O que é dado pessoal sensível segundo a LGPD

O artigo 5º, inciso II da Lei 13.709/2018 define dado pessoal sensível como aquele sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.

O legislador criou essa categoria separada porque certas informações carregam potencial discriminatório inerente. Não se trata apenas de privacidade: expor que alguém tem determinada condição de saúde, crença religiosa ou orientação sexual pode gerar consequências concretas, como demissão, recusa de crédito, perseguição ou estigma social.

A diferença prática em relação ao dado pessoal comum está no nível de exigência no tratamento. Para dados comuns, há dez bases legais disponíveis. Para dados sensíveis, o conjunto de bases permitidas é menor, o consentimento precisa ser explícito e específico, e as medidas de segurança precisam ser proporcionalmente mais rigorosas. Ignorar essa distinção é o erro mais frequente que times de dados cometem ao desenhar pipelines de coleta e enriquecimento de perfis.

Quais categorias a lei considera sensíveis

A lista da LGPD é taxativa e não admite interpretação extensiva por analogia. As categorias são:

• Origem racial ou étnica
• Convicção religiosa
• Opinião política
• Filiação a sindicato ou organização religiosa, filosófica ou política
• Dados de saúde
• Vida sexual
• Dados genéticos
• Dados biométricos, quando vinculados a uma pessoa natural identificada ou identificável

Dados de crianças e adolescentes

A LGPD não classifica formalmente o dado de menor como sensível, mas o artigo 14 impõe regime de proteção equivalente ou mais rigoroso. O tratamento exige consentimento específico dado por pelo menos um dos pais ou responsável legal. Na prática regulatória, a ANPD tem tratado violações envolvendo menores com a mesma gravidade de incidentes com dados sensíveis de adultos.

Exemplos concretos no cotidiano corporativo e de marketing

O problema é que dados sensíveis aparecem em contextos que parecem banais. Alguns exemplos que times de CRM e marketing frequentemente subestimam:

• Campos de “condição de saúde” em formulários de cadastro de planos de benefícios
• Segmentação de audiência por “interesse em religião” em plataformas de anúncios
• Registro de ponto facial com reconhecimento biométrico — cada template biométrico é um dado sensível
• Histórico de compras que revela padrões de saúde (fraldas geriátricas, medicamentos específicos)
• Campos abertos em pesquisas de satisfação onde o titular escreve sobre condições médicas

Este último caso é especialmente crítico: dados sensíveis podem ser coletados de forma não intencional quando formulários permitem respostas livres. A empresa passa a tratar dado sensível mesmo sem ter planejado isso.

Por que dados sensíveis recebem proteção reforçada

O risco de discriminação direta é o fundamento central. Saber que um candidato a emprego tem HIV, que um tomador de crédito tem epilepsia ou que um funcionário é filiado a determinado partido político cria assimetria de poder que pode ser explorada, consciente ou inconscientemente, em decisões de contratação, concessão de crédito e promoção.

Os danos em caso de vazamento tendem a ser irreversíveis. Dados financeiros podem ser trocados: números de cartão são cancelados, senhas são redefinidas. Origem étnica, condição de saúde ou orientação sexual não são substituíveis. O impacto à dignidade e à reputação do titular permanece mesmo após o incidente ser contido tecnicamente.

Alinhamento com o padrão global

O GDPR europeu (Regulamento 2016/679) trata as mesmas categorias como “dados especiais” no artigo 9º, com restrições análogas às da LGPD. A convergência não é coincidência: o legislador brasileiro tomou o marco europeu como referência explícita. Empresas que já operam em conformidade com o GDPR têm base sólida para adaptar processos ao mercado brasileiro, mas precisam atentar para diferenças nas bases legais disponíveis e nas exigências de notificação à autoridade.

Bases legais permitidas para tratar dados sensíveis

O artigo 11 da LGPD lista as hipóteses válidas. Diferente do artigo 7º, que rege dados comuns, aqui o conjunto é restrito e as condições são mais exigentes.

Consentimento explícito e específico

Para dados sensíveis, o consentimento não pode ser genérico. Ele precisa ser destacado das demais autorizações, redigido de forma clara sobre qual categoria de dado será tratada, para qual finalidade e por quanto tempo. Um checkbox único para “aceito a política de privacidade” não é suficiente. O titular precisa consentir especificamente com o tratamento do dado sensível em questão.

Hipóteses sem consentimento

A lei prevê situações em que o tratamento é permitido independentemente de consentimento:

• Cumprimento de obrigação legal ou regulatória pelo controlador
• Execução de políticas públicas previstas em lei ou regulamento (aplicável principalmente ao poder público)
• Estudos por órgão de pesquisa, garantida a anonimização sempre que possível
• Proteção da vida ou da incolumidade física do titular ou de terceiro
• Tutela da saúde, em procedimentos realizados por profissionais de saúde ou serviços de saúde
• Garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação
• Exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral

Bases vedadas para dados sensíveis

Legítimo interesse, base amplamente usada em marketing e analytics para dados comuns, não pode ser invocado para dados sensíveis. A LGPD é explícita nesse ponto. Times que usam legítimo interesse como base padrão para enriquecimento de perfis precisam revisar seus inventários de dados com atenção especial às categorias sensíveis identificadas.

Cuidados na redação de políticas e formulários

Políticas de privacidade precisam identificar explicitamente quais categorias de dados sensíveis são tratadas, as bases legais correspondentes e as finalidades específicas. Formulários de coleta devem ter campos distintos, com linguagem que deixe o titular ciente da natureza do dado que está fornecendo. Registros de consentimento, com data, versão do texto apresentado e canal, precisam ser mantidos de forma auditável.

Obrigações práticas para empresas que tratam dados sensíveis

Relatório de Impacto à Proteção de Dados (RIPD)

Tratamentos que envolvem dados sensíveis em larga escala, dados biométricos para controle de acesso ou qualquer operação que gere risco elevado ao titular exigem a elaboração de um RIPD. O relatório documenta os tipos de dados tratados, as finalidades, os riscos identificados e as medidas adotadas para mitigá-los. A ANPD pode solicitar o RIPD a qualquer momento: mantê-lo atualizado não é opcional.

Minimização de dados

O princípio da minimização exige que apenas os dados estritamente necessários para a finalidade declarada sejam coletados. Se o objetivo é verificar elegibilidade a um benefício de saúde, coletar diagnóstico completo, histórico familiar e dados genéticos vai além do necessário. Cada campo adicional amplia a superfície de risco sem agregar valor proporcional.

Medidas técnicas e organizacionais

Para dados sensíveis, as medidas de segurança precisam ser proporcionalmente mais rigorosas. As práticas recomendadas incluem:

• Criptografia em repouso e em trânsito para todos os campos que contêm dados sensíveis
• Controle de acesso baseado em função, com acesso restrito a quem tem necessidade operacional legítima
• Anonimização ou pseudonimização sempre que a finalidade não exigir identificação direta
• Logs de acesso auditáveis com retenção adequada
• Treinamento específico para equipes que manipulam essas categorias

Notificação em caso de incidente

Incidentes que envolvam dados sensíveis precisam ser comunicados à ANPD e ao titular em prazo razoável. A resolução CD/ANPD nº 15/2024 estabelece três dias úteis para comunicação preliminar à autoridade em casos de risco ou dano relevante. A comunicação deve descrever a natureza do incidente, as categorias de dados afetadas, o número estimado de titulares impactados e as medidas adotadas.

Penalidades e casos reais no mercado brasileiro

As sanções previstas no artigo 52 da LGPD incluem advertência com prazo para adoção de medidas corretivas, multa simples de até 2% do faturamento do grupo no Brasil no último exercício (limitada a R$ 50 milhões por infração), multa diária, publicização da infração, bloqueio dos dados e eliminação dos dados pessoais tratados irregularmente.

Precedentes da ANPD

A ANPD publicou suas primeiras decisões sancionatórias em 2023 e 2024, com foco inicial em microempresas e operadores de menor porte como estratégia pedagógica. Processos administrativos envolvendo dados biométricos, especialmente sistemas de reconhecimento facial em ambientes de trabalho e varejo, e dados de saúde em aplicativos estão em andamento e devem gerar precedentes relevantes para grandes controladores.

Um ponto de atenção: a ANPD tem reforçado que o uso de dados biométricos para controle de ponto sem base legal adequada e sem RIPD constitui infração autônoma, independentemente de não ter ocorrido vazamento. O risco regulatório existe no tratamento irregular, não apenas no incidente.

Lições para times de dados, marketing e tecnologia

O erro mais caro não é o vazamento: é a descoberta de que dados sensíveis foram coletados e tratados sem base legal válida ao longo de anos. Revisitar o inventário de dados com foco específico nas categorias do artigo 5º, II é o ponto de partida inegociável.

Times de marketing precisam revisar critérios de segmentação em plataformas de mídia, pois inferências sobre saúde, religião ou orientação a partir de comportamento de navegação podem configurar tratamento de dado sensível mesmo sem coleta direta. Times de tecnologia precisam garantir que campos de texto livre em formulários sejam varridos periodicamente para identificar dados sensíveis inseridos espontaneamente pelos titulares.

Como avaliar a maturidade da sua organização no tratamento de dados sensíveis

Use as perguntas abaixo como checklist inicial para identificar lacunas prioritárias:

1. Inventário: sua organização tem mapeadas todas as categorias de dados sensíveis que coleta, armazena ou compartilha, incluindo dados coletados indiretamente por inferência?
2. Base legal: cada operação com dados sensíveis tem uma base legal válida do artigo 11 documentada e auditável?
3. Consentimento: quando a base é consentimento, ele é explícito, específico e registrado com data, canal e versão do texto apresentado?
4. RIPD: tratamentos de alto risco têm relatório de impacto elaborado, atualizado e disponível para apresentação à ANPD?
5. Minimização: os formulários e pipelines de coleta foram revisados para eliminar campos de dados sensíveis que não são estritamente necessários à finalidade declarada?
6. Segurança: dados sensíveis estão segregados logicamente, criptografados e com controle de acesso granular?
7. Resposta a incidentes: o plano de resposta a incidentes prevê procedimento específico para dados sensíveis, incluindo os prazos de notificação à ANPD?
8. Treinamento: as equipes de dados, marketing e tecnologia receberam capacitação específica sobre o regime jurídico dos dados sensíveis?

Qualquer “não” nessa lista representa um risco regulatório e reputacional concreto. A priorização dos itens deve considerar o volume de titulares afetados e a sensibilidade das categorias envolvidas: dados biométricos e de saúde em larga escala merecem atenção imediata.