O que a LGPD define como dados pessoais sensíveis

O artigo 5º, inciso II da Lei 13.709/2018 (LGPD) traz uma definição específica: dado pessoal sensível é aquele sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.

A distinção em relação ao dado pessoal comum não é apenas semântica. Um dado pessoal comum (nome, e-mail, endereço) pode causar transtornos se vazado, mas dados sensíveis carregam potencial de dano qualificado: discriminação no emprego, perseguição política, negativa de crédito ou seguro com base em condição de saúde.

A lista é taxativa, não exemplificativa. Não existe interpretação extensiva: ou o dado se enquadra em uma das categorias listadas no art. 5º, II, ou é tratado como dado pessoal comum, com regras menos restritivas.

Por que o legislador separou essas categorias

O fundamento está no risco elevado de discriminação e dano ao titular. Historicamente, informações sobre raça, religião ou condição de saúde foram, e ainda são, usadas para excluir, segregar ou prejudicar pessoas. A proteção reforçada existe porque o potencial de abuso é estruturalmente maior.

Dados genéticos merecem atenção especial: além de identificar o indivíduo, revelam predisposições de saúde e podem impactar parentes biológicos que nunca consentiram com nenhum tratamento.

Dados de crianças e adolescentes

Dados de crianças e adolescentes são sempre tratados como dados pessoais comuns com proteção especial pelo art. 14 da LGPD, mas podem também ser sensíveis se se enquadrarem nas categorias do art. 5º, II. Nesse caso, incidem as duas camadas de proteção simultaneamente, exigindo consentimento dos pais ou responsáveis e base legal válida para dado sensível.

Por que dados sensíveis exigem proteção reforçada

Para dados pessoais comuns, a LGPD lista dez bases legais possíveis no art. 7º, entre elas legítimo interesse, execução de contrato e cumprimento de obrigação legal. Para dados sensíveis, o art. 11 restringe drasticamente esse leque.

As hipóteses válidas para tratar dados sensíveis são: consentimento específico e destacado para finalidade determinada; cumprimento de obrigação legal ou regulatória; políticas públicas previstas em lei; estudos e pesquisas (com anonimização sempre que possível); exercício regular de direitos; proteção da vida ou incolumidade física; tutela da saúde por profissional ou entidade de saúde; prevenção à fraude e segurança do titular em processos de identificação; e proteção ao crédito. Legítimo interesse não está disponível para dados sensíveis.

Consequências do vazamento ou uso indevido

Além das sanções administrativas da ANPD, que podem chegar a 2% do faturamento, limitadas a R$ 50 milhões por infração, o vazamento de dados sensíveis abre caminho para ações de danos morais individuais e coletivas. A jurisprudência brasileira já reconhece dano in re ipsa em casos de exposição de dados de saúde, dispensando comprovação individualizada do prejuízo.

O risco reputacional é igualmente relevante. Incidentes envolvendo dados sensíveis de pacientes, funcionários ou consumidores tendem a receber cobertura de imprensa e gerar desconfiança duradoura.

Posição da ANPD

A Autoridade Nacional de Proteção de Dados publicou, até 2024, guias orientativos sobre bases legais e sobre proteção de dados de crianças e adolescentes. Em suas resoluções e notas técnicas, a ANPD reforça que o consentimento para dados sensíveis deve ser granular, separado por finalidade, e que cláusulas genéricas em termos de uso não atendem ao requisito legal. O órgão também sinalizou que tratamentos de alto risco envolvendo dados sensíveis serão alvo prioritário de fiscalização.

Exemplos práticos no contexto do mercado brasileiro

Setor de saúde

Prontuários eletrônicos, laudos de exames, registros de internação e dados de planos de saúde são dados sensíveis por definição: referem-se à saúde do titular. Hospitais, clínicas, operadoras e healthtechs precisam de base legal válida para cada operação de tratamento, seja coleta, armazenamento, compartilhamento com convênios ou análise por IA diagnóstica.

O compartilhamento com parceiros, como laboratórios, seguradoras e empresas de tecnologia, exige Acordo de Processamento de Dados (DPA) com cláusulas claras sobre finalidade, prazo e medidas de segurança.

RH e recrutamento

Processos seletivos frequentemente coletam informações que se tornam sensíveis sem que o RH perceba. Perguntar sobre deficiências (dado de saúde), exigir exame admissional detalhado ou solicitar certidão de antecedentes com informações de saúde mental são exemplos de coleta de dados sensíveis. A regra é coletar apenas o estritamente necessário para a finalidade, com base legal adequada.

Dados biométricos usados para controle de ponto também são sensíveis. A coleta exige consentimento específico do trabalhador; a CLT não autoriza o empregador a impor biometria sem alternativa.

Biometria em controle de acesso e autenticação

Sistemas de reconhecimento facial, leitores de impressão digital e tecnologias similares tratam dados biométricos, categoria sensível pela LGPD. Empresas que adotam essas soluções precisam de consentimento específico, política de retenção definida e, em muitos casos, RIPD. O dado biométrico não pode ser usado para finalidade diferente da originalmente consentida.

Integração com APIs de IA e transcrição de áudios

Quando uma empresa envia gravações de atendimento para APIs de transcrição ou análise de sentimento, pode estar transferindo dados sensíveis a terceiros sem perceber. Uma chamada de suporte a uma clínica pode conter diagnóstico, medicamentos ou relatos de saúde mental. Esse envio a fornecedores de IA constitui compartilhamento de dados sensíveis e exige base legal, DPA e avaliação de risco prévia.

Obrigações das empresas ao tratar dados sensíveis

Base legal explícita e consentimento granular

Toda operação de tratamento de dado sensível precisa de uma das hipóteses do art. 11 identificada e documentada. Quando a base for consentimento, ele deve ser específico: uma cláusula genérica de aceite de termos de uso não serve. O titular precisa saber exatamente qual dado sensível está sendo coletado, para qual finalidade, por quanto tempo e com quem será compartilhado.

Medidas técnicas e administrativas proporcionais ao risco

A LGPD não especifica tecnologias obrigatórias, mas exige medidas proporcionais ao risco do tratamento. Para dados sensíveis, o nível de risco é inerentemente mais alto, o que justifica criptografia em trânsito e em repouso, controle de acesso baseado em função (RBAC), logs de auditoria, anonimização onde viável e segmentação de redes.

A política de segurança deve ser revisada periodicamente e testada. Pentest e análise de vulnerabilidades não são opcionais em ambientes que armazenam dados sensíveis.

Relatório de Impacto à Proteção de Dados (RIPD)

O art. 38 da LGPD prevê que a ANPD pode exigir RIPD para tratamentos que possam gerar riscos às liberdades civis e aos direitos fundamentais. Tratamentos de dados sensíveis em escala, uso de biometria, perfilamento com dados de saúde e compartilhamento com terceiros internacionais são casos em que o RIPD é considerado obrigatório na prática regulatória, ainda que a ANPD não tenha publicado lista exaustiva.

Política de retenção e descarte seguro

Dados sensíveis não podem ser mantidos indefinidamente. A política de retenção deve definir prazos por categoria e finalidade, e o descarte deve ser seguro: sobrescrita, destruição física de mídias ou deleção criptográfica, conforme o meio de armazenamento.

Registro de operações de tratamento

O art. 37 obriga controladores e operadores a manter registros das operações de tratamento. Para dados sensíveis, o nível de detalhamento deve ser maior: base legal utilizada, finalidade específica, categorias de titulares, destinatários, transferências internacionais e medidas de segurança aplicadas.

Erros comuns e armadilhas a evitar

Coleta por hábito, sem avaliar necessidade

Muitas empresas coletam dados sensíveis porque sempre coletaram, não porque precisam. Formulários de cadastro que pedem raça, religião ou estado de saúde sem finalidade clara violam o princípio da minimização. A pergunta correta antes de qualquer coleta é: essa informação é estritamente necessária para a finalidade declarada?

Consentimento genérico em vez de específico

Um checkbox único de “aceito os termos e a política de privacidade” não atende ao requisito de consentimento específico e destacado para dados sensíveis. Cada categoria de dado sensível e cada finalidade de tratamento sensível precisam de consentimento separado, com linguagem clara e opção real de recusa sem prejuízo ao serviço.

Fornecedores e APIs sem DPA

Enviar dados sensíveis a fornecedores de cloud, APIs de IA, bureaus de análise de crédito ou plataformas de marketing sem um Acordo de Processamento de Dados é uma infração direta à LGPD. O controlador permanece responsável pelo dado mesmo após o repasse ao operador. O DPA precisa especificar finalidade, prazo, medidas de segurança e proibição de uso para outras finalidades.

Reidentificação de dados anonimizados

Dados anonimizados estão fora do escopo da LGPD, mas a anonimização precisa ser tecnicamente sólida. Combinações de atributos aparentemente inofensivos (CEP, data de nascimento, sexo) podem reidentificar um indivíduo com alta probabilidade. Se um dado sensível anonimizado puder ser reidentificado com esforço razoável, ele volta a ser dado pessoal sensível, e todas as obrigações legais retornam.

Como avaliar a maturidade da sua empresa no tratamento de dados sensíveis

Use as perguntas abaixo como checklist inicial. Cada resposta negativa indica uma lacuna que precisa ser endereçada antes de uma eventual fiscalização ou incidente.

• Você tem um inventário atualizado de todos os dados sensíveis que sua empresa coleta, trata e compartilha?
• Cada operação de tratamento de dado sensível tem uma base legal do art. 11 identificada e documentada no registro de operações?
• Os consentimentos obtidos para dados sensíveis são específicos por finalidade, destacados e revogáveis sem penalidade?
• Todos os fornecedores que recebem dados sensíveis assinaram um DPA com cláusulas adequadas?
• Existe política formal de retenção com prazos definidos e processo de descarte seguro?
• Foi realizado RIPD para os tratamentos de alto risco envolvendo dados sensíveis?
• As medidas técnicas (criptografia, controle de acesso, logs) estão implementadas e testadas?
• A equipe de RH, TI e atendimento foi treinada para reconhecer dados sensíveis em seus fluxos de trabalho?

Se mais de três respostas forem negativas, o risco regulatório e de incidente é significativo. O ponto de partida recomendado é o mapeamento de dados (data mapping), seguido da revisão de contratos com fornecedores e da adequação dos formulários de coleta de consentimento.