O que a LGPD considera dado pessoal
O artigo 5º, inciso I da LGPD define dado pessoal como “qualquer informação referente a pessoa natural identificada ou identificável”. A definição é propositalmente ampla: não se restringe a documentos oficiais ou dados cadastrais. Qualquer fragmento de informação que permita chegar a uma pessoa física está sob o guarda-chuva da lei.
O critério central é a identificabilidade. Um dado que parece inócuo isoladamente pode se tornar pessoal quando combinado com outros. Um número de IP sozinho pode não identificar ninguém diretamente, mas cruzado com logs de acesso e dados de geolocalização, passa a ser dado pessoal. A ANPD segue a orientação europeia do GDPR nesse ponto.
Três categorias se distinguem na prática:
- Dado pessoal: identifica ou permite identificar uma pessoa natural.
- Dado pseudonimizado: o identificador direto é substituído por um código, mas a reidentificação é possível com informação adicional. Ainda é dado pessoal sob a LGPD.
- Dado anonimizado: a reidentificação é tecnicamente inviável com meios razoáveis. Não se enquadra como dado pessoal e escapa das obrigações da lei, mas o processo de anonimização precisa ser criterioso e documentado.
Exemplos de dados pessoais comuns
Identificadores diretos
Nome completo, CPF, RG, CNH e número de passaporte são os casos mais óbvios. Qualquer formulário que colete ao menos um desses já está tratando dado pessoal e precisa de base legal adequada, finalidade declarada e prazo de retenção definido.
Dados de contato
Endereço residencial, e-mail e número de telefone se enquadram como dados pessoais. Mesmo um endereço de e-mail corporativo no formato nome.sobrenome@empresa.com identifica a pessoa física por trás, não só a organização.
Dados digitais e comportamentais
Endereço IP, cookies de rastreamento, histórico de navegação e credenciais de login são dados pessoais digitais. Plataformas de analytics e ferramentas de personalização que coletam esse tipo de dado precisam de política de privacidade clara e, dependendo da finalidade, de consentimento explícito do titular.
Dados profissionais e financeiros
Cargo, salário, número de conta bancária e dados de cartão de crédito são dados pessoais com alto potencial de dano em caso de vazamento. Dados financeiros frequentemente atraem tratamento mais rigoroso por parte de órgãos reguladores setoriais como o Banco Central, empilhando obrigações sobre a LGPD.
Dados de localização
Coordenadas de GPS, endereço de entrega cadastrado em um e-commerce e localização em tempo real coletada por aplicativos móveis são dados pessoais. Dependendo da granularidade e da frequência de coleta, podem revelar rotinas, local de moradia e de trabalho, o que eleva o risco ao titular.
Exemplos de dados pessoais sensíveis
O artigo 5º, inciso II da LGPD lista categorias que recebem proteção diferenciada por envolverem riscos maiores de discriminação e dano social. São elas: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político.
Dados de saúde e vida sexual
Prontuários médicos, laudos, diagnósticos, prescrições e qualquer informação sobre condição de saúde são dados sensíveis. O mesmo vale para dados sobre orientação sexual e vida sexual do titular. Operadoras de saúde, clínicas, farmácias e plataformas de telemedicina lidam diariamente com esse tipo de dado e precisam de base legal específica: em geral, o consentimento específico e destacado do titular, ou tutela da saúde em contextos clínicos.
Dados genéticos e biométricos
Impressão digital, geometria da mão, reconhecimento facial, íris e DNA são dados biométricos e genéticos, portanto sensíveis. Sistemas de ponto eletrônico por biometria, controle de acesso físico por reconhecimento facial e testes genéticos diretos ao consumidor são casos comuns no mercado brasileiro que exigem atenção redobrada.
Por que o tratamento é mais exigente
Dados sensíveis só podem ser tratados nas hipóteses estritas do artigo 11 da LGPD, que são mais restritivas do que as bases legais gerais do artigo 7º. Não basta alegar legítimo interesse: esse fundamento sequer está disponível para dados sensíveis. Qualquer operação de tratamento precisa ser justificada com precisão, documentada e revisada periodicamente.
Dados pessoais de crianças e adolescentes
A LGPD, em conjunto com o ECA, estabelece proteção reforçada para menores de 18 anos. O tratamento de dados de crianças (até 12 anos incompletos) deve ser feito exclusivamente no melhor interesse delas, com consentimento dado pelo responsável legal. Para adolescentes, o cenário admite algumas nuances, mas o princípio da proteção prevalece.
A coleta mínima é obrigatória: só é permitido coletar os dados estritamente necessários para a finalidade declarada. Não é possível justificar campos extras de cadastro com “pode ser útil no futuro”.
Casos práticos recorrentes no Brasil:
- Cadastros escolares: nome, data de nascimento, filiação, dados de saúde e informações pedagógicas são dados pessoais (e frequentemente sensíveis) de menores.
- Plataformas de streaming e jogos infantis: perfis criados por responsáveis, histórico de consumo e preferências de conteúdo geram dados pessoais que não podem ser usados para publicidade comportamental direcionada a crianças.
- Aplicativos educacionais: dados de desempenho acadêmico e comportamento dentro da plataforma precisam de base legal sólida e não podem ser compartilhados com anunciantes.
Situações práticas do mercado brasileiro
Processos seletivos
Formulários de vaga que solicitam CPF, endereço completo, data de nascimento, dados de filiação e foto antes de qualquer entrevista estão, na maioria dos casos, coletando dados em excesso. O princípio da necessidade impõe que só sejam solicitados dados relevantes para aquela etapa do processo. Solicitar número de conta bancária antes da contratação efetiva, por exemplo, não tem justificativa legal clara.
SaaS e APIs de inteligência artificial
Quando textos, áudios ou documentos contendo dados pessoais são enviados para APIs de terceiros — sejam de transcrição, tradução, geração de conteúdo ou análise de sentimento — a empresa que faz o envio continua sendo controladora dos dados. O provedor da API assume o papel de operador. É obrigatório ter um contrato de processamento de dados (DPA) formalizado e verificar onde esses dados são armazenados e por quanto tempo.
E-commerce e CRM
Histórico de compras, preferências de produto, tickets de suporte e segmentações de marketing são dados pessoais tratados frequentemente por operadores: agências, plataformas de automação e ferramentas de CRM. A responsabilidade pelo tratamento adequado, incluindo a garantia dos direitos dos titulares, permanece com o controlador (o e-commerce), não com o fornecedor da ferramenta.
Incidentes clássicos: e-mails em cópia aberta
Enviar um comunicado para centenas de clientes com todos os e-mails no campo “Para” ou “CC” configura um incidente de segurança. Os destinatários tiveram acesso a dados pessoais de outros titulares sem autorização. Esse tipo de vazamento precisa ser avaliado pelo DPO, registrado internamente e, dependendo do risco gerado, comunicado à ANPD conforme o artigo 48 da LGPD.
Como classificar e mapear dados pessoais na sua operação
Inventário de dados (data mapping)
O ponto de partida é saber quais dados a organização efetivamente coleta, onde ficam armazenados, com quem são compartilhados e por quanto tempo são retidos. Esse mapeamento, chamado de registro de operações de tratamento ou ROPA, deve contemplar cada fluxo: coleta, armazenamento, processamento, transferência e descarte.
Um inventário funcional responde a pelo menos estas perguntas por conjunto de dados:
- Qual a finalidade do tratamento?
- Qual a base legal utilizada?
- Quem tem acesso interno?
- Quais terceiros recebem esses dados?
- Qual o prazo de retenção?
Princípio da minimização
Coletar apenas o que é necessário para a finalidade declarada não é só boa prática: é obrigação legal. Revisar formulários, APIs e integrações periodicamente para remover campos desnecessários reduz o risco de incidentes e simplifica o atendimento a requisições de titulares.
Ferramentas e boas práticas
O mercado oferece soluções especializadas em gestão de privacidade que automatizam parte do mapeamento e do registro de operações, com opções de diferentes portes e modelos de licenciamento disponíveis no Brasil. Independentemente da ferramenta, o processo precisa ser revisado sempre que um novo sistema, integração ou produto for lançado. Mudança de tecnologia sem revisão de privacidade é um risco frequentemente subestimado.
Quando acionar o DPO
O Encarregado de Proteção de Dados deve ser envolvido sempre que houver dúvida sobre a classificação de um dado (pessoal, sensível ou anonimizado), quando uma nova operação de tratamento for iniciada, antes de contratar um novo operador que acesse dados de titulares brasileiros e imediatamente após qualquer suspeita de incidente de segurança.
Próximos passos para sua operação
- Audite seus formulários atuais. Liste todos os pontos de coleta — site, aplicativo, CRM, RH — e verifique se cada campo tem finalidade justificada e base legal definida.
- Classifique seus dados. Separe dados pessoais comuns de sensíveis e identifique se há tratamento de dados de menores. Cada categoria exige controles diferentes.
- Formalize contratos com operadores. Todo fornecedor que acessa dados pessoais de seus titulares precisa de um DPA assinado com cláusulas mínimas exigidas pela LGPD.
- Estabeleça prazos de retenção. Dado sem prazo de exclusão definido tende a acumular indefinidamente, ampliando superfície de risco.
- Documente tudo. O princípio da responsabilização (accountability) da LGPD exige que a organização consiga demonstrar, a qualquer momento, que trata dados de forma adequada. Sem documentação, não há como provar conformidade.
