O que é dado pessoal sobre origem racial ou étnica

O art. 5º, II da LGPD define dado pessoal sensível como aquele que revela, direta ou indiretamente, a origem racial ou étnica do titular. Não apenas uma declaração explícita de raça configura esse tipo de dado: qualquer informação capaz de inferir essa característica também se enquadra na categoria.

Na prática, exemplos incluem autodeclarações em formulários de recrutamento, resultados de testes de ancestralidade genética, fotografias processadas por sistemas de reconhecimento facial com algoritmos de inferência étnica e dados de saúde que revelem condições associadas a determinados grupos étnicos.

A distinção entre dado pessoal comum e dado sensível é estrutural: dados comuns exigem uma base legal entre as oito previstas no art. 7º da LGPD, enquanto dados sensíveis só podem ser tratados sob as hipóteses mais restritas do art. 11. A régua é mais alta porque o potencial de dano discriminatório é significativamente maior.

O contexto brasileiro reforça essa escolha legislativa. O país tem uma das maiores diversidades étnicas do mundo e um histórico extenso de discriminação racial. A inclusão da origem racial ou étnica como dado sensível é resposta direta a vulnerabilidades concretas que afetam desproporcionalmente parte da população.

Como a LGPD classifica e protege esse dado

O art. 5º, II lista explicitamente a origem racial ou étnica ao lado de convicção religiosa, opinião política, filiação sindical, dado de saúde, dado sexual, genético e biométrico. Todos compartilham o mesmo regime jurídico reforçado, mas cada categoria carrega riscos específicos de discriminação.

Para tratar dados sensíveis, o controlador precisa se enquadrar em uma das hipóteses do art. 11. A principal é o consentimento do titular, mas não qualquer consentimento. A LGPD exige que ele seja específico e destacado, separado de outras autorizações, e que informe claramente a finalidade do tratamento.

O art. 11, § 1º proíbe expressamente o uso de dados sensíveis para fins discriminatórios ilícitos ou abusivos. Isso cobre tanto a discriminação direta quanto o uso indireto de dados raciais para segmentar ofertas, negar serviços ou tomar decisões automatizadas que penalizem grupos específicos.

A ANPD é o órgão responsável pela fiscalização. As sanções administrativas previstas na LGPD vão de advertência e multa de até 2% do faturamento da empresa no Brasil (limitada a R$ 50 milhões por infração) até a suspensão ou proibição do tratamento de dados. Em casos de dados sensíveis, a tendência regulatória é de tratamento mais rigoroso.

Situações em que o tratamento é permitido

O consentimento livre, específico, informado e inequívoco do titular é a base legal mais utilizada e, em muitos contextos privados, a única aplicável. Livre significa sem coerção ou condicionamento; específico exige que cada finalidade seja aprovada individualmente; informado demanda linguagem acessível sobre o que será feito com o dado.

Obrigações legais ou regulatórias autorizam o tratamento independentemente de consentimento. O exemplo mais direto no Brasil é a coleta do quesito raça/cor pelo IBGE em censos demográficos. Outro caso são as políticas de cotas em concursos públicos e vagas em universidades federais, onde a autodeclaração é exigida por lei.

O exercício regular de direitos em processos judiciais, administrativos ou arbitrais também habilita o tratamento. Se uma empresa precisa apresentar dados raciais como prova em uma ação de discriminação trabalhista, essa hipótese pode ser invocada, desde que o uso seja proporcional e limitado ao necessário.

A proteção da vida ou incolumidade física do titular ou de terceiros cobre situações de emergência. Em contextos de saúde, dados raciais podem ser clinicamente relevantes e seu uso pode ser justificado para salvar vidas, observada a proporcionalidade.

A prevenção à fraude e a segurança do titular, em processos de identificação, permitem o uso de dados biométricos e fotográficos, mas com limites claros. Inferir etnia a partir de imagens vai além do necessário para identificar uma pessoa e, portanto, não se sustenta nessa hipótese.

Riscos e armadilhas para empresas que coletam esse dado

A coleta desnecessária é o risco mais frequente. Empresas que incluem campo de raça/cor em formulários de cadastro sem finalidade definida violam o princípio da necessidade (art. 6º, III) e da minimização de dados. O simples fato de “ter o dado disponível para análises futuras” não justifica a coleta.

Sistemas de reconhecimento facial representam uma armadilha técnica relevante. Vários algoritmos comerciais inferem etnia como subproduto da identificação biométrica, mesmo quando isso não é o objetivo declarado. Sem consentimento explícito para essa inferência, a empresa trata dado sensível sem base legal.

Formulários que agrupam a autodeclaração racial junto a outros campos, sem destaque visual, sem explicação da finalidade e sem campo de consentimento separado, não atendem ao requisito de consentimento específico e destacado exigido pelo art. 11. A interface importa tanto quanto o texto jurídico.

O compartilhamento com terceiros é outro ponto crítico. Plataformas de publicidade comportamental, parceiros de analytics e data brokers frequentemente recebem dados que incluem características inferidas ou declaradas de origem racial. Sem cláusula contratual específica e base legal para o compartilhamento, o controlador responde solidariamente por esse uso.

A ausência de Registro das Operações de Tratamento (ROPA) para dados sensíveis aumenta a exposição em auditorias. A ANPD pode solicitar esse registro a qualquer momento, e a falta de documentação adequada agrava a avaliação da infração, mesmo quando o tratamento em si seria defensável.

Direitos do titular sobre seus dados raciais ou étnicos

O titular tem direito de acesso: pode solicitar à empresa confirmação de que seus dados de origem racial são tratados, bem como a finalidade, a base legal utilizada, o prazo de retenção e os eventuais destinatários. Esse direito independe de qualquer justificativa — basta a solicitação.

A retificação e o apagamento também estão disponíveis. O titular pode corrigir dados incorretos ou solicitar a exclusão quando o tratamento não tiver mais base legal, por exemplo, após revogar o consentimento. A retenção só é permitida quando houver obrigação legal que a sustente.

A revogação do consentimento é um direito irrenunciável e gratuito. O titular pode retirar a autorização a qualquer momento, sem precisar justificar a decisão e sem sofrer nenhum prejuízo pelo exercício desse direito. A empresa deve cessar o tratamento tão logo a revogação seja comunicada.

Na prática, esses direitos são exercidos por meio dos canais do encarregado de dados (DPO). A LGPD não define um prazo único para todas as respostas, mas a ANPD orienta que as empresas respondam em até 15 dias para confirmar a existência do tratamento. O silêncio ou a recusa injustificada constitui infração autônoma.

Boas práticas de conformidade para organizações

Avaliação de impacto antes de qualquer tratamento

Nenhum projeto que envolva coleta ou processamento de dados de origem racial deve começar sem uma Avaliação de Impacto à Proteção de Dados (DPIA). O documento deve mapear finalidade, base legal, riscos de discriminação, medidas de mitigação e alternativas menos intrusivas. Para dados sensíveis, a DPIA é praticamente mandatória do ponto de vista regulatório.

Consentimento granular e interface adequada

O consentimento para dados raciais deve estar em campo ou tela exclusiva, com linguagem direta sobre o que será coletado e para quê. Não pode estar embutido em termos gerais, nem ser pré-marcado. A interface deve tornar igualmente fácil consentir ou recusar, sem pressão visual ou textual.

Controles técnicos proporcionais ao risco

Pseudonimização separa o identificador pessoal do dado sensível, reduzindo o risco em caso de vazamento. Criptografia em repouso e em trânsito protege contra acessos não autorizados. Controle de acesso por perfil garante que apenas quem tem necessidade operacional real acessa esse tipo de dado. Os três controles devem ser combinados, não alternativos.

Treinamento de equipes-chave

RH, marketing e TI são as áreas que mais frequentemente lidam com dados sensíveis sem perceber. Treinamentos específicos sobre as restrições desta categoria — não apenas sobre LGPD em geral — reduzem o risco de tratamentos inadvertidos. O treinamento deve ser documentado e atualizado periodicamente.

Revisão contratual com fornecedores

Contratos com processadores e subprocessadores que possam ter acesso a dados raciais devem conter cláusulas equivalentes às obrigações da LGPD: finalidade restrita, proibição de compartilhamento com terceiros não autorizados, obrigação de notificação em caso de incidente e direito de auditoria. A transferência de dados sensíveis a um fornecedor sem esse nível de proteção contratual expõe o controlador a sanções.

Como avaliar a maturidade da sua organização neste tema

Um diagnóstico rápido pode ser feito com quatro perguntas objetivas:

• A organização sabe exatamente onde coleta dados de origem racial ou étnica? Se a resposta depende de “acho que sim”, o mapeamento de dados (data mapping) precisa ser refeito com foco em dados sensíveis.
• Existe base legal documentada para cada operação de tratamento envolvendo esse dado? A documentação deve ser localizável em até 24 horas para responder a uma auditoria da ANPD.
• Os sistemas de reconhecimento facial ou analytics de imagem foram auditados para verificar se inferem etnia como subproduto? Fornecedores raramente declaram isso voluntariamente — a pergunta precisa ser feita diretamente e por escrito.
• O canal de atendimento ao titular está preparado para responder a solicitações sobre dados sensíveis? Isso inclui ter scripts específicos, prazos definidos internamente e escalação clara para o DPO.

Se alguma dessas perguntas revelar lacuna, o passo seguinte é priorizar a regularização por ordem de risco: primeiro os tratamentos sem base legal, depois os controles técnicos, e por último a documentação e os contratos. A sequência importa porque reduz a exposição regulatória de forma mais eficiente do que tentar resolver tudo ao mesmo tempo.