O que a LGPD considera dado pessoal (não sensível)

O art. 5º, inciso I da LGPD define dado pessoal como “qualquer informação que identifique ou torne identificável uma pessoa natural”. A definição é propositalmente ampla: nome, e-mail, endereço IP e até uma combinação de características físicas podem se enquadrar, desde que permitam individualizar alguém.

Dentro dessa categoria existe uma subcategoria com proteção reforçada: os dados sensíveis, listados no art. 5º, inciso II. Todo dado sensível é, necessariamente, um dado pessoal, mas a recíproca não é verdadeira. A maioria dos dados que empresas coletam diariamente são pessoais comuns, não sensíveis.

A separação tem impacto direto nas operações. Dados pessoais comuns admitem dez bases legais de tratamento (art. 7º), enquanto dados sensíveis ficam restritos a hipóteses mais estritas previstas no art. 11. Classificar errado significa aplicar controles desnecessários ou, pior, controles insuficientes.

Exemplos de dados pessoais comuns (não sensíveis)

Identificação civil

Nome completo, CPF, RG, data de nascimento e filiação são dados pessoais por excelência: identificam diretamente a pessoa natural. Nenhum deles consta no rol taxativo de dados sensíveis. Isso não os torna irrelevantes do ponto de vista de segurança, mas significa que as obrigações de tratamento seguem o regime geral do art. 7º.

Contato e localização

Endereço residencial, e-mail, número de telefone e dados de geolocalização genérica (como cidade ou CEP) são exemplos clássicos de dados pessoais comuns. A geolocalização precisa e contínua merece atenção especial, ponto que será retomado adiante, mas isolada e em granularidade genérica não integra o rol sensível.

Dados financeiros e comportamentais

Histórico de compras, dados de cartão de crédito, limite de crédito e preferências de navegação são dados pessoais, mas a LGPD não os classifica como sensíveis. Exigem cuidado operacional elevado, inclusive por regulamentações setoriais como as do Banco Central, porém o regime jurídico aplicável é o do art. 7º, não o do art. 11.

Dados profissionais

Cargo, empresa empregadora, currículo e histórico de emprego identificam a pessoa no contexto profissional. São amplamente usados em plataformas de recrutamento, CRMs B2B e ferramentas de automação de marketing. Não há qualquer sobreposição com o rol taxativo de dados sensíveis.

Identificadores digitais

Endereço IP, cookies, identificadores de dispositivo (como IDFA ou Android Advertising ID) e identificadores de sessão tornam o usuário identificável mesmo sem revelar seu nome. A LGPD os trata como dados pessoais desde que permitam individualização, mas, novamente, não como sensíveis.

O que torna um dado pessoal sensível (e por que esses exemplos escapam dessa categoria)

O art. 5º, inciso II lista um rol taxativo: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização religiosa, filosófica ou política, dado referente à saúde ou à vida sexual, dado genético e dado biométrico. Taxativo significa fechado — a ANPD não pode ampliar esse rol por interpretação extensiva sem respaldo normativo.

O critério subjacente ao rol é o potencial discriminatório. Dados sensíveis são aqueles que, se revelados ou mal utilizados, podem gerar estigma, prejuízo desproporcional ou discriminação sistêmica ao titular. Um diagnóstico médico, uma filiação religiosa ou uma orientação sexual têm esse potencial de forma reconhecida historicamente.

CPF, e-mail e endereço identificam a pessoa, mas não revelam características capazes de acionar preconceito estrutural. Por isso ficam fora do rol, mesmo sendo dados valiosos e merecedores de proteção técnica rigorosa.

O ponto crítico está no contexto e na combinação. Um dado de localização genérico é comum; a localização repetida de uma pessoa toda sexta-feira à noite em determinado endereço pode revelar, por inferência, uma prática religiosa. Nesse caso, o dado derivado passa a ter natureza sensível, mesmo que os dados brutos originais não sejam. Esse fenômeno é chamado de inferência sensível e é um dos principais riscos em arquiteturas de CDP e CRM com segmentação avançada.

Bases legais aplicáveis ao tratamento de dados pessoais comuns

O art. 7º da LGPD prevê dez hipóteses de tratamento para dados pessoais comuns. As mais utilizadas no contexto de marketing e CRM são: consentimento do titular, execução de contrato, legítimo interesse do controlador e cumprimento de obrigação legal ou regulatória.

Consentimento não é a única nem necessariamente a melhor base para dados comuns. Operações de cobrança, entrega de produto e suporte ao cliente geralmente se enquadram em execução de contrato. Comunicações de relacionamento pós-venda costumam se apoiar em legítimo interesse, desde que acompanhadas de legítimo interesse assessment (LIA) documentado.

Para dados sensíveis, o art. 11 restringe as hipóteses: consentimento específico e destacado, obrigação legal, políticas públicas, estudos de pesquisa, exercício regular de direitos, proteção da vida, tutela da saúde e prevenção à fraude. A margem é consideravelmente menor.

Na prática de CDP e CRM, formulários de cadastro, segmentações por comportamento de compra e personalização de e-mail operam predominantemente com dados pessoais comuns. Isso amplia as opções de base legal disponíveis, mas não elimina a obrigação de documentar a escolha e respeitar os princípios de necessidade e finalidade do art. 6º.

Erros frequentes na classificação de dados pessoais no Brasil

Tratar dados financeiros como automaticamente sensíveis

É um equívoco comum, especialmente em empresas que migraram políticas de privacidade do GDPR europeu sem adaptação. O GDPR não lista dados financeiros como categoria especial, e a LGPD também não. O tratamento rigoroso é justificado por risco operacional e regulação setorial, não pela classificação legal de sensibilidade.

Ignorar o efeito de combinação

Cruzar nome, localização frequente e horário pode gerar inferência de dado sensível, seja crença religiosa, condição de saúde ou orientação sexual. Sistemas de CDP com enriquecimento de perfil e modelos preditivos são especialmente suscetíveis. A avaliação de risco de inferência sensível deve integrar o processo de modelagem de dados.

Confundir anonimização com pseudonimização

Dado pseudonimizado (por exemplo, substituir nome por hash reversível) ainda é dado pessoal segundo a LGPD, porque permite reidentificação com uso de chave. Apenas o dado genuinamente anonimizado, sem possibilidade técnica razoável de reidentificação, sai do escopo da lei. Usar o termo “anonimizado” para descrever dados pseudonimizados é um erro com consequências jurídicas.

Negligenciar dados de menores

Dados de crianças e adolescentes não integram o rol de dados sensíveis, mas o art. 14 da LGPD impõe regime de proteção especial: tratamento apenas no interesse superior do menor, com consentimento específico de pelo menos um dos responsáveis legais. Ignorar essa distinção é um dos erros mais graves em plataformas de e-commerce e aplicativos com público amplo.

Como avaliar e mapear dados pessoais no seu ROPA

O Registro de Operações de Tratamento (ROPA, do inglês Record of Processing Activities) é o instrumento central para documentar quais dados a organização trata, com qual finalidade e sob qual base legal. Para dados pessoais comuns, o processo de construção do ROPA pode seguir quatro passos.

Passo 1 — Inventariar. Liste todas as informações coletadas em cada ponto de contato (formulários, APIs, integrações, sistemas legados). Para cada campo, verifique se ele identifica ou torna identificável uma pessoa natural. Em caso positivo, o dado entra no escopo da LGPD.

Passo 2 — Classificar. Compare cada item com o rol taxativo do art. 5º, inciso II. Se houver correspondência, aplique o regime do art. 11 e os controles reforçados associados. Se não houver, o dado segue o regime geral do art. 7º. Documente a justificativa da classificação, não apenas o resultado.

Passo 3 — Avaliar contexto e combinações. Verifique se alguma combinação de dados comuns pode gerar inferência de característica sensível. Essa avaliação é especialmente relevante em modelos de segmentação por comportamento, scoring de propensão e enriquecimento de perfil com dados de terceiros. Quando o risco de inferência for identificado, aplique controles equivalentes aos de dados sensíveis.

Passo 4 — Documentar a base legal. Para cada categoria de dado mapeada, registre qual hipótese do art. 7º sustenta o tratamento. Evite usar consentimento como base padrão para tudo: além de criar sobrecarga operacional na gestão de revogações, pode ser questionado pela ANPD se houver base mais adequada disponível. A documentação deve ser revisada sempre que houver mudança de finalidade ou de tecnologia de tratamento.