O que é dado sensível segundo a LGPD
A Lei Geral de Proteção de Dados (Lei 13.709/2018) define dado pessoal sensível no artigo 5º, inciso II como uma categoria especial de dado pessoal que recebe proteção jurídica reforçada. Não se trata de uma subcategoria criada por regulamentação secundária: está positivada na própria lei.
A distinção fundamental entre dado pessoal comum e dado pessoal sensível é o potencial discriminatório. Um dado comum pode identificar ou tornar identificável uma pessoa. Um dado sensível vai além: quando exposto ou mal utilizado, pode gerar discriminação, exclusão social, prejuízo econômico ou violência contra o titular.
A lógica da lei é proporcional ao risco. Quanto maior o potencial de dano causado pelo tratamento irregular de determinada informação, mais rigorosas são as exigências impostas ao controlador. Vazamentos envolvendo dados de saúde, origem étnica ou biometria têm consequências incomparavelmente mais graves do que a exposição de um endereço de e-mail.
Quais informações se enquadram como dados sensíveis
A LGPD traz uma lista taxativa, não exemplificativa. Somente as categorias expressamente previstas no artigo 11 são consideradas dados sensíveis para fins legais. Isso tem implicação direta: se uma informação não consta dessa lista, aplica-se o regime geral de dado pessoal, não o regime especial.
As categorias são:
- Origem racial ou étnica
- Convicção religiosa
- Opinião política
- Filiação a sindicato ou organização de caráter religioso, filosófico ou político
- Dados referentes à saúde ou à vida sexual
- Dado genético ou biométrico
Dados de saúde e vida sexual
Essa é a categoria com maior volume de tratamento no mercado brasileiro. Prontuários eletrônicos, registros de afastamento por doença no sistema de RH, histórico de sinistros em planos de saúde, resultados de exames e qualquer informação que revele condição física ou mental do titular se enquadram aqui.
Dados sobre vida sexual incluem orientação sexual e identidade de gênero. A exposição dessas informações sem consentimento pode configurar, além de violação à LGPD, discriminação com implicações trabalhistas e cíveis.
Dado genético e biométrico
Impressão digital, reconhecimento facial, padrão de íris, geometria da mão e sequenciamento de DNA são dados biométricos ou genéticos. O ponto crítico é a irrevogabilidade: ao contrário de uma senha comprometida, uma impressão digital exposta não pode ser trocada.
No contexto brasileiro, o uso de biometria para controle de ponto em empresas e para autenticação em aplicativos financeiros coloca muitas organizações diretamente nessa categoria, frequentemente sem a devida adequação.
Exemplos práticos no mercado brasileiro
Formulários de admissão de RH que perguntam sobre religião para alocação de feriados, plataformas de telemedicina que armazenam laudos e prescrições, aplicativos de crédito que inferem saúde financeira a partir de afastamentos trabalhistas e sistemas de reconhecimento facial em shoppings são casos reais que envolvem dados sensíveis, muitas vezes sem que os gestores responsáveis tenham plena consciência disso.
Bases legais permitidas para tratar dados sensíveis
O artigo 11 da LGPD lista as hipóteses que autorizam o tratamento de dados sensíveis. São mais restritas do que as dez bases legais disponíveis para dados comuns.
Consentimento específico e destacado
O consentimento para dados sensíveis precisa ser específico (para uma finalidade determinada) e destacado (visualmente separado de outros consentimentos no mesmo documento ou fluxo). Cláusulas genéricas em termos de uso não satisfazem esse requisito. O titular precisa compreender exatamente o que está autorizando.
Hipóteses sem consentimento
A lei permite o tratamento sem consentimento em situações específicas:
- Cumprimento de obrigação legal ou regulatória pelo controlador — por exemplo, exames admissionais exigidos pela CLT
- Execução de políticas públicas pela administração pública, com base em lei ou regulamento
- Estudos por órgão de pesquisa, garantida sempre que possível a anonimização dos dados
- Exercício regular de direitos em processo judicial, administrativo ou arbitral
- Proteção da vida ou da incolumidade física do titular ou de terceiro
- Tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde ou por entidades sanitárias
- Prevenção à fraude e segurança do titular, nos processos de identificação e autenticação em sistemas eletrônicos — hipótese incluída pela Lei do Governo Digital
Cada uma dessas hipóteses tem limites próprios. A empresa precisa ser capaz de demonstrar, documentalmente, que o tratamento se enquadra na base escolhida. Alegar a hipótese de forma genérica não basta.
Obrigações práticas para empresas que coletam dados sensíveis
Relatório de Impacto à Proteção de Dados (RIPD)
O tratamento de dados sensíveis em larga escala é um dos gatilhos que tornam obrigatória a elaboração do RIPD. Esse relatório documenta os riscos do tratamento, as medidas de mitigação adotadas e a proporcionalidade entre a finalidade e os dados coletados. A ANPD pode exigir o RIPD a qualquer momento.
Minimização com rigor aumentado
O princípio da minimização, coletar apenas o dado estritamente necessário para a finalidade declarada, aplica-se com mais severidade a dados sensíveis. Se um formulário de saúde ocupacional precisa registrar se o colaborador tem restrição para trabalho em altura, ele não precisa registrar o diagnóstico completo que gerou essa restrição.
Medidas técnicas e administrativas reforçadas
Dados sensíveis exigem controles proporcionalmente mais rigorosos:
- Criptografia em repouso e em trânsito para todos os campos que armazenam dados sensíveis
- Controle de acesso baseado em função (RBAC), garantindo que apenas quem precisa do dado para exercer sua função tenha acesso a ele
- Segregação de ambientes: dados sensíveis não devem coexistir em bancos de dados generalistas sem isolamento adequado
- Logs de auditoria detalhados sobre quem acessou, modificou ou exportou cada registro
Treinamento e responsabilização
Controlador e operador respondem solidariamente por violações decorrentes do tratamento irregular, incluindo falhas causadas por colaboradores não treinados. O treinamento de equipes de RH, saúde ocupacional, TI e atendimento ao cliente não é recomendação: é elemento de demonstração de conformidade perante a ANPD.
Riscos e penalidades pelo tratamento irregular
As sanções previstas no artigo 52 da LGPD incluem advertência, multa simples de até 2% do faturamento do grupo econômico no Brasil no último exercício (limitada a R$ 50 milhões por infração), multa diária, publicização da infração, bloqueio e eliminação dos dados.
A ANPD considera circunstâncias agravantes quando o tratamento irregular envolve dados sensíveis ou titulares pertencentes a grupos vulneráveis, como crianças, idosos e pessoas em situação de hipossuficiência econômica. Na prática, isso eleva o patamar das penalidades aplicadas.
Além das sanções administrativas, os titulares têm direito à reparação civil pelos danos sofridos. Ações individuais e coletivas contra empresas que vazaram dados de saúde ou biométricos já tramitam no Judiciário brasileiro, com pedidos de indenização que superam em muito o valor das multas regulatórias.
Casos emblemáticos no Brasil incluem o vazamento de dados de planos de saúde com exposição de diagnósticos e procedimentos de milhões de beneficiários, e incidentes com sistemas biométricos de bancos que expuseram templates de impressão digital. Nesses casos, o dano reputacional e o passivo jurídico gerado foram significativamente maiores do que o custo de prevenção teria sido.
Boas práticas para proteger dados sensíveis na operação
Mapeamento de fluxo de dados como ponto de partida
Antes de qualquer medida técnica, é preciso saber onde os dados sensíveis estão. O data mapping (ou RoPA — Record of Processing Activities) mapeia cada ponto onde dados sensíveis são coletados, armazenados, transmitidos e descartados. Sem esse mapa, qualquer programa de conformidade opera no escuro.
O mapeamento precisa cobrir não apenas sistemas internos, mas integrações com APIs de terceiros, planilhas locais mantidas por áreas de negócio e backups. Dados sensíveis frequentemente “escapam” para ambientes não controlados durante processos manuais.
Política de retenção e descarte
Dado que não é mais necessário precisa ser eliminado ou anonimizado. Isso exige prazos de retenção definidos por categoria de dado e por finalidade de tratamento, além de rotinas automatizadas ou procedimentos documentados de descarte seguro. Manter dados sensíveis além do prazo necessário é, por si só, uma irregularidade.
Revisão de contratos com fornecedores
Todo fornecedor, API ou serviço de nuvem que recebe dados sensíveis é um operador nos termos da LGPD. O contrato com esse fornecedor precisa prever: finalidade restrita do tratamento, medidas de segurança exigidas, notificação em caso de incidente, e proibição de subcontratação sem anuência. Contratos-padrão de SaaS raramente cobrem esses pontos de forma adequada para dados sensíveis.
Canal de atendimento ao titular
O titular tem direito de acessar, corrigir e solicitar a eliminação de seus dados sensíveis. O canal de atendimento precisa ser capaz de localizar esses dados em todos os sistemas, responder dentro dos prazos previstos (a ANPD referencia 15 dias para resposta ao titular) e executar a operação solicitada, o que pressupõe integração entre o canal de atendimento e os sistemas onde os dados estão armazenados.
Como avaliar sua situação atual
Use as perguntas abaixo como ponto de partida para uma avaliação interna:
- Você sabe quais sistemas da sua empresa armazenam ou transmitem dados sensíveis? Se a resposta não for imediata, o mapeamento de dados é a primeira prioridade.
- Para cada tratamento de dado sensível, você consegue identificar a base legal aplicável? Se a resposta for “consentimento” em todos os casos, há grande chance de que alguns usos não estejam cobertos de forma adequada.
- Seus contratos com fornecedores de tecnologia contemplam cláusulas específicas para dados sensíveis? Revise especialmente integrações com sistemas de RH, saúde ocupacional, autenticação biométrica e plataformas de saúde.
- O RIPD já foi elaborado para os tratamentos de alto risco que envolvem dados sensíveis? Se não, esse documento precisa ser priorizado antes de qualquer expansão de funcionalidades que tratem essas categorias.
- Sua equipe que opera dados sensíveis recebeu treinamento específico sobre as obrigações da LGPD? Registre as capacitações — elas são evidência de boa-fé em caso de investigação regulatória.
Adequação a dados sensíveis não é projeto pontual. É processo contínuo de revisão, documentação e melhoria, especialmente à medida que novos produtos, integrações e modelos de negócio são introduzidos na operação.
