O que são dados sensíveis: definição legal pela LGPD

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) define dado pessoal sensível no Art. 5º, inciso II como todo dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.

O legislador criou essa categoria separada porque esses dados, quando expostos ou mal utilizados, têm potencial elevado de causar discriminação, estigmatização e violação de direitos fundamentais. Um dado de saúde vazado pode afetar a empregabilidade de alguém; a revelação de orientação sexual pode colocar uma pessoa em risco físico.

A distinção conceitual é simples na teoria, mas exige atenção na prática. Dado pessoal é qualquer informação que identifique ou torne identificável uma pessoa natural: nome, CPF, endereço de IP. Dado pessoal sensível é um subconjunto desse universo, vinculado a características que a lei considera de risco elevado e, por isso, sujeito a um regime jurídico mais restritivo.

Quais dados são considerados sensíveis: lista completa

Origem racial ou étnica e opiniões políticas

Informações sobre a raça ou etnia de uma pessoa entram nessa categoria independentemente de como foram coletadas: por autodeclaração em formulário ou inferida por algoritmo a partir de foto. Opiniões políticas abrangem preferências partidárias, posicionamentos ideológicos e histórico de filiação a movimentos políticos.

Convicções religiosas ou filosóficas e filiação sindical

Crenças religiosas e convicções filosóficas incluem tanto religiões institucionalizadas quanto sistemas de valores e cosmovisões pessoais. A filiação sindical merece atenção específica porque pode ser usada para discriminação no ambiente de trabalho, risco concreto e documentado em processos trabalhistas brasileiros.

Dados de saúde, genéticos e biométricos

Dados de saúde são os mais frequentes no dia a dia corporativo: prontuários, laudos, receitas médicas, histórico de plano de saúde, afastamentos por doença em registros de RH. Dados genéticos referem-se a informações derivadas de análise de DNA ou RNA. Dados biométricos (impressão digital, reconhecimento facial, geometria da íris) são sensíveis apenas quando vinculados à identificação de uma pessoa natural; uma foto genérica não se enquadra.

Orientação sexual e vida sexual

A LGPD protege tanto a orientação sexual (atração afetiva e/ou sexual) quanto informações sobre a vida sexual em sentido amplo. Essa proteção é relevante para plataformas de saúde, aplicativos de relacionamento, clínicas e qualquer serviço que colete esse tipo de dado, mesmo que de forma indireta.

Dado referente a criança ou adolescente

O Art. 5º, II não lista crianças e adolescentes explicitamente como categoria de dado sensível, mas o Art. 14 da LGPD impõe tratamento diferenciado e mais rigoroso para dados de menores de 18 anos. Na prática, a ANPD e a doutrina majoritária tratam esses dados com nível de proteção equiparado ao dos dados sensíveis, exigindo consentimento dos pais ou responsáveis.

Dados sensíveis vs. dados pessoais comuns: diferenças práticas

Bases legais disponíveis

Para dados pessoais comuns, o Art. 7º da LGPD oferece 10 hipóteses legais de tratamento: consentimento, legítimo interesse, execução de contrato, cumprimento de obrigação legal, entre outras. Para dados sensíveis, o Art. 11 restringe esse leque a um conjunto menor e mais exigente de bases, eliminando, por exemplo, o legítimo interesse como fundamento válido.

Consentimento com forma específica

Quando o consentimento é a base escolhida para dados sensíveis, ele precisa ser específico e destacado, com finalidade determinada. Não basta um checkbox genérico no rodapé da política de privacidade. O titular precisa entender exatamente qual dado sensível está sendo coletado e para qual finalidade, que não pode ser ampla ou vaga.

Exemplos do cotidiano

CPF, nome completo e endereço são dados pessoais comuns. Prontuário médico, resultado de exame genético e registro de impressão digital são dados sensíveis. Um e-mail marketing segmentado por faixa etária usa dado pessoal comum; uma campanha segmentada por condição de saúde usa dado sensível e exige base legal compatível.

Impacto em CRM e CDP

Na modelagem de sistemas de CRM e CDP, campos que armazenam dados sensíveis precisam de controles diferenciados: restrição de acesso por perfil, log de auditoria, criptografia e, idealmente, separação física ou lógica do restante da base. Campos como “observações de atendimento” são armadilhas frequentes: texto livre pode conter dados sensíveis inseridos por atendentes sem que haja controle formal.

Bases legais permitidas para tratar dados sensíveis

O Art. 11 da LGPD lista as hipóteses válidas. As principais para o ambiente corporativo são:

• Consentimento específico e destacado do titular (Art. 11, I): a base mais comum, mas que exige gestão cuidadosa de registros de consentimento (opt-in documentado, data, versão da política).
• Cumprimento de obrigação legal ou regulatória: hospitais tratam dados de saúde porque são obrigados por normas do CFM e da ANS; empregadores tratam dados de saúde de funcionários para cumprir obrigações da CLT e normas do SESMT.
• Exercício regular de direitos: inclui uso em processos judiciais, administrativos ou arbitrais — por exemplo, usar prontuário como prova em ação trabalhista.
• Proteção da vida ou incolumidade física: base aplicável em situações de emergência, quando o titular não pode consentir e há risco imediato à vida.
• Tutela da saúde, em caráter exclusivo, por profissionais de saúde ou entidades sanitárias: válida apenas quando há sigilo profissional e o tratamento é feito por quem tem obrigação deontológica de sigilo.

Ao contrário dos dados comuns, o legítimo interesse não está disponível como base legal para dados sensíveis. Organizações que estruturaram seu programa de privacidade usando legítimo interesse como base ampla precisam revisar esse mapeamento especificamente para campos sensíveis.

Riscos e consequências do tratamento inadequado

Sanções da ANPD

A Autoridade Nacional de Proteção de Dados pode aplicar advertência com prazo para adoção de medidas corretivas, multa de até 2% do faturamento do grupo econômico no Brasil no último exercício, limitada a R$ 50 milhões por infração, e publicização da infração, o que na prática equivale a uma sanção reputacional adicional. Infrações envolvendo dados sensíveis tendem a receber avaliação de gravidade mais alta nos critérios de dosimetria da ANPD.

Danos reputacionais

No setor de saúde e no setor financeiro, a perda de confiança após um incidente com dados sensíveis tem impacto direto em churn e em NPS. Pesquisas de mercado brasileiras indicam que consumidores são significativamente mais propensos a abandonar um plano de saúde ou banco após vazamento de dados médicos ou financeiros do que após vazamento de dados cadastrais genéricos.

Casos práticos no Brasil

Operadoras de planos de saúde foram alvo de investigações após vazamentos de dados de beneficiários que expuseram diagnósticos e histórico de internações. Sistemas de reconhecimento facial implantados sem base legal adequada geraram autuações e processos em varejistas e no setor de transportes. Em ambos os casos, a ausência de inventário claro dos dados tratados foi fator agravante.

Responsabilidade solidária

Quando uma empresa (controladora) contrata um fornecedor de tecnologia (operador) para processar dados sensíveis e há falha na cadeia — por exemplo, uma plataforma de telemedicina que subcontrata um servidor em nuvem sem cláusulas contratuais adequadas —, controlador e operador respondem solidariamente pelos danos causados ao titular, conforme o Art. 42 da LGPD.

Boas práticas para proteger dados sensíveis na sua organização

Mapeamento e inventário (ROPA)

O ponto de partida é saber onde os dados sensíveis estão. O Registro de Operações de Tratamento de Dados (ROPA, do inglês Record of Processing Activities) deve identificar cada fluxo de dado sensível: origem, finalidade, base legal, tempo de retenção, destinatários internos e externos. Sem esse mapeamento, qualquer outra medida fica comprometida.

Princípio da minimização

Coletar apenas o estritamente necessário para a finalidade declarada é obrigação legal (Art. 6º, III da LGPD) e boa prática de segurança. Se a finalidade é enviar uma receita médica digital, não há base para armazenar o histórico completo de diagnósticos do paciente. Formulários com campos opcionais de dados sensíveis devem ser revisados com frequência.

Controles técnicos

Dado sensível em repouso deve ser criptografado. Dado sensível em trânsito deve usar TLS 1.2 ou superior. Campos sensíveis em banco de dados devem ser mascarados para usuários sem necessidade operacional de acesso. Pseudonimização — separar o dado sensível do identificador direto — reduz o risco em caso de acesso não autorizado e pode ser argumento mitigador em análise de incidente pela ANPD.

Treinamento e revisão de políticas

Equipes de atendimento, RH, tecnologia e marketing precisam entender o que é dado sensível e o que não podem fazer com ele. Treinamentos anuais são o mínimo; o ideal é capacitação contextualizada por função, com exemplos reais do setor em que a organização atua. Políticas internas de privacidade devem ser revisadas sempre que houver mudança de sistema, novo produto ou novo fornecedor que envolva dados sensíveis.

Como avaliar se a sua organização está adequada

Use as perguntas abaixo como checklist inicial:

• Você tem um inventário atualizado que identifica todos os campos de dados sensíveis nos seus sistemas?
• Cada operação com dado sensível tem base legal documentada — e essa base não é legítimo interesse?
• Os consentimentos coletados para dados sensíveis são específicos, destacados e registráveis?
• Seus contratos com operadores (fornecedores de tecnologia, terceirizados) têm cláusulas de proteção de dados compatíveis com o nível de sensibilidade dos dados compartilhados?
• Há controles técnicos diferenciados — criptografia, mascaramento, log de acesso — para campos sensíveis nos seus CRM, CDP ou ERP?
• Sua equipe sabe identificar um dado sensível e sabe a quem reportar quando encontra um potencial incidente?

Se alguma resposta for negativa, esse é o ponto de partida para o próximo ciclo de adequação. Programas de privacidade maduros tratam o mapeamento de dados sensíveis como processo contínuo, não como projeto com data de encerramento.