscos regulatórios nessa interseção. Aplicativos educacionais que coletam biometria de alunos para controle de acesso ou que armazenam histórico de saúde escolar estão sujeitos a escrutínio direto da ANPD e do Ministério Público.

Obrigações práticas para quem trata dados sensíveis

Relatório de Impacto à Proteção de Dados (RIPD)

O RIPD é obrigatório quando o tratamento puder gerar riscos às liberdades civis e aos direitos fundamentais dos titulares, e o tratamento de dados sensíveis em larga escala quase sempre se enquadra nesse critério. O documento deve descrever os tipos de dados coletados, as finalidades, os riscos identificados e as medidas adotadas para mitigá-los.

A ANPD pode solicitar o RIPD a qualquer momento durante uma investigação. Empresas que não o produziram ou que o mantêm desatualizado encontram dificuldade em demonstrar boa-fé regulatória, o que agrava o cenário em caso de notificação.

Medidas técnicas e organizacionais

A lei exige medidas de segurança adequadas ao risco do tratamento. Para dados sensíveis, o padrão mínimo esperado inclui:

• Pseudonimização: dissociar os dados do titular identificado sempre que a finalidade permitir, reduzindo o impacto de eventuais vazamentos.
• Criptografia: em repouso e em trânsito, especialmente para dados de saúde e biométricos transmitidos entre sistemas.
• Controle de acesso baseado em função (RBAC): apenas colaboradores com necessidade comprovada devem acessar dados sensíveis, com logs de acesso auditáveis.
• Segregação de ambientes: dados sensíveis não devem coexistir com dados de menor criticidade em repositórios sem segmentação.

Treinamento de equipes e definição de responsáveis

O Encarregado (DPO — Data Protection Officer), exigido pela LGPD, tem papel central no tratamento de dados sensíveis: é ele quem orienta equipes, recebe comunicações da ANPD e responde às solicitações dos titulares. Em empresas que tratam dados sensíveis em volume, o DPO não pode ser uma figura nominal; precisa de autonomia, acesso à alta direção e capacidade técnica.

Treinamentos periódicos para times de RH, saúde ocupacional, TI e atendimento ao cliente são indispensáveis. A maioria dos incidentes com dados sensíveis no Brasil não decorre de ataques sofisticados, mas de erros humanos: envio de planilhas por e-mail sem criptografia, compartilhamento indevido com terceiros e retenção desnecessária de documentos físicos.

Políticas de privacidade e registros de tratamento

A política de privacidade precisa mencionar explicitamente as categorias de dados sensíveis tratados, as bases legais utilizadas para cada finalidade e os direitos do titular. Políticas genéricas que não diferenciam dados comuns de sensíveis não atendem ao requisito de transparência da LGPD.

O registro das atividades de tratamento (equivalente ao ROPA do GDPR europeu) deve incluir uma linha específica para cada operação envolvendo dados sensíveis, com indicação da base legal, prazo de retenção e medidas de segurança aplicadas.

Penalidades e precedentes da ANPD no Brasil

O art. 52 da LGPD prevê um conjunto escalonado de sanções: advertência com prazo para correção, multa simples de até 2% do faturamento do grupo no Brasil (limitada a R$ 50 milhões por infração), multa diária, publicização da infração, bloqueio dos dados envolvidos e, na hipótese mais grave, eliminação dos dados tratados ilegalmente.

Nos primeiros anos de atuação sancionatória, a ANPD demonstrou preferência por casos que envolvem dados sensíveis, especialmente saúde e biométricos, por entender que o potencial de dano concreto ao titular justifica ação prioritária. A autarquia também tem focado em controladores de médio porte, sinalizando que o enforcement não se limita a grandes corporações.

Entre os casos notificados publicamente no Brasil, destacam-se situações envolvendo operadoras de planos de saúde que compartilhavam histórico de internações com seguradoras sem base legal adequada, empresas de RH que armazenavam dados biométricos de ex-funcionários sem prazo de retenção definido e aplicativos de saúde que obtinham consentimento bundled, agrupado com outros termos sem destaque. As lições comuns: ausência de RIPD, falta de registro de consentimento e ausência de canal funcional para exercício de direitos.

Denúncias de titulares são o principal gatilho para abertura de processos administrativos na ANPD. Um único titular insatisfeito com o tratamento de seus dados de saúde ou biométricos pode deflagrar uma investigação que expõe fragilidades sistêmicas de toda a organização. Ignorar solicitações de acesso, correção ou exclusão de dados sensíveis aumenta significativamente esse risco.

Boas práticas para adequação ao tratamento de dados sensíveis

Data mapping como ponto de partida

Antes de qualquer medida técnica, é preciso saber onde os dados sensíveis estão. O mapeamento de dados deve percorrer todos os sistemas, formulários, planilhas, arquivos físicos e integrações com terceiros. É comum que empresas descubram no processo que armazenam dados biométricos em planilhas sem controle de acesso ou que registros de saúde ocupacional permanecem em pastas físicas sem inventário.

O mapeamento deve identificar: categoria do dado sensível, sistema ou local de armazenamento, finalidade do tratamento, base legal utilizada, prazo de retenção e quem tem acesso. Ferramentas de governança de dados como OneTrust, TrustArc e Nymity, entre várias outras disponíveis no mercado, podem apoiar esse processo, mas a decisão sobre base legal e adequação continua sendo jurídica e organizacional, não tecnológica.

Princípio da minimização

A LGPD determina que o tratamento deve ser limitado ao mínimo necessário para a finalidade declarada. Para dados sensíveis, esse princípio é ainda mais crítico. Antes de coletar qualquer dado sensível, a pergunta obrigatória é: essa informação é realmente necessária para a finalidade declarada, ou estamos coletando “por precaução”?

Formulários de admissão que pedem religião para planejamento de feriados quando a empresa não opera em regiões com feriados religiosos específicos, ou sistemas de ponto que capturam reconhecimento facial quando um cartão magnético serviria igualmente bem, são exemplos de coleta desproporcional que não supera o teste de minimização.

Revisão periódica de bases legais e contratos com operadores

As bases legais precisam ser revisadas quando a finalidade do tratamento muda, quando a legislação é atualizada ou quando a relação contratual com o titular se encerra. Um ex-funcionário não é mais parte de uma relação de emprego: manter seus dados de saúde ou biométricos sob a base de execução de contrato não é mais válido após o término do vínculo.

Contratos com operadores de dados, fornecedores que tratam dados sensíveis em nome do controlador, devem incluir cláusulas específicas sobre medidas de segurança, vedação de uso para finalidades próprias do operador e obrigação de notificação em caso de incidente. A responsabilidade solidária entre controlador e operador, prevista na LGPD, torna essa revisão contratual uma medida de proteção direta para o controlador.

Canais de exercício de direitos e prazos

Titulares que tiveram dados sensíveis coletados têm direito de acesso, correção, portabilidade, eliminação e revogação do consentimento. Esses direitos precisam ser exercíveis por um canal específico, funcional e documentado, não apenas mencionados na política de privacidade.

A ANPD recomenda resposta em até 15 dias para solicitações de titulares. Empresas que tratam dados sensíveis em volume devem automatizar parte desse processo para garantir o cumprimento do prazo mesmo em períodos de alta demanda. O registro de cada solicitação e sua resposta é evidência fundamental em eventual investigação regulatória.

Como avaliar sua situação atual

Um diagnóstico inicial pode ser estruturado em quatro perguntas objetivas:

1. Você sabe quais dados sensíveis sua empresa trata? Se a resposta exigir mais de uma semana de levantamento, o mapeamento de dados está incompleto.
2. Cada operação com dados sensíveis tem uma base legal documentada no art. 11? “Interesse legítimo” não está disponível para essa categoria — revise qualquer enquadramento que use esse fundamento.
3. Existe um RIPD atualizado para as operações de maior risco? Se não, produzi-lo é prioridade antes de qualquer outra medida.
4. Os titulares conseguem exercer seus direitos de forma efetiva? Teste o canal disponível: envie uma solicitação de acesso e meça o tempo de resposta real.

Adequação ao tratamento de dados sensíveis não é um projeto com data de encerramento: é um processo contínuo de governança. O ponto de partida é sempre o inventário do que existe; o ponto de sustentação é a revisão periódica das práticas à medida que o negócio e a regulação evoluem.