O que são informações pessoais sensíveis

A Lei Geral de Proteção de Dados (LGPD) define dado pessoal sensível no Art. 5º, inciso II como uma categoria específica de informação que, por sua natureza, exige proteção reforçada. Não se trata apenas de identificar uma pessoa: dados cujo vazamento ou uso indevido pode gerar discriminação, dano à dignidade ou prejuízo concreto ao titular.

A distinção central é essa: um dado pessoal comum identifica. Um dado sensível expõe. Saber o nome e o CPF de alguém permite localizá-la. Saber sua condição de saúde, sua crença religiosa ou sua biometria abre margem para exclusão, perseguição ou manipulação.

A lei reserva a esse conjunto de informações um padrão mais elevado de exigências: bases legais mais restritas, consentimento com forma específica e proibição expressa de uso discriminatório. O legislador reconhece que certos dados, se mal tratados, podem violar direitos fundamentais, não apenas a privacidade, mas também a igualdade e a liberdade.

No cotidiano, muita gente não percebe que está lidando com dados sensíveis. Foto do rosto usada para reconhecimento facial, registro de ausências por motivo de saúde em sistemas de RH, histórico de acesso a aplicativos de saúde mental: todos se enquadram na categoria sensível e exigem tratamento diferenciado.

Quais categorias a LGPD classifica como sensíveis

O Art. 5º, II da LGPD lista um rol taxativo de categorias. São elas:

• Origem racial ou étnica
• Convicção religiosa
• Opinião política
• Filiação a sindicato ou a organização de caráter religioso, filosófico ou político
• Dados referentes à saúde
• Vida sexual e orientação sexual
• Dado genético
• Dado biométrico, quando vinculado a pessoa natural

Cada categoria representa um vetor de risco distinto. Dados de saúde podem impactar contratos de plano de saúde ou relações de emprego. Dados de orientação sexual podem expor pessoas a violência ou discriminação. Dados genéticos podem afetar não só o titular, mas seus familiares biológicos.

Comparando com o GDPR europeu, o rol é bastante similar. O regulamento europeu inclui ainda dados de condenações penais e infrações, categoria que na LGPD não aparece como sensível de forma explícita, mas que a ANPD e a doutrina reconhecem como merecedora de atenção equivalente. O GDPR também menciona dados sobre origem nacional; a LGPD se limita à origem racial ou étnica, o que pode gerar interpretações divergentes em alguns casos práticos.

Diferença prática entre dados pessoais e dados sensíveis

O que é dado pessoal comum

Nome, CPF, e-mail, endereço IP, número de telefone: esses dados identificam ou tornam identificável uma pessoa natural. São protegidos pela LGPD, mas não carregam, por si sós, o risco de discriminação ou dano direto que justifica proteção reforçada. A base legal para tratá-los é mais ampla; legítimo interesse, execução de contrato e outras hipóteses se aplicam com mais facilidade.

O que é dado sensível na prática

Um prontuário médico, uma leitura de impressão digital, um registro de filiação religiosa ou um exame de DNA revelam categorias que a lei quis proteger de forma especial. O risco não é apenas de exposição, mas de consequências: demissão, negativa de serviço, assédio, perseguição política.

Casos limítrofes e o efeito de agregação

Alguns dados parecem comuns, mas revelam informações sensíveis no contexto. Um histórico de localização frequente pode indicar que a pessoa frequenta determinado templo religioso ou clínica de saúde específica. Um padrão de compras pode revelar condição de saúde ou crença alimentar de fundo religioso.

Mais crítico ainda é o efeito de agregação: dados individualmente comuns, quando combinados, tornam-se sensíveis. Nome + endereço + frequência de visitas a clínicas oncológicas formam, juntos, um perfil que revela condição de saúde, mesmo que nenhum dos dados isolados seja classificado como sensível. Equipes de dados precisam considerar esse risco na fase de modelagem e no design dos pipelines.

Bases legais para tratar informações pessoais sensíveis

O Art. 11 da LGPD define as hipóteses em que o tratamento de dados sensíveis é permitido. O consentimento é a base mais conhecida, mas precisa ser destacado e específico: não basta um checkbox genérico de “aceito os termos”. O titular precisa consentir de forma separada e inequívoca para o tratamento de cada categoria sensível, com finalidade clara.

Quando não há consentimento, o tratamento só é lícito em situações específicas previstas em lei:

• Cumprimento de obrigação legal ou regulatória pelo controlador
• Políticas públicas previstas em lei ou regulamento
• Estudos e pesquisas, garantida a anonimização sempre que possível
• Exercício regular de direitos, inclusive em contratos e processos judiciais ou administrativos
• Proteção da vida ou da incolumidade física do titular ou de terceiros
• Tutela da saúde, em procedimentos realizados por profissionais da área ou entidades sanitárias
• Prevenção à fraude e segurança do titular, nos processos de identificação e autenticação em sistemas eletrônicos

O Art. 11, §1º proíbe expressamente o uso de dados sensíveis para fins discriminatórios ilícitos ou abusivos. Mesmo com base legal válida, a finalidade precisa ser legítima: usar dados de saúde para negar emprego viola a lei ainda que o dado tenha sido coletado de forma lícita.

Obrigações práticas para empresas e equipes de dados

Mapeamento e inventário

O primeiro passo é saber onde os dados sensíveis estão. Isso exige um inventário de dados (data mapping) que cubra sistemas, integrações, armazenamentos temporários e parceiros terceiros. Muitas organizações descobrem, durante esse processo, que dados sensíveis trafegam em lugares inesperados: logs de suporte, planilhas de RH, campos livres de formulários.

Minimização e controles de acesso

O princípio da minimização se aplica com força redobrada aqui: coletar apenas o estritamente necessário para a finalidade declarada. Se a finalidade não exige saber a origem étnica ou a condição de saúde, esses dados não devem ser coletados.

O acesso a dados sensíveis deve ser restrito por design. Controles baseados em função (RBAC), autenticação multifator e logs de auditoria detalhados são requisitos mínimos. Qualquer acesso deve ser rastreável: quem acessou, quando e com qual justificativa.

Avaliação de Impacto à Proteção de Dados (RIPD)

Quando o tratamento apresenta alto risco ao titular, como uso de biometria em larga escala, cruzamento de dados de saúde com decisões automatizadas ou compartilhamento de dados sensíveis com parceiros, a empresa deve conduzir um Relatório de Impacto à Proteção de Dados (RIPD). A ANPD pode exigir esse relatório e tem autoridade para solicitar ajustes antes que o tratamento comece.

Notificação de incidentes

Em caso de incidente de segurança envolvendo dados sensíveis, a notificação à ANPD é obrigatória e deve ocorrer em prazo razoável. A regulamentação vigente aponta para 72 horas como referência de boas práticas, alinhada ao GDPR, embora a LGPD não fixe esse prazo de forma expressa. O comunicado deve descrever a natureza do incidente, os dados afetados, os titulares envolvidos e as medidas adotadas.

Direitos do titular e como exercê-los no Brasil

Quais direitos estão previstos

A LGPD garante ao titular de dados sensíveis os mesmos direitos previstos para dados comuns, com algumas implicações adicionais. São eles: acesso aos dados tratados, correção de informações incompletas ou incorretas, portabilidade para outro fornecedor ou prestador, anonimização ou eliminação de dados desnecessários, e revogação do consentimento a qualquer momento.

No caso de dados sensíveis usados em decisões automatizadas, como análise de crédito com dados de saúde ou triagem de candidatos com biometria, o titular tem direito à revisão humana da decisão e à explicação sobre os critérios utilizados. Esse direito está previsto no Art. 20 da LGPD e é especialmente relevante em contextos de uso de inteligência artificial.

Como exercer os direitos na prática

O canal principal é o Encarregado de Proteção de Dados (DPO) da organização, cuja identidade e contato devem ser públicos. Empresas costumam disponibilizar também formulários específicos em seus portais de privacidade. O prazo legal para resposta é de 15 dias, contados da data do requerimento.

Se a empresa não responder dentro do prazo ou negar o exercício do direito sem justificativa válida, o titular pode registrar reclamação diretamente na ANPD pelo portal gov.br. A agência tem competência para investigar, orientar e aplicar sanções, que vão de advertência até multa de 2% do faturamento, limitada a R$ 50 milhões por infração.

Como avaliar se sua organização está adequada

Use as perguntas abaixo como checklist inicial. Elas não substituem uma auditoria formal, mas ajudam a identificar lacunas críticas rapidamente.

1. Você sabe quais dados sensíveis sua organização coleta e onde eles estão armazenados? Se a resposta depende de memória ou de planilhas não atualizadas, o inventário precisa ser refeito.
2. Existe base legal documentada para cada tratamento de dado sensível? A base precisa estar registrada antes do tratamento, não após um questionamento.
3. O consentimento para dados sensíveis é destacado e específico? Um aceite genérico de termos de uso não é suficiente.
4. Há controles de acesso restritos e logs de auditoria para dados sensíveis? Qualquer acesso deve ser rastreável.
5. Existe um processo documentado para responder a solicitações de titulares em até 15 dias? O processo precisa estar operacional antes de ser necessário.
6. Há um plano de resposta a incidentes que inclua a notificação à ANPD? O plano deve ser testado, não apenas documentado.
7. Tratamentos de alto risco passaram por RIPD? Se há uso de biometria, decisões automatizadas ou dados de saúde em escala, o relatório é indispensável.

Se mais de duas respostas forem negativas ou incertas, o ponto de partida recomendado é um mapeamento de dados com foco específico nas categorias sensíveis, envolvendo as áreas de TI, jurídico e o DPO, ou a contratação de um profissional com essa especialização, caso a função ainda não exista na estrutura.