O que são dados sensíveis segundo a LGPD

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) define dados sensíveis no artigo 5º, inciso II. A definição é precisa: trata-se de dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural identificada ou identificável.

A distinção entre dado pessoal comum e dado pessoal sensível não é apenas classificatória. Um dado comum, como nome, endereço ou e-mail, permite identificar alguém. Um dado sensível vai além: ele revela características que podem ser usadas para discriminar, excluir ou prejudicar o titular de forma direta. É esse potencial de dano que justifica o tratamento jurídico diferenciado.

A proteção reforçada existe porque certas categorias de informação carregam histórico comprovado de uso discriminatório. Dados de saúde usados para negar emprego, orientação sexual usada para assédio, origem étnica usada para segmentação predatória — todos são casos documentados no Brasil e no mundo. A LGPD responde a esse histórico com requisitos mais rígidos de coleta e uso.

Antes da LGPD, outras normas brasileiras já sinalizavam preocupação com categorias específicas. A Lei do Cadastro Positivo (Lei 12.414/2011), por exemplo, vedava expressamente o registro de informações de natureza sensível, como origem social, saúde e opção sexual, em bancos de dados de crédito. A LGPD sistematizou e ampliou essa proteção para todos os setores da economia.

Quais informações se enquadram como dados sensíveis

A lei enumera taxativamente as categorias. São dados sensíveis aqueles que dizem respeito a:

• Origem racial ou étnica
• Convicção religiosa
• Opinião política
• Filiação sindical ou a organização de caráter religioso, filosófico ou político
• Saúde
• Vida sexual
• Dado genético
• Dado biométrico, quando vinculado a pessoa identificável

No cotidiano, esses dados aparecem de formas diversas. Um resultado de exame de sangue armazenado em prontuário eletrônico é dado de saúde. A digital registrada no sistema de ponto eletrônico de uma empresa é dado biométrico. O campo “religião” preenchido em um cadastro de plano de saúde é convicção religiosa. A filiação a um partido político declarada em formulário de admissão é opinião política.

Há situações-limite que merecem atenção. Um dado comum pode adquirir natureza sensível dependendo do contexto de uso. O histórico de compras em uma farmácia, isoladamente, é dado comum. Mas se esse histórico revelar, de forma consistente, o tratamento de uma doença crônica, ele passa a funcionar como dado de saúde na prática, mesmo que juridicamente não seja classificado como tal desde a origem. O contexto de tratamento e a inferência possível importam.

A lei também não considera sensível tudo aquilo que o titular considera privado. Renda, endereço residencial, profissão, estado civil e hábitos de consumo são dados pessoais comuns. Eles merecem proteção, mas não a proteção reforçada reservada à categoria sensível. Confundir os dois grupos gera tanto excesso regulatório desnecessário quanto negligência onde a cautela seria obrigatória.

Dados sensíveis vs. dados pessoais comuns: principais diferenças

O ponto central da distinção é o grau de risco ao titular. Dados sensíveis têm maior potencial de gerar discriminação, estigma social, violência ou exclusão de oportunidades. Uma pessoa que tem seu diagnóstico de HIV exposto enfrenta riscos qualitativamente diferentes de alguém que tem seu e-mail divulgado sem autorização. A lei reconhece essa assimetria e calibra as exigências de acordo.

O consentimento é um dos pontos de maior divergência prática. Para dados pessoais comuns, a LGPD aceita consentimento em termos genéricos dentro de uma política de privacidade, desde que livre e informado. Para dados sensíveis, o consentimento precisa ser explícito e específico para cada finalidade. Um checkbox genérico de “aceito os termos” não é suficiente para autorizar o tratamento de dados sensíveis.

As bases legais disponíveis também diferem. Para dados comuns, a LGPD oferece dez hipóteses de tratamento (art. 7º), incluindo legítimo interesse. Para dados sensíveis, o art. 11º restringe as bases a apenas algumas situações: consentimento explícito do titular, cumprimento de obrigação legal, execução de políticas públicas, estudos por órgãos de pesquisa, exercício regular de direitos, proteção da vida, tutela da saúde por profissional habilitado e garantia de prevenção a fraudes. O legítimo interesse, por exemplo, não está disponível como base legal para dados sensíveis.

No mercado brasileiro, confusões frequentes ocorrem com CPF, endereço e renda. Nenhum desses é dado sensível pela LGPD. O CPF identifica uma pessoa, mas não revela características que gerem o risco discriminatório específico que a lei busca mitigar. O mesmo vale para o endereço e para informações financeiras, que têm proteção própria em outros normativos, como o sigilo bancário previsto na Lei Complementar 105/2001, mas não se enquadram na categoria do art. 5º, II da LGPD.

Como dados sensíveis devem ser tratados pelas empresas

O ponto de partida é o consentimento explícito com finalidade declarada. A empresa precisa informar, de forma clara e destacada, para que exatamente o dado sensível será usado. Não basta mencionar a coleta; é preciso especificar a finalidade, e o uso do dado fica restrito àquilo que foi consentido. Mudanças de finalidade exigem novo consentimento.

O princípio da necessidade, previsto no art. 6º, III da LGPD, tem peso redobrado quando o assunto são dados sensíveis. A empresa deve coletar apenas o mínimo indispensável para atingir a finalidade declarada. Se uma plataforma de RH não precisa saber a religião do candidato para avaliar competências técnicas, ela simplesmente não deve solicitar essa informação. A ausência de coleta é a proteção mais eficaz.

No plano técnico, algumas medidas são amplamente adotadas em operações que envolvem dados sensíveis:

• Criptografia em trânsito e em repouso: garante que os dados não sejam legíveis em caso de interceptação ou acesso não autorizado ao banco de dados.
• Controle de acesso granular: apenas os profissionais com necessidade legítima devem ter acesso a dados sensíveis, com logs de acesso auditáveis.
• Anonimização e pseudonimização: reduzem o risco residual em ambientes de teste, analytics e desenvolvimento.
• Segregação de dados: manter dados sensíveis em ambientes separados dos demais dados operacionais reduz a superfície de ataque.

O DPO (Data Protection Officer, ou Encarregado de Dados) tem papel central na supervisão do tratamento de dados sensíveis. Cabe a ele orientar as áreas internas sobre as hipóteses legais aplicáveis, revisar contratos com operadores que manipulam essas informações, receber reclamações de titulares e comunicar-se com a ANPD quando necessário. Empresas que tratam dados sensíveis em escala devem garantir que o DPO tenha acesso direto à alta administração e autonomia técnica para atuar.

O registro de operações de tratamento (ROPA, Record of Processing Activities) funciona como evidência de conformidade. Para dados sensíveis, esse registro deve conter, no mínimo: a categoria do dado, a base legal utilizada, a finalidade, o prazo de retenção, os destinatários e as medidas de segurança aplicadas. Em caso de auditoria ou incidente, o ROPA é o primeiro documento solicitado pela ANPD.

Riscos práticos para o titular: o que fazer se seus dados sensíveis forem expostos

Identificar um vazamento ou uso indevido de dados sensíveis pode não ser imediato. Alguns sinais de alerta incluem: recebimento de comunicações que revelam conhecimento indevido sobre sua saúde ou situação financeira; negativa de serviços sem justificativa clara; proposta de crédito ou seguro com condições muito piores do que o esperado; ou notícias de incidentes de segurança envolvendo empresas com as quais você tem cadastro.

A LGPD garante ao titular um conjunto de direitos que podem ser exercidos diretamente com a empresa:

• Acesso: saber quais dados sensíveis a empresa possui sobre você.
• Correção: corrigir dados incompletos, inexatos ou desatualizados.
• Eliminação: solicitar a exclusão dos dados tratados com base em consentimento.
• Revogação de consentimento: retirar a autorização de tratamento a qualquer momento, sem ônus.
• Portabilidade: receber seus dados em formato estruturado para transferência a outro fornecedor.

Se a empresa não responder ou a resposta for insatisfatória, o titular pode registrar reclamação diretamente na ANPD pelo canal oficial em gov.br/anpd. Outros órgãos também podem ser acionados conforme o contexto: o Procon estadual em relações de consumo, o Ministério Público e, em casos de dano efetivo, o Poder Judiciário para buscar reparação civil.

Em situações de golpe ou uso criminoso de dados sensíveis, como clonagem de identidade com dados biométricos ou extorsão com informações de saúde, o caminho imediato é o registro de Boletim de Ocorrência nas delegacias especializadas em crimes cibernéticos, presentes nos principais estados brasileiros. Documente tudo: prints, e-mails, contratos e qualquer evidência do uso indevido. Essa documentação é indispensável tanto para a investigação criminal quanto para eventual processo cível.

Perguntas frequentes sobre dados sensíveis

CPF e número de telefone são dados sensíveis?

Não. O CPF é um dado pessoal comum: identifica o titular, mas não revela nenhuma das características listadas no art. 5º, II da LGPD. O número de telefone segue a mesma lógica. Ambos exigem proteção como dados pessoais, mas não as salvaguardas específicas reservadas à categoria sensível. A confusão é comum porque esses dados são frequentemente alvo de fraudes, mas o risco de fraude não é o critério legal de classificação.

Empresas podem negar serviço se o titular não fornecer dados sensíveis?

Depende da finalidade e da base legal. Se o dado sensível é estritamente necessário para a prestação do serviço, como dados de saúde para um plano de assistência médica, a recusa do titular pode inviabilizar a contratação. Mas a empresa não pode condicionar o fornecimento de serviços não relacionados à coleta de dados sensíveis desnecessários. O art. 11, § 2º da LGPD veda o tratamento de dados sensíveis para fins de discriminação ilícita ou abusiva.

Como saber se uma empresa está tratando meus dados sensíveis de forma legal?

O primeiro passo é consultar a política de privacidade da empresa. Ela deve informar quais dados sensíveis são coletados, para qual finalidade, com qual base legal e por quanto tempo serão armazenados. Se essas informações não estiverem claras ou acessíveis, isso já é um sinal de inconformidade. O titular pode exercer o direito de acesso e solicitar formalmente essas informações. A empresa tem 15 dias para responder, conforme regulamentação da ANPD.

Qual a diferença entre dado sensível e informação confidencial no contexto corporativo?

São conceitos de naturezas distintas. Dado sensível é uma categoria jurídica definida pela LGPD, relacionada a pessoas naturais e ao risco de discriminação. Informação confidencial é uma classificação de segurança da informação que pode abranger segredos industriais, estratégias comerciais e dados financeiros da empresa, informações que não necessariamente envolvem pessoas físicas. Uma empresa pode ter informações confidenciais que não são dados pessoais, e pode tratar dados sensíveis que precisam de proteção legal específica, independentemente de como os classifica internamente em seus controles de segurança.

Como avaliar a maturidade da sua organização no tratamento de dados sensíveis

Use estas perguntas como ponto de partida para um diagnóstico interno:

• Mapeamento: sua organização sabe exatamente quais dados sensíveis coleta, onde estão armazenados e quem tem acesso?
• Base legal: para cada operação com dados sensíveis, há uma base legal do art. 11 claramente identificada e documentada no ROPA?
• Consentimento: os mecanismos de consentimento são explícitos, específicos por finalidade e permitem revogação fácil?
• Necessidade: há revisão periódica para verificar se todos os dados sensíveis coletados ainda são necessários à finalidade declarada?
• Segurança técnica: criptografia, controle de acesso e logs de auditoria estão implementados nos ambientes que contêm dados sensíveis?
• DPO: o encarregado de dados tem participação ativa na aprovação de novos projetos que envolvam dados sensíveis?
• Resposta a incidentes: existe um plano documentado para notificar a ANPD e os titulares em caso de incidente com dados sensíveis?

Se mais de três dessas perguntas gerarem respostas incertas, o ponto de partida prático é conduzir um inventário de dados focado especificamente nas categorias sensíveis antes de qualquer outra iniciativa de conformidade. Esse mapeamento é o alicerce de qualquer programa de privacidade que pretenda ser sustentável e auditável.