O que são dados pessoais sensíveis segundo a LGPD

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) define dados pessoais sensíveis no artigo 5º, inciso II como aqueles que, por sua natureza, podem gerar discriminação ou impacto significativo ao titular. A lógica é direta: certas informações, se expostas ou mal utilizadas, colocam a pessoa em situação de vulnerabilidade concreta, seja no mercado de trabalho, no acesso a serviços ou nas relações sociais.

A lei trata três categorias de forma diferente. O dado pessoal comum é qualquer informação que identifica ou pode identificar uma pessoa natural, como nome, endereço ou número de telefone. O dado pessoal sensível é um subconjunto com proteção reforçada, exigindo bases legais específicas para ser tratado. Já o dado anonimizado é aquele que passou por processo técnico irreversível que impede a identificação do titular — nesse caso, a LGPD deixa de ser aplicável.

A criação de uma categoria especial não é exclusividade brasileira. O Regulamento Geral de Proteção de Dados europeu (GDPR) adota lógica semelhante com os chamados “dados especiais”. A justificativa em ambos os casos é que o potencial de dano é desproporcional: uma informação sobre origem étnica ou condição de saúde pode ser usada para negar emprego, elevar prêmios de seguro ou expor a pessoa a preconceito e violência.

Quais categorias de dados são consideradas sensíveis

O artigo 5º, II da LGPD lista as categorias de forma taxativa. São considerados sensíveis os dados relativos a:

• Origem racial ou étnica
• Convicção religiosa
• Opinião política
• Filiação a sindicato ou a organização de caráter religioso, filosófico ou político
• Dados referentes à saúde ou à vida sexual
• Dado genético ou biométrico, quando vinculado a uma pessoa natural

No cotidiano brasileiro, alguns exemplos tornam isso mais concreto. Um prontuário médico eletrônico contém dados de saúde sensíveis. A impressão digital usada para ponto eletrônico em uma fábrica é dado biométrico. O exame de DNA solicitado por laboratório para fins de paternidade é dado genético. A ficha de filiação sindical assinada pelo trabalhador é dado de filiação sindical.

A orientação sexual merece atenção especial pelo contexto brasileiro. O Brasil lidera estatísticas mundiais de violência contra pessoas LGBTQIA+, o que torna o vazamento desse tipo de dado particularmente perigoso. Qualquer sistema que armazene essa informação, seja um aplicativo de relacionamento, um prontuário de saúde mental ou um formulário de RH, precisa tratar o dado com o mais alto nível de proteção técnica e organizacional.

Casos de borda: quando um dado comum revela um dado sensível

Um dos pontos mais delicados na prática é o chamado “dado sensível inferido”. Um dado aparentemente comum pode, combinado a outros, revelar informação sensível. Um aplicativo de saúde que registra ciclo menstrual pode inferir gravidez. Um histórico de compras em farmácias pode revelar condição médica crônica. Um padrão de localização pode indicar frequência a determinada igreja ou associação política.

A ANPD ainda não publicou orientação definitiva sobre inferências, mas a interpretação predominante entre juristas e consultores de privacidade é que, se o tratamento tem como efeito real revelar um dado sensível, as regras do artigo 11 devem ser aplicadas, independentemente de o dado de origem ser comum.

Diferença entre dados pessoais comuns e dados sensíveis na prática

Dados comuns como nome, CPF, endereço, e-mail e telefone são protegidos pela LGPD, mas podem ser tratados com base em qualquer uma das dez hipóteses legais previstas no artigo 7º, incluindo legítimo interesse, execução de contrato e cumprimento de obrigação legal. A flexibilidade é maior.

Dados sensíveis têm um regime mais restrito, previsto no artigo 11. As bases legais disponíveis são menos e mais específicas. O controlador não pode, por exemplo, invocar “legítimo interesse” para tratar dado de saúde com finalidade comercial. A regra geral é o consentimento explícito, e as exceções são interpretadas de forma estrita.

Tabela comparativa: bases legais por tipo de dado

Uma confusão comum no mercado brasileiro é a solicitação de RG e CPF como pré-requisito para entrevistas de emprego. O CPF é dado comum, mas coletado antes de qualquer relação jurídica estabelecida, sem finalidade clara, o que já cria problemas de base legal. Se o processo seletivo também solicitar informações sobre saúde, deficiência ou origem étnica, a empresa passa a tratar dados sensíveis sem amparo legal adequado, infração direta à LGPD.

Regras para o tratamento de dados sensíveis (art. 11 da LGPD)

O consentimento explícito para dados sensíveis vai além do aceite padrão em termos de uso. Ele precisa ser específico para a finalidade declarada, destacado de outras autorizações, e o titular deve ter ciência clara do que está permitindo. Um checkbox genérico escondido em um formulário longo não atende esse requisito.

Existem hipóteses em que o consentimento pode ser dispensado, mas todas têm escopo restrito: cumprimento de obrigação legal pelo controlador; tratamento compartilhado por órgãos públicos para execução de políticas públicas previstas em lei; realização de estudos por órgão de pesquisa (com anonimização quando possível); exercício regular de direitos em processo judicial, administrativo ou arbitral; proteção da vida ou da incolumidade física do titular ou de terceiros; tutela da saúde por profissional ou entidade de saúde; e garantia da prevenção à fraude e à segurança do titular.

Obrigações adicionais do controlador

Empresas que tratam dados sensíveis precisam ir além das obrigações básicas da LGPD. O registro das operações de tratamento (ROPA, na sigla em inglês) deve documentar especificamente quais dados sensíveis são tratados, com qual finalidade, base legal e tempo de retenção. Essa documentação é solicitada pela ANPD em processos de fiscalização.

O Relatório de Impacto à Proteção de Dados Pessoais (RIPD) é especialmente recomendado, e em alguns casos obrigatório, quando o tratamento envolve dados sensíveis em larga escala, uso de novas tecnologias ou população vulnerável. A ANPD pode exigir o RIPD a qualquer momento. Medidas técnicas como criptografia, controle de acesso baseado em função (RBAC) e logs de auditoria são consideradas obrigatórias, não opcionais.

Transferência internacional de dados sensíveis

Quando dados sensíveis são enviados para servidores ou parceiros no exterior, as restrições se somam. A transferência internacional de qualquer dado pessoal já exige base adequada (país com nível equivalente de proteção, cláusulas contratuais padrão aprovadas pela ANPD, ou consentimento específico). Para dados sensíveis, esse requisito é ainda mais crítico porque o risco de dano ao titular é proporcionalmente maior em jurisdições com proteção mais fraca.

Riscos e consequências do vazamento ou uso indevido

A LGPD prevê um conjunto gradual de sanções. A ANPD pode aplicar advertência com prazo para adoção de medidas corretivas, multa simples de até 2% do faturamento da empresa no último exercício no Brasil (limitada a R$ 50 milhões por infração), multa diária, publicização da infração, bloqueio dos dados pessoais envolvidos e até eliminação dos dados tratados de forma irregular.

No plano concreto, o vazamento de dados sensíveis produz danos que vão muito além da multa regulatória. Um dado de saúde exposto pode levar à negação de crédito ou plano de saúde. Um dado biométrico vazado não pode ser trocado como uma senha: a impressão digital ou o padrão facial é permanente, e qualquer sistema que dependa dele fica comprometido indefinidamente. Dados sobre orientação sexual ou convicção religiosa expostos podem submeter a pessoa a discriminação, assédio ou violência.

O que fazer se seus dados sensíveis forem expostos

Se você for titular de dados sensíveis vazados, algumas ações são prioritárias. Primeiro, registre um Boletim de Ocorrência, que cria um registro oficial útil em processos judiciais de reparação de danos. Se dados financeiros foram expostos junto com dados de saúde ou biométricos, notifique imediatamente seu banco ou operadora de cartão para bloquear movimentações suspeitas.

O incidente pode ser comunicado à ANPD por meio do canal de atendimento oficial. O controlador tem obrigação legal de notificar a ANPD e o titular em prazo razoável quando há risco ou dano relevante. Se essa notificação não ocorrer, isso por si só já constitui infração adicional. A via judicial para reparação de danos morais e materiais está aberta, com precedentes crescentes de condenações no Brasil.

Casos emblemáticos no Brasil

O país já registrou incidentes de grande escala envolvendo dados sensíveis. Em 2021, o vazamento conhecido como “Exclusivo” expôs dados de mais de 220 milhões de brasileiros, incluindo informações de renda e dados biométricos faciais associados a imagens. Em 2020, um vazamento no Ministério da Saúde expôs dados de pacientes com COVID-19, incluindo diagnósticos, dado de saúde por definição. Esses casos mostram que o problema não é hipotético e não se limita ao setor privado.

Boas práticas para empresas que coletam dados sensíveis

O princípio da minimização é o ponto de partida. Antes de coletar qualquer dado sensível, a pergunta que precisa ter resposta documentada é: “esse dado é estritamente necessário para a finalidade declarada?” Se a resposta não for clara e objetiva, a coleta não deve ocorrer. Formulários com campos opcionais para dados sensíveis, quando a funcionalidade central não depende deles, já configuram coleta excessiva.

A anonimização e a pseudonimização são camadas adicionais de proteção com funções distintas. A anonimização elimina a possibilidade de identificação: após esse processo, a LGPD deixa de se aplicar ao dado. A pseudonimização substitui identificadores diretos por códigos, mas mantém a possibilidade de reversão com a chave correta — o dado continua sendo pessoal e protegido, mas o risco em caso de vazamento é menor. Para bases analíticas e ambientes de desenvolvimento, a pseudonimização é uma prática recomendada.

Desafios com IA e APIs externas

Um cenário de risco crescente no Brasil envolve a integração de sistemas internos com modelos de linguagem (LLMs) via API, sejam serviços de provedores como OpenAI, Anthropic, Google ou outros. Se prompts enviados para esses modelos contêm dados sensíveis de clientes (histórico de saúde, dados biométricos, informações sobre orientação sexual), a empresa está realizando uma transferência de dados para terceiro e possivelmente para o exterior sem base legal adequada.

A mitigação exige políticas explícitas de sanitização de dados antes do envio a APIs externas, contratos de processamento de dados com o fornecedor de IA e avaliação técnica sobre se os dados enviados podem ser usados para retreinamento dos modelos. Em ambientes regulados, como saúde e finanças, o uso de modelos hospedados localmente ou em infraestrutura contratada com garantias de isolamento tende a ser a única opção viável.

Treinamento e revisão periódica

Políticas de privacidade desatualizadas são um risco jurídico concreto. Se a empresa passou a usar um novo sistema de reconhecimento facial no controle de acesso, mas sua política de privacidade não menciona esse tratamento, há violação ao princípio da transparência. Revisões periódicas, no mínimo anuais ou sempre que houver mudança significativa nos processos, são necessárias.

O treinamento de equipes precisa ir além de um curso online anual de compliance. Desenvolvedores precisam entender como não logar dados sensíveis inadvertidamente. Analistas de marketing precisam saber que dados de saúde inferidos não podem ser usados para segmentação sem base legal. Times de suporte precisam reconhecer quando estão acessando dados sensíveis e quais controles se aplicam nesse acesso.

Como avaliar se sua empresa está em conformidade

Um diagnóstico mínimo de conformidade para dados sensíveis deve responder às seguintes perguntas:

1. Mapeamento: sua empresa sabe quais dados sensíveis coleta, onde estão armazenados, quem tem acesso e por quanto tempo são retidos?
2. Base legal: para cada categoria de dado sensível tratada, há uma base legal do artigo 11 documentada e defensável?
3. Consentimento: se a base legal é o consentimento explícito, ele atende os requisitos de especificidade e destaque ou é um aceite genérico?
4. RIPD: foi realizado relatório de impacto para os tratamentos de maior risco?
5. Segurança técnica: existem controles de acesso, criptografia em repouso e em trânsito, e logs de auditoria para os dados sensíveis?
6. Terceiros: os contratos com fornecedores que processam dados sensíveis incluem cláusulas de proteção de dados adequadas?
7. Plano de resposta: existe um procedimento documentado para responder a incidentes envolvendo dados sensíveis, incluindo prazo e forma de notificação à ANPD?

Esse checklist não substitui uma auditoria formal de privacidade, mas identifica rapidamente os pontos de maior exposição. Empresas que tratam dados sensíveis em escala, como planos de saúde, laboratórios, RH tech e fintechs com biometria, devem considerar a realização de um Data Protection Impact Assessment estruturado antes de lançar novos produtos ou expandir bases de dados existentes.