O que são dados sensíveis segundo o GDPR

O Regulamento Geral de Proteção de Dados da União Europeia define, no Artigo 9, uma categoria especial de dados pessoais que exige proteção reforçada. Esses dados são chamados de “dados sensíveis”, embora o texto oficial use o termo “categorias especiais de dados pessoais”. A distinção terminológica não é apenas formal: ela sinaliza que o legislador europeu criou um regime jurídico apartado, com bases legais próprias e obrigações adicionais para quem os trata.

Todo dado pessoal identifica ou permite identificar uma pessoa natural. Os dados sensíveis fazem isso e, ao mesmo tempo, revelam características que podem expor o titular a discriminação, estigma ou dano desproporcional. Um endereço de e-mail é um dado pessoal comum. A origem étnica ou o diagnóstico de uma doença crônica carregam um potencial de uso indevido muito mais grave, daí o tratamento diferenciado.

O raciocínio do legislador europeu parte de uma análise de risco ao titular. Informações sobre saúde, crença religiosa ou orientação sexual podem ser usadas para recusar emprego, negar crédito, perseguir indivíduos ou alimentar sistemas de vigilância. A proteção reforçada existe para criar barreiras jurídicas e técnicas antes que esses danos ocorram.

Categorias de dados sensíveis listadas no Artigo 9

O Artigo 9 do GDPR elenca as categorias de forma taxativa. Não se trata de uma lista exemplificativa: se a informação não se enquadra em uma das categorias descritas, ela não recebe o regime especial de proteção, ainda que seja considerada delicada em outros contextos.

Origem racial ou étnica, opiniões políticas e crenças

A origem racial ou étnica cobre dados que revelem a ancestralidade ou pertencimento a grupos étnicos. Opiniões políticas incluem filiação partidária, posicionamentos ideológicos registrados e participação em campanhas. Crenças religiosas ou filosóficas abrangem tanto religiões institucionalizadas quanto cosmovisões seculares estruturadas, como veganismo ético ou pacifismo como princípio de vida.

Na prática, sistemas de CRM ou CDP que capturam preferências de conteúdo, respostas a pesquisas ou comportamento de consumo podem inferir essas categorias indiretamente. O EDPB (Comitê Europeu para Proteção de Dados) já alertou que dados derivados ou inferidos também podem se enquadrar nessas categorias se revelarem as características protegidas.

Dados de saúde, biométricos e genéticos

Dados de saúde são definidos no Artigo 4(15) como qualquer informação relacionada ao estado de saúde físico ou mental de uma pessoa, incluindo a prestação de serviços de saúde. Isso abrange diagnósticos, prescrições, resultados de exames, registros de planos de saúde e até o fato de uma pessoa ter consultado um médico especialista.

Dados biométricos são dados resultantes de tratamento técnico específico relacionado às características físicas, fisiológicas ou comportamentais de uma pessoa. Impressões digitais, reconhecimento facial, padrão de voz e geometria da íris são exemplos diretos. O ponto central é que esses dados permitem identificação única.

Dados genéticos referem-se a informações sobre características genéticas herdadas ou adquiridas, obtidas por análise de amostras biológicas como DNA ou RNA. Eles revelam não apenas informações sobre o titular, mas potencialmente sobre seus familiares biológicos, o que amplifica o risco.

Filiação sindical, vida sexual e orientação sexual

A filiação a sindicatos é protegida por seu potencial de discriminação no mercado de trabalho. Empregadores que conhecem a filiação sindical de colaboradores podem usar essa informação de forma prejudicial em decisões de promoção, demissão ou negociação coletiva.

Vida sexual e orientação sexual são categorias separadas na redação do Artigo 9. A distinção importa porque a orientação sexual é uma característica identitária, enquanto dados sobre vida sexual descrevem comportamentos. Ambas recebem proteção idêntica, dado o histórico de discriminação e violência associado à exposição dessas informações.

Dados relativos a condenações penais: Artigo 10

É um equívoco comum incluir dados sobre infrações penais e condenações na lista do Artigo 9. Eles são tratados pelo Artigo 10 do GDPR, que impõe restrição igualmente severa: o tratamento desses dados só pode ser realizado sob controle de autoridade pública ou quando o direito nacional da União o autorizar explicitamente. A separação é relevante porque as bases legais aplicáveis diferem parcialmente das do Artigo 9.

Bases legais para tratar dados sensíveis

O Artigo 9(1) estabelece uma proibição geral de tratamento de dados sensíveis. O parágrafo seguinte lista as exceções, e apenas essas exceções permitem o tratamento. Não existe margem para interpretação extensiva.

Consentimento explícito

Para dados comuns, o consentimento precisa ser livre, específico, informado e inequívoco. Para dados sensíveis, o GDPR adiciona o requisito de ser explícito. O titular deve manifestar concordância de forma ativa e clara para cada finalidade específica: uma caixa pré-marcada, um aceite genérico em termos de uso ou um consentimento coletivo não atendem esse requisito.

Na prática, formulários que coletam dados de saúde para personalização de produto precisam de campos de opt-in separados, linguagem clara sobre o que será feito com os dados e documentação da coleta do consentimento com timestamp e versão do aviso de privacidade vigente.

Exceções legítimas previstas no Artigo 9(2)

O GDPR reconhece outras situações que autorizam o tratamento além do consentimento:

• Obrigação legal ou exercício de direitos trabalhistas e de seguridade social (alínea b): empregadores podem tratar dados de saúde para cumprir obrigações de medicina do trabalho.
• Interesse vital (alínea c): quando o titular ou terceiro está em risco de vida e não pode consentir.
• Atividades legítimas de fundações, associações ou entidades sem fins lucrativos (alínea d): desde que o tratamento se restrinja aos membros e não haja divulgação a terceiros sem autorização.
• Dados manifestamente tornados públicos pelo próprio titular (alínea e): se a pessoa divulgou publicamente sua condição de saúde ou orientação sexual, esse fato específico pode ser tratado.
• Defesa em processos judiciais (alínea f): inclui procedimentos judiciais, administrativos e arbitrais.
• Interesse público substancial (alínea g): exige base no direito da União ou do Estado-Membro.
• Saúde e medicina (alínea h): diagnóstico, tratamento, gestão de sistemas de saúde, sempre sob sigilo profissional.
• Saúde pública (alínea i): ameaças transfronteiriças, controle de surtos, segurança de medicamentos.
• Pesquisa científica, histórica ou fins estatísticos (alínea j): sujeita a salvaguardas adequadas e ao princípio da minimização.

Documentação da base legal

Escolher a base legal correta não é suficiente: é preciso documentá-la. O Registro de Atividades de Tratamento (RoPA), exigido pelo Artigo 30, deve identificar a base legal aplicada a cada operação com dados sensíveis. Em caso de investigação ou incidente, a autoridade supervisora exigirá evidências concretas de que a base legal existia no momento do tratamento.

Organizações que operam em múltiplos Estados-Membros precisam verificar se há leis nacionais que complementam ou restringem as exceções do Artigo 9(2). A Alemanha, por exemplo, tem disposições específicas para dados sindicais e de saúde que vão além do texto do regulamento.

Situações sem base legal válida

Se nenhuma das exceções se aplica, o tratamento é ilícito, independentemente da relevância comercial ou operacional da finalidade. Plataformas de marketing que desejam segmentar usuários por condição de saúde para anunciar suplementos, por exemplo, dificilmente encontrarão uma base legal válida no GDPR. O interesse legítimo do controlador, base comum para dados pessoais comuns, não consta na lista de exceções do Artigo 9.

Obrigações práticas para organizações

DPIA obrigatória para tratamento em larga escala

O Artigo 35 do GDPR exige a realização de uma Avaliação de Impacto sobre a Proteção de Dados (DPIA) sempre que o tratamento de categorias especiais de dados ocorrer em larga escala. O EDPB define “larga escala” considerando o número de titulares, o volume de dados, a extensão geográfica e a duração do tratamento; não existe um número absoluto de registros que acione automaticamente a obrigação.

A DPIA deve descrever o tratamento, avaliar a necessidade e proporcionalidade, identificar riscos aos titulares e definir medidas para mitigá-los. Se os riscos residuais permanecerem altos mesmo após as medidas, a organização deve consultar previamente a autoridade supervisora antes de iniciar o tratamento.

Medidas técnicas: minimização, pseudonimização e criptografia

O GDPR não prescreve tecnologias específicas, mas o Artigo 25 exige privacidade desde a concepção (privacy by design) e por padrão (privacy by default). Para dados sensíveis, as medidas mais relevantes incluem:

• Minimização: coletar apenas o que é estritamente necessário para a finalidade declarada.
• Pseudonimização: separar identificadores diretos dos dados sensíveis, armazenando-os com chaves separadas e controles de acesso distintos.
• Criptografia: em repouso e em trânsito, com gerenciamento de chaves auditável.
• Tokenização: substituir valores sensíveis por tokens sem valor intrínseco nos sistemas de processamento.

Controles de acesso e RoPA para categorias especiais

O acesso a dados sensíveis deve seguir o princípio do menor privilégio. Isso implica revisão periódica de permissões, autenticação multifator para sistemas que armazenam essas categorias e logs de acesso auditáveis. O RoPA deve registrar, para cada atividade envolvendo dados sensíveis, a categoria específica, a base legal, os destinatários, os prazos de retenção e as medidas de segurança aplicadas.

Notificação de violações

Quando uma violação de dados envolve categorias especiais, o risco para os titulares é presumidamente alto. O prazo de 72 horas para notificação à autoridade supervisora (Artigo 33) conta a partir do momento em que o controlador toma conhecimento da violação. O EDPB deixou claro que “tomar conhecimento” não exige certeza absoluta sobre o escopo, apenas uma confirmação razoável de que ocorreu um incidente.

Se o risco para os titulares for elevado, a comunicação individual (Artigo 34) também é obrigatória. Para dados sensíveis, a análise de risco deve considerar o potencial de discriminação, exposição pública ou outros danos específicos decorrentes da revelação daquelas categorias.

GDPR e LGPD: comparativo sobre dados sensíveis

Categorias em comum e pontos de divergência

A Lei Geral de Proteção de Dados brasileira (Lei 13.709/2018) define dados sensíveis no Artigo 5º, inciso II e regulamenta seu tratamento nos Artigos 11 a 13. As categorias em comum com o GDPR incluem origem racial ou étnica, convicção religiosa, opinião política, saúde, vida sexual, dado genético e biométrico.

Há diferenças relevantes. A LGPD inclui explicitamente dados referentes à saúde ou à vida sexual como categoria única, enquanto o GDPR as trata separadamente. A LGPD também lista pertencimento a organização religiosa, filosófica ou política, o que é ligeiramente mais amplo que “opiniões políticas” do GDPR. A filiação sindical, por sua vez, está explícita no GDPR, mas não aparece textualmente no Artigo 5º da LGPD, embora possa ser interpretada como dado relativo a organização de trabalhadores.

Diferenças nas bases legais

O GDPR permite o tratamento de dados sensíveis com base em interesse público substancial definido em lei nacional, uma abertura que a LGPD não replica com a mesma amplitude. A LGPD, por sua vez, prevê a base de tutela da saúde exclusivamente por profissional de saúde ou entidade sanitária, o que é mais restritivo que a alínea (h) do GDPR, que admite gestão de sistemas e serviços de saúde de forma mais ampla.

Outro ponto: a LGPD autoriza o tratamento para exercício regular de direitos em processo judicial, administrativo ou arbitral de forma semelhante ao GDPR, mas inclui explicitamente o processo arbitral no texto, alinhando-se à realidade de resolução de disputas comerciais no Brasil.

Implicações para empresas brasileiras com operações na União Europeia

Empresas brasileiras que tratam dados de titulares europeus estão sujeitas ao GDPR quando oferecem bens ou serviços a esses titulares ou monitoram seu comportamento dentro da UE (Artigo 3(2)). Nesses casos, aplicar apenas os controles da LGPD é insuficiente.

As diferenças mais críticas para a operação prática envolvem o consentimento explícito (mais rigoroso no GDPR), a obrigatoriedade de DPIA em larga escala (a LGPD exige relatório de impacto, mas a regulamentação da ANPD ainda está em desenvolvimento) e os prazos de notificação de incidentes (72 horas no GDPR versus prazo a ser definido pela ANPD para cada caso).

Erros comuns e boas práticas no mercado brasileiro

Confundir dado pessoal comum com dado sensível

Um erro recorrente é tratar como dado comum informações que, por contexto, revelam características protegidas. Um histórico de compras em farmácia pode revelar condições de saúde. Dados de geolocalização frequente em uma clínica específica podem inferir diagnóstico. Plataformas de analytics e CDPs precisam mapear não apenas o dado coletado, mas o que ele pode revelar, especialmente quando cruzado com outras fontes.

Consentimento genérico onde a lei exige granularidade

Termos de uso com uma única caixa de aceite que cobre “todos os tratamentos de dados, incluindo dados de saúde para personalização” não atendem ao requisito de consentimento explícito do GDPR. O consentimento para cada categoria sensível e para cada finalidade distinta deve ser solicitado separadamente, com linguagem compreensível e opção real de recusa sem penalidade.

Ferramentas de gerenciamento de consentimento (CMPs) como OneTrust, Usercentrics e Cookiebot permitem configurar fluxos granulares, mas a configuração precisa ser revisada pelo jurídico, não apenas implementada tecnicamente.

Revisão de formulários, contratos e políticas de privacidade

Formulários de cadastro, questionários de saúde, fichas de RH e contratos de prestação de serviço são pontos de coleta frequentes de dados sensíveis. Cada campo deve ser avaliado quanto à necessidade (minimização), à base legal aplicável e ao alinhamento com o aviso de privacidade vigente. Políticas de privacidade que listam finalidades vagas como “melhorar a experiência do usuário” são insuficientes quando dados sensíveis estão envolvidos.

Guidelines do EDPB como referência técnica

O Comitê Europeu para Proteção de Dados publica orientações técnicas detalhadas que ajudam a interpretar o GDPR na prática. Documentos relevantes para dados sensíveis incluem:

• Guidelines 05/2020 sobre consentimento, com critérios específicos para consentimento explícito.
• Guidelines 03/2019 sobre dados de localização e ferramentas de dispositivos conectados.
• Guidelines 01/2022 sobre direitos dos titulares, incluindo direito de retirada de consentimento.
• Recomendações 01/2020 sobre medidas técnicas complementares para transferências internacionais, aplicáveis quando dados sensíveis são processados por suboperadores fora da UE.

Todos os documentos do EDPB estão disponíveis gratuitamente em edpb.europa.eu e servem como referência interpretativa mesmo para organizações que aplicam a LGPD, dado o alinhamento conceitual entre as duas legislações.

Como avaliar a conformidade da sua organização

Uma revisão estruturada do tratamento de dados sensíveis deve cobrir pelo menos os seguintes pontos:

1. Inventário de dados: identificar todos os fluxos onde categorias especiais são coletadas, processadas ou transmitidas, incluindo integrações com terceiros e suboperadores.
2. Mapeamento de bases legais: para cada fluxo identificado, documentar qual exceção do Artigo 9(2) ou equivalente da LGPD se aplica e como ela está evidenciada.
3. Revisão do RoPA: verificar se o registro de atividades reflete fielmente as operações com dados sensíveis, incluindo medidas técnicas e prazos de retenção.
4. Avaliação de DPIAs existentes: confirmar se DPIAs foram realizadas para tratamentos em larga escala e se as medidas de mitigação foram implementadas e monitoradas.
5. Auditoria de consentimentos: testar os fluxos de coleta de consentimento para garantir granularidade, linguagem clara e possibilidade real de recusa.
6. Teste de resposta a incidentes: verificar se o procedimento interno de resposta a violações contempla os prazos e procedimentos específicos para dados sensíveis.
7. Alinhamento entre GDPR e LGPD: para organizações com exposição a ambas as legislações, mapear as diferenças específicas e adotar o padrão mais restritivo como baseline.

Esse diagnóstico não precisa ser realizado de uma só vez. Uma abordagem por criticidade, começando pelos fluxos com maior volume ou maior risco, permite priorizar esforços e demonstrar progresso incremental perante as autoridades supervisoras, tanto a ANPD quanto as DPAs europeias.