O que são dados pessoais sensíveis segundo a LGPD

O Art. 5º, inciso II da Lei Geral de Proteção de Dados define dados pessoais sensíveis por meio de um rol taxativo, ou seja, fechado. Somente as categorias expressamente listadas na lei recebem essa classificação e o regime jurídico mais restritivo que vem com ela.

As categorias previstas são: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.

A distinção operacional entre dado comum e dado sensível é direta: para dados comuns, o Art. 7º oferece dez hipóteses de tratamento, incluindo legítimo interesse. Para dados sensíveis, o Art. 11 apresenta um conjunto mais restrito, sem essa hipótese. Processos de negócio inteiros precisam ser desenhados de forma diferente quando envolvem categorias sensíveis.

Os setores com maior incidência de dados sensíveis no Brasil são saúde (prontuários, resultados de exames, laudos), recursos humanos (dados de saúde ocupacional, filiação sindical), fintechs (biometria facial e digital para autenticação) e varejo (reconhecimento facial em lojas físicas). Esses setores concentram boa parte dos casos apreciados pela ANPD e das notificações de incidentes com impacto relevante.

Por que dados sensíveis exigem bases legais específicas

O princípio da necessidade, previsto no Art. 6º, IV da LGPD, determina que o tratamento deve se limitar ao mínimo necessário para atingir a finalidade declarada. Para dados sensíveis, esse princípio opera com mais rigor: qualquer coleta que extrapole o estritamente indispensável é, por si só, irregular.

O fundamento para o regime mais restritivo é o potencial de dano. Dados sobre saúde, origem racial ou convicção religiosa podem ser usados para discriminar titulares em processos seletivos, concessão de crédito, contratação de seguros e outros contextos de alto impacto. O risco de dano concreto justifica a exigência de uma base legal específica e mais qualificada.

O Art. 11 da LGPD cria um rol separado do Art. 7º, e as hipóteses não se sobrepõem livremente: o controlador não pode usar uma base do Art. 7º para justificar o tratamento de um dado que se enquadra no Art. 5º, II. Esse é um erro comum e potencialmente grave do ponto de vista regulatório.

A ausência de base legal válida configura tratamento irregular nos termos do Art. 44 da LGPD, expondo o controlador a advertências, multas de até 2% do faturamento limitadas a R$ 50 milhões por infração e publicização da infração, uma das sanções com maior impacto reputacional.

As hipóteses legais do Art. 11: quais são e o que cada uma exige

Consentimento específico e destacado

O consentimento para dados sensíveis não é o consentimento padrão do Art. 7º, I. O Art. 11, I exige que ele seja específico e destacado: deve ser colhido separadamente de outros consentimentos, com linguagem clara sobre qual categoria de dado sensível está sendo tratada e para qual finalidade exata. Termos genéricos como “aceito o tratamento dos meus dados” não são suficientes.

Na prática, isso significa formulários com campos distintos, checkboxes individuais por finalidade envolvendo dado sensível e redação que identifique explicitamente a categoria. Interfaces que agrupam consentimentos de dados comuns e sensíveis em uma única declaração são diretamente não conformes.

Cumprimento de obrigação legal ou regulatória

Quando uma norma jurídica impõe ao controlador a obrigação de tratar determinado dado sensível, essa hipótese se aplica. Exemplos: exigências de e-Social sobre dados de saúde ocupacional, obrigações da Resolução CFM para prontuários médicos ou exigências do Banco Central sobre autenticação biométrica. A obrigação precisa ser pré-existente, externa e específica, não uma conveniência interna.

Execução de políticas públicas

Aplicável exclusivamente à administração pública. Órgãos governamentais podem tratar dados sensíveis quando a política pública estiver prevista em lei ou regulamento e o tratamento for necessário à sua execução. Empresas privadas que prestam serviços ao governo não herdam automaticamente essa base legal e precisam verificar se há enquadramento próprio.

Estudos por órgão de pesquisa

Permite o tratamento por entidades de pesquisa, públicas ou privadas sem fins lucrativos com essa finalidade institucional, desde que a anonimização seja garantida sempre que possível. Essa hipótese não autoriza que empresas comerciais tratem dados sensíveis sob o rótulo de “pesquisa” sem atender a esses requisitos.

Exercício regular de direitos

Cobre o tratamento necessário para defesa em processos judiciais, administrativos ou arbitrais, bem como para cumprimento de obrigações contratuais que envolvam dado sensível. O escopo é limitado ao que for efetivamente necessário para a defesa ou execução contratual e não autoriza retenção ampla de dados sensíveis a título preventivo.

Proteção da vida ou incolumidade física

Hipótese de uso restrito a situações de emergência real. Aplica-se quando há risco concreto e imediato à vida do titular ou de terceiros e o tratamento do dado sensível é o único meio de mitigação disponível. Não serve como justificativa para coletas rotineiras.

Tutela da saúde

Destinada exclusivamente a procedimentos realizados por profissionais de saúde habilitados ou por autoridade sanitária. O médico, o enfermeiro, a clínica ou o hospital enquadram-se aqui. Empresas de tecnologia que desenvolvem plataformas de saúde não são, por si mesmas, titulares dessa base: precisam verificar se operam como operadores de um controlador que a detém.

Prevenção à fraude e segurança do titular

Permite o uso de dados biométricos e outros dados sensíveis em processos de identificação e autenticação com finalidade de prevenção a fraudes. Essa hipótese tem sido amplamente utilizada por fintechs e bancos para validação de identidade no onboarding digital. O tratamento deve ser proporcional ao risco de fraude documentado, não é uma carta branca para coletar biometria em qualquer contexto.

Como escolher a base legal adequada na prática

O ponto de partida é mapear a finalidade real do tratamento antes de qualquer seleção. Perguntar “qual base legal posso usar?” sem responder antes “para que exatamente esse dado será tratado?” inverte o processo e frequentemente leva à escolha errada.

Consentimento não é automaticamente a opção mais segura. Quando uma obrigação legal existe, ela é mais robusta do que o consentimento porque não pode ser revogado pelo titular. Quando a finalidade é tutela da saúde por profissional habilitado, essa base é mais precisa do que consentimento. O consentimento tende a ser a escolha correta quando não há outra hipótese aplicável, não como primeira opção por conveniência.

Bases legais não podem ser empilhadas para ampliar o escopo do tratamento. Se a finalidade declarada é prevenção a fraudes, o controlador não pode simultaneamente alegar consentimento para usar os mesmos dados com outras finalidades não cobertas pela primeira hipótese. Cada finalidade distinta exige base legal própria.

A decisão sobre a base legal deve ser documentada no Relatório de Impacto à Proteção de Dados Pessoais (RIPD). O Art. 38 da LGPD e a Resolução CD/ANPD nº 2/2022 orientam quando o RIPD é obrigatório; tratamento de dados sensíveis em larga escala é um dos critérios que aciona essa exigência.

Revise a base legal sempre que a finalidade ou o contexto mudar. Um dado coletado para tutela da saúde não pode ser posteriormente utilizado para marketing sem nova base legal adequada. Mudanças de finalidade sem revisão da base são uma das fontes mais comuns de não conformidade em empresas que crescem e expandem o uso de dados ao longo do tempo.

Erros frequentes e armadilhas a evitar

Consentimento genérico em formulários. Checkboxes únicos com texto como “concordo com o tratamento dos meus dados, incluindo dados sensíveis” não atendem ao requisito de especificidade e destaque do Art. 11, I. O erro é especialmente comum em formulários de cadastro e termos de uso de aplicativos.

Aplicar legítimo interesse a dados sensíveis. O Art. 11 não inclui legítimo interesse entre as hipóteses válidas. Essa é talvez a confusão mais frequente entre equipes jurídicas e de privacidade que trabalham com dados pessoais comuns e sensíveis simultaneamente. O controlador que tenta usar essa base para dados sensíveis está operando sem amparo legal.

Coletar por conveniência sem avaliar necessidade. Capturar dados biométricos porque a tecnologia está disponível, ou coletar dados de saúde porque “podem ser úteis no futuro”, viola o princípio da necessidade. A coleta precisa ser justificada por uma finalidade concreta e atual, não por possibilidades hipotéticas.

Não revisar contratos com operadores. Quando fornecedores de tecnologia processam dados sensíveis em nome do controlador (plataformas de RH, sistemas de saúde, ferramentas de autenticação), o contrato de operação precisa refletir as obrigações do Art. 11 e incluir cláusulas de segurança e confidencialidade proporcionais ao risco. Contratos genéricos de SaaS raramente cobrem essas exigências.

Como avaliar sua conformidade: checklist prático

Use os itens abaixo como referência para auditar o tratamento de dados sensíveis na sua organização. Cada ponto representa um controle mínimo, não um teto de conformidade.

• Identificação do dado: Antes de qualquer coleta, confirme se o dado se enquadra no rol taxativo do Art. 5º, II. Dados biométricos, de saúde e de origem racial são frequentemente tratados sem esse reconhecimento prévio.
• Seleção e documentação da base legal: Documente formalmente qual hipótese do Art. 11 se aplica, por qual finalidade e com qual justificativa. Essa decisão deve ser registrada e rastreável.
• Aviso de privacidade: Verifique se o aviso informa, de forma clara e acessível ao titular, a categoria de dado sensível tratada, a finalidade específica e a base legal correspondente. Avisos genéricos não atendem a esse requisito.
• Controles técnicos: Implemente criptografia em repouso e em trânsito, controle de acesso baseado em função (RBAC) e logs de auditoria para dados sensíveis. O nível de proteção deve ser proporcional ao risco do dado: dados de saúde e biométricos exigem controles mais rigorosos do que a maioria dos dados comuns.
• Processo de resposta a titulares: Garanta que pedidos de acesso, correção, eliminação e portabilidade referentes a dados sensíveis possam ser respondidos dentro do prazo legal. Dados sensíveis exigem atenção redobrada nesses fluxos, especialmente em casos de eliminação onde pode haver obrigação legal concorrente de retenção.
• Revisão periódica: Estabeleça ciclo de revisão das bases legais adotadas, anualmente ou sempre que houver mudança relevante de produto, processo ou regulação aplicável ao setor.