O que a LGPD define como dados pessoais sensíveis

O artigo 5º, inciso II da Lei Geral de Proteção de Dados (Lei nº 13.709/2018) define dado pessoal sensível como aquele sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.

Essa definição se distingue da de dado pessoal comum, que abrange qualquer informação capaz de identificar ou tornar identificável uma pessoa, como nome, endereço de e-mail ou número de telefone. O dado sensível é um subconjunto qualificado: além de identificar, carrega potencial elevado de gerar discriminação ou dano direto ao titular.

O legislador optou por um rol taxativo: as categorias são listadas de forma fechada, sem espaço para interpretação extensiva. Uma informação só é formalmente “sensível” nos termos da LGPD se se enquadrar em uma das categorias expressamente previstas no inciso II do art. 5º. Dados financeiros detalhados, por exemplo, não estão no rol, embora mereçam atenção em outras dimensões regulatórias.

A criação de uma categoria especial reflete uma lógica de proteção proporcional ao risco. Quanto maior o potencial de dano, como desemprego por condição de saúde, perseguição por crença religiosa ou discriminação por orientação sexual, mais rigorosas precisam ser as regras de coleta, uso e armazenamento.

Quais categorias constam no rol taxativo da LGPD

Origem racial ou étnica e opinião política

Dados sobre origem racial ou étnica incluem autodeclaração de cor ou raça, dados de ancestralidade e informações que permitam inferir pertencimento a um grupo étnico. Opinião política abrange posicionamentos partidários, histórico de votos em eleições internas de entidades e manifestações públicas vinculadas a ideologia.

O risco concreto é o uso dessas informações para decisões discriminatórias de contratação, concessão de crédito ou acesso a serviços, práticas vedadas pela própria LGPD e por legislação antidiscriminatória anterior.

Convicção religiosa ou filosófica e filiação sindical

Convicção religiosa compreende crenças, práticas de culto e afiliação a denominações. Convicção filosófica abrange sistemas de valores e cosmovisões que orientam a conduta do indivíduo. Filiação sindical indica vínculo com entidade representativa de trabalhadores, dado historicamente sensível em relações de trabalho.

Dados de saúde, genéticos e biométricos

Dados de saúde são os mais frequentes no contexto empresarial: prontuários, diagnósticos, resultados de exames, histórico de medicamentos, atestados médicos e informações de planos de saúde. Dados genéticos referem-se a características hereditárias obtidas por análise de DNA ou RNA. Dados biométricos são aqueles derivados de tratamento técnico específico de características físicas, fisiológicas ou comportamentais, como impressão digital, reconhecimento facial, íris e voz.

A LGPD exige que o dado biométrico esteja vinculado a uma pessoa natural para se enquadrar como sensível. Um template biométrico armazenado sem referência identificável ao titular pode ser tratado de forma distinta, mas essa distinção requer análise jurídica cuidadosa caso a caso.

Dados referentes à vida sexual ou orientação sexual

Essa categoria abrange informações sobre comportamento sexual, orientação afetiva e identidade de gênero. O risco de discriminação e violência associado ao vazamento desses dados é reconhecido internacionalmente como um dos mais graves entre as categorias sensíveis.

Dado de criança e adolescente

A LGPD não inclui “menor de idade” no inciso II do art. 5º, mas o artigo 14 estabelece regime específico e mais restritivo para o tratamento de dados de crianças e adolescentes. Na prática regulatória e doutrinária brasileira, esses dados são tratados com nível de proteção equivalente ao dos dados sensíveis, exigindo consentimento dos pais ou responsável legal e observância do melhor interesse do menor.

Diferença prática entre dado pessoal comum e dado sensível

Um dado pessoal comum, como nome, CPF, endereço ou e-mail corporativo, identifica o titular, mas seu uso indevido tende a gerar riscos de natureza patrimonial ou reputacional. Um dado sensível carrega risco adicional: o de expor o titular a preconceito, perseguição, exclusão ou violência com base em características que a sociedade ainda trata de forma discriminatória.

A diferença não é apenas conceitual. Ela determina qual base legal o controlador precisa invocar para tratar a informação, qual nível de especificidade é exigido no consentimento e qual o grau de detalhamento necessário nos registros de operações de tratamento.

Exemplos comparativos tornam a distinção concreta:

• Dado comum: nome completo e número de CPF coletados para emissão de nota fiscal.
• Dado sensível: prontuário médico com diagnóstico de doença crônica coletado por operadora de plano de saúde.
• Dado comum: endereço de entrega em plataforma de e-commerce.
• Dado sensível: impressão digital coletada para autenticação em PDV de varejo.

A classificação correta é o ponto de partida de qualquer programa de conformidade com a LGPD. Classificar erroneamente um dado sensível como comum é uma falha que pode resultar em base legal inadequada e sanções pela ANPD.

Bases legais permitidas para tratar dados sensíveis

Dados pessoais comuns podem ser tratados com base em dez hipóteses previstas no art. 7º da LGPD; os dados sensíveis têm um conjunto mais restrito, listado no art. 11. O legislador reduziu as possibilidades justamente para dificultar o tratamento sem justificativa sólida.

Consentimento específico e destacado

O consentimento para dados sensíveis precisa ser específico, vinculado a finalidades determinadas e não genérico, e destacado, separado de outros termos e condições, de forma que o titular perceba claramente o que está autorizando. Um checkbox único ao final de um longo contrato de adesão não atende a esse requisito.

Hipóteses sem consentimento

O art. 11, inciso II, lista situações em que o tratamento de dados sensíveis pode ocorrer sem consentimento:

• Cumprimento de obrigação legal ou regulatória pelo controlador.
• Execução de políticas públicas previstas em lei ou regulamento pela administração pública.
• Realização de estudos por órgão de pesquisa, garantida a anonimização sempre que possível.
• Exercício regular de direitos, inclusive em contratos e processos judiciais, administrativos e arbitrais.
• Proteção da vida ou da incolumidade física do titular ou de terceiros.
• Tutela da saúde, exclusivamente em procedimentos realizados por profissionais de saúde, serviços de saúde ou autoridade sanitária.
• Garantia da prevenção à fraude e à segurança do titular, em processos de identificação e autenticação.

Nenhuma dessas hipóteses autoriza uso para fins discriminatórios ilícitos ou abusivos, vedação expressa no § 1º do art. 11.

Finalidade e necessidade mais estritas

Os princípios da finalidade e da necessidade, presentes no art. 6º da LGPD, ganham peso redobrado com dados sensíveis. O controlador precisa demonstrar que a categoria de dado coletada é estritamente indispensável para a finalidade declarada. Coletar dado de saúde “para personalizar a experiência do usuário” sem especificidade maior dificilmente resiste a uma avaliação regulatória.

Exemplos práticos no contexto empresarial brasileiro

RH e folha de pagamento

Empresas processam dados de saúde de colaboradores em diversas situações: atestados médicos para abono de faltas, laudos para concessão de benefícios por incapacidade, informações sobre deficiência para cumprimento de cotas legais e histórico de uso de plano de saúde corporativo. A base legal mais comum é o cumprimento de obrigação legal, abrangendo CLT, normas trabalhistas e regulatórias do setor.

O acesso a esses dados deve ser restrito às áreas de RH e medicina do trabalho. Compartilhá-los com gestores diretos sem necessidade operacional comprovada já configura violação dos princípios de necessidade e de acesso mínimo.

Varejo e fidelidade

Programas de fidelidade que usam biometria facial para identificação de clientes no PDV coletam dado sensível. O consentimento precisa ser específico, não basta estar enterrado no regulamento do programa de pontos. O controlador também deve garantir que o template biométrico não seja compartilhado com terceiros sem base legal adequada.

Setor de saúde

Hospitais, clínicas, laboratórios e operadoras de planos de saúde são, por definição, grandes controladores de dados sensíveis. Prontuários eletrônicos, resultados de exames laboratoriais e histórico de prescrições precisam de controles de acesso rigorosos, trilha de auditoria e política de retenção definida. A interoperabilidade entre sistemas de saúde não elimina a necessidade de observar a LGPD em cada ponto de integração.

Fintechs e bancos

Autenticação biométrica, por impressão digital ou reconhecimento facial, é amplamente usada em aplicativos de banco e carteiras digitais. A base legal mais invocada é a prevenção à fraude e a segurança do titular (art. 11, II, “g”). Ainda assim, o controlador precisa registrar a operação, definir prazo de retenção e garantir que o dado biométrico não seja reaproveitado para finalidades não declaradas.

Obrigações e riscos para quem trata dados sensíveis

Registro de operações de tratamento (ROPA)

O Registro de Operações de Processamento de Atividades, exigido pela ANPD para controladores de médio e grande porte, deve detalhar, para cada operação envolvendo dado sensível: categoria do dado, base legal utilizada, finalidade, destinatários, prazo de retenção e medidas de segurança adotadas. O nível de detalhamento esperado é maior do que para operações com dados comuns.

Relatório de Impacto à Proteção de Dados (RIPD)

A ANPD pode exigir o RIPD sempre que o tratamento representar risco elevado aos titulares, e operações com dados sensíveis em larga escala quase sempre se enquadram nesse critério. Mesmo quando não há exigência formal, conduzir o RIPD de forma proativa é boa prática: ele força a organização a documentar riscos, medidas mitigadoras e a lógica da escolha da base legal.

Sanções em caso de incidente

A LGPD prevê sanções de até 2% do faturamento da empresa no Brasil, limitado a R$ 50 milhões por infração. Incidentes envolvendo dados sensíveis tendem a receber tratamento mais grave pela ANPD, tanto pela natureza do dano potencial quanto pela expectativa regulatória de que o controlador adote controles proporcionais ao risco. Multas, advertências com prazo para adequação e publicização da sanção são instrumentos previstos na lei.

Boas práticas operacionais

• Minimização: coletar apenas o dado sensível estritamente necessário para a finalidade declarada.
• Anonimização: quando o dado não precisa mais identificar o titular para cumprir a finalidade, deve ser anonimizado.
• Controles de acesso diferenciados: implementar controle de acesso baseado em função (RBAC) com segregação entre quem pode visualizar, editar e exportar dados sensíveis.
• Criptografia: dados sensíveis em repouso e em trânsito devem ser criptografados com padrões atualizados.
• Trilha de auditoria: registrar quem acessou o dado, quando e por qual motivo.

Como avaliar se sua organização está em conformidade

Um ponto de partida estruturado para quem precisa revisar o tratamento de dados sensíveis:

1. Inventário: mapeie todas as operações que coletam ou processam dados enquadrados no art. 5º, II. Inclua integrações com terceiros e fornecedores.
2. Base legal: para cada operação, verifique se a base legal utilizada está no rol do art. 11 e se há documentação que comprove a escolha.
3. Consentimento: se a base for consentimento, revise se ele é específico e destacado, não genérico ou agrupado com outros termos.
4. ROPA: confirme se o registro de operações está atualizado e com o nível de detalhamento exigido para dados sensíveis.
5. RIPD: avalie se as operações de maior risco possuem relatório de impacto conduzido e documentado.
6. Controles técnicos: audite criptografia, controle de acesso, trilha de auditoria e política de retenção para cada categoria de dado sensível identificada.
7. Treinamento: garanta que as áreas que operam dados sensíveis, como RH, saúde, TI e atendimento, entendam as obrigações específicas e saibam identificar um dado sensível no dia a dia.

A conformidade com as regras de dados sensíveis não é um projeto único: é um processo contínuo que acompanha a evolução do negócio, das tecnologias utilizadas e das orientações da ANPD.