O que são dados sensíveis e por que exigem regras mais rígidas

O art. 5º, inciso II da LGPD define dados pessoais sensíveis como aqueles referentes a origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.

A distinção em relação aos dados pessoais comuns não é meramente técnica. Dados comuns, como nome e endereço, podem causar danos quando expostos indevidamente. Dados sensíveis carregam potencial discriminatório intrínseco: uma informação sobre condição de saúde pode ser usada para negar emprego; dados biométricos comprometidos não podem ser trocados como uma senha.

Foi esse potencial ampliado de dano que levou o legislador brasileiro a criar um regime jurídico próprio para essa categoria. Enquanto dados comuns podem ser tratados com base em dez hipóteses do art. 7º, os dados sensíveis ficam sujeitos a um rol mais restrito, previsto no art. 11, com exigências formais mais rigorosas em praticamente todas as etapas do tratamento.

As bases legais do art. 11 da LGPD: visão geral

O rol do art. 11 é taxativo. O tratamento de dados sensíveis só é lícito quando enquadrado em uma das hipóteses expressamente previstas no dispositivo: não há interpretação extensiva nem aplicação analógica das bases do art. 7º.

Comparando os dois artigos, a diferença mais relevante para o ambiente corporativo é a ausência do legítimo interesse no art. 11. Empresas que tratam dados comuns com base nessa hipótese não podem simplesmente transferir o mesmo raciocínio para dados sensíveis. O legislador entendeu que o interesse legítimo do controlador não é suficiente para justificar o tratamento de informações com alto potencial discriminatório.

As hipóteses do art. 11 se dividem em dois blocos principais: o consentimento específico e destacado do titular (inciso I) e um conjunto de situações que dispensam o consentimento quando presentes requisitos objetivos (inciso II, alíneas “a” a “g”). Cada uma dessas situações exige documentação própria e não são intercambiáveis.

Consentimento específico e destacado: como coletar corretamente

O que a LGPD entende por “específico”

Consentimento específico significa que o titular deve ser informado, de forma clara, sobre qual dado sensível está sendo coletado e para qual finalidade determinada. Não é possível agrupar o consentimento para dados sensíveis junto a outros consentimentos genéricos em um bloco único de “aceito os termos e a política de privacidade”.

Se uma plataforma coleta dados de saúde para personalização de conteúdo e também dados biométricos para autenticação, são duas finalidades distintas e dois consentimentos distintos. A prática de empacotar ambos em uma única caixa de seleção viola diretamente o requisito de especificidade.

O requisito de destaque visual e linguístico

O consentimento deve ser destacado. Em interfaces digitais, isso implica separação visual clara do restante do formulário ou documento: caixas destacadas, fonte em negrito ou fluxo de consentimento em etapa dedicada. Em documentos físicos, o campo relativo a dados sensíveis deve estar visivelmente diferenciado.

A linguagem também importa. A LGPD exige que a informação seja prestada de forma clara e adequada. Termos jurídicos excessivamente técnicos, sem tradução ao usuário leigo, podem comprometer a validade do consentimento em eventual questionamento pela ANPD ou em litígios.

Registro e armazenamento da evidência

O controlador tem o ônus de demonstrar que o consentimento foi obtido de forma válida. Isso exige armazenar a evidência do consentimento com metadados que permitam identificar: quem consentiu, quando, em qual versão do formulário ou política, e para qual finalidade específica.

Soluções de gestão de consentimento (consent management platforms) costumam oferecer esse registro de forma estruturada, mas independentemente da ferramenta utilizada, o dado de consentimento deve ser tratado como dado crítico de governança: não pode ser excluído na mesma lógica dos dados operacionais.

Revogação do consentimento e seus efeitos

O titular tem o direito de revogar o consentimento a qualquer momento, por procedimento gratuito e facilitado. A revogação não retroage: o tratamento realizado anteriormente de forma lícita permanece válido, mas a partir do momento da revogação o controlador deve encerrar o tratamento baseado naquele consentimento.

Isso cria uma obrigação operacional concreta: o sistema precisa ser capaz de segmentar os dados tratados com base em consentimento daqueles tratados com outras bases legais. Sem essa separação, a revogação se torna impossível de implementar na prática sem comprometer operações inteiras.

Hipóteses que dispensam o consentimento para dados sensíveis

Cumprimento de obrigação legal ou regulatória

Empregadores que coletam dados de saúde ocupacional no contexto do eSocial, ou que monitoram condições de trabalho para cumprimento de normas regulamentadoras do Ministério do Trabalho, têm base legal no art. 11, inciso II, alínea “a”. A obrigação legal precisa ser identificável e documentada: não basta alegar genericamente que “a lei exige”.

Operadoras de planos de saúde que reportam informações às agências reguladoras, ou laboratórios que comunicam doenças de notificação compulsória às autoridades sanitárias, estão em situação análoga. O registro do ato normativo que fundamenta o tratamento deve constar do mapeamento de dados da organização.

Execução de políticas públicas pela administração pública

Esta hipótese é restrita à administração pública e exige que a política pública esteja prevista em lei ou regulamento, ou que seja respaldada por contratos, convênios ou instrumentos similares. Há ainda um requisito de publicidade: o ato que fundamenta o tratamento deve ser acessível ao titular.

Empresas privadas que prestam serviços ao poder público precisam verificar se estão atuando como operadoras sob instrução do controlador público. Nesse caso, a base legal pertence ao ente público, e o contrato entre as partes deve refletir essa estrutura de responsabilidade.

Estudos por órgão de pesquisa

Instituições de pesquisa, como universidades, institutos e entidades similares, podem tratar dados sensíveis sem consentimento para fins de estudos, desde que garantida a anonimização sempre que possível. Quando a anonimização não for viável, a pseudonimização deve ser adotada como medida de mitigação.

“Órgão de pesquisa” não é qualquer empresa que realiza pesquisa de mercado. A ANPD ainda não publicou regulamentação definitiva sobre o escopo desse conceito, mas há consenso técnico de que se trata de entidades cuja atividade-fim é a produção de conhecimento científico ou tecnológico, não a exploração comercial direta dos dados.

Exercício regular de direitos

Dados sensíveis podem ser tratados sem consentimento quando necessários ao exercício regular de direitos em contratos, processos judiciais, administrativos ou arbitrais. Uma seguradora que precisa de dados de saúde para contestar um sinistro fraudulento, ou um escritório de advocacia que utiliza dados do cliente em um processo, enquadra-se nessa hipótese.

O ponto crítico é a proporcionalidade: o tratamento deve ser limitado ao que é estritamente necessário para o exercício do direito em questão. Coletar dados sensíveis de forma ampla “por precaução” para eventuais litígios futuros não atende ao requisito de necessidade.

Prevenção à fraude e segurança do titular

A alínea “g” do inciso II permite o tratamento de dados sensíveis para prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos. Essa hipótese é frequentemente invocada por instituições financeiras e fintechs que utilizam dados biométricos em processos de onboarding.

A aplicação correta exige que o tratamento seja destinado à proteção do próprio titular, não ao interesse comercial do controlador. Usar biometria para prevenir fraudes no cadastro é diferente de usá-la para criar perfis comportamentais de consumo. A segunda finalidade exige base legal distinta.

Armadilhas comuns na escolha da base legal

Consentimento genérico em termos de uso. A prática de incluir, no rodapé de um termo de uso extenso, uma cláusula que “autoriza o tratamento de todos os dados fornecidos, incluindo dados sensíveis” é inválida. O consentimento para dados sensíveis exige especificidade e destaque: um checkbox genérico não preenche esse requisito.

Invocar legítimo interesse para dados sensíveis. Esse é um erro recorrente em empresas que já possuem políticas de privacidade estruturadas para dados comuns e tentam replicar o mesmo framework para dados sensíveis. O legítimo interesse simplesmente não existe no art. 11. Utilizá-lo como justificativa é ausência de base legal, não escolha incorreta de base legal.

Acúmulo sem finalidade definida. Organizações que coletam dados sensíveis “porque podem ser úteis no futuro” estão operando sem base legal. A LGPD exige finalidade específica e legítima desde o momento da coleta. Dados sensíveis armazenados sem propósito claro representam passivo regulatório direto perante a ANPD.

Não revisar a base legal quando a finalidade muda. Se um dado de saúde foi coletado com base em consentimento para uma finalidade X e o controlador passa a usá-lo para a finalidade Y, é necessário verificar se a nova finalidade é compatível com o consentimento original — e, para dados sensíveis, em geral não será. Uma nova base legal será necessária.

Boas práticas de governança para o tratamento de dados sensíveis

Mapeamento de dados com identificação de categorias sensíveis

O data mapping da organização deve identificar explicitamente quais campos ou conjuntos de dados se enquadram como sensíveis, qual a base legal aplicada a cada operação de tratamento, e quem é o responsável pela manutenção dessa informação. Sem essa granularidade, é impossível responder a uma requisição da ANPD ou a um pedido de acesso do titular com precisão.

Ferramentas de descoberta de dados (data discovery) podem ajudar a identificar onde dados sensíveis estão armazenados em ambientes complexos, mas o mapeamento precisa ser mantido atualizado por processos humanos: nenhuma ferramenta automatiza completamente a atribuição de base legal.

Relatório de Impacto à Proteção de Dados (RIPD)

Para operações de tratamento de dados sensíveis em larga escala, ou que envolvam tecnologias como reconhecimento facial ou análise de dados de saúde, a elaboração do RIPD deixa de ser recomendação e passa a ser exigência prática. A ANPD pode requisitar o documento a qualquer momento, e sua ausência é interpretada como falha de governança.

O RIPD deve documentar: a descrição do tratamento, a necessidade e proporcionalidade, os riscos identificados e as medidas adotadas para mitigação. Não é um documento estático: deve ser revisado quando o tratamento muda de escopo, tecnologia ou finalidade.

Controles técnicos adicionais

Dados sensíveis exigem camadas adicionais de proteção técnica. Criptografia em repouso e em trânsito é o mínimo esperado. Pseudonimização, que consiste em separar os identificadores diretos dos dados sensíveis em conjuntos distintos, reduz o impacto de eventuais incidentes. Controle de acesso baseado em necessidade (need-to-know) garante que apenas quem precisa do dado para exercer sua função tem acesso a ele.

Logs de acesso a bases que contêm dados sensíveis devem ser mantidos e auditados periodicamente. Um acesso indevido que não foi registrado é um incidente que não pode ser investigado, e a ausência de investigação adequada é, por si só, uma falha regulatória.

Treinamento de equipes

As restrições aos dados sensíveis precisam ser compreendidas não só pelo time jurídico e de privacidade, mas pelas equipes de produto, marketing, TI e operações que lidam com esses dados no dia a dia. Um desenvolvedor que não sabe que está manipulando dados biométricos ou de saúde pode criar fluxos que violam a LGPD sem nenhuma intenção.

Treinamentos devem ser práticos e contextualizados para cada área: o que dados sensíveis significam no contexto de um sistema de RH é diferente do que significam em uma plataforma de telemedicina ou em um sistema antifraude de banco.

Como avaliar se sua organização está em conformidade

Um ponto de partida consistente é responder, para cada operação de tratamento de dados sensíveis identificada no mapeamento, às seguintes perguntas:

• Qual é a base legal específica do art. 11 que justifica este tratamento?
• Há evidência documentada de que essa base legal está atendida (consentimento registrado, norma legal identificada, contrato formalizado)?
• A finalidade do tratamento está claramente definida e compatível com a base legal escolhida?
• Quando houve mudança de finalidade ou escopo, a base legal foi reavaliada?
• Os controles técnicos aplicados são proporcionais ao nível de sensibilidade e risco do dado?
• Existe um RIPD elaborado ou em revisão para as operações de maior risco?

Se alguma dessas perguntas não tiver resposta documentada, esse é o ponto de partida para a correção. A ANPD tem demonstrado, em seus posicionamentos e guias orientativos, que espera das organizações não apenas conformidade formal, mas capacidade de demonstrar as decisões tomadas e os critérios utilizados: o que os profissionais de privacidade chamam de accountability substantivo.