O que diz a LGPD sobre dado pessoal

A LGPD define dado pessoal no Art. 5º, inciso I da Lei 13.709/2018: “informação relacionada a pessoa natural identificada ou identificável”. A definição é propositalmente ampla. O legislador não restringiu o conceito a documentos formais ou cadastros estruturados.

O critério central é a possibilidade de identificação do titular, direta ou indireta. Um dado não precisa, sozinho, revelar quem é a pessoa. Se ele permite chegar até ela quando combinado com outras informações, já se enquadra como dado pessoal.

Esse ponto tem consequências práticas relevantes. Um número de matrícula interno de uma empresa não identifica ninguém fora dela. Mas cruzado com a base de funcionários, identifica. A LGPD cobre essa segunda situação também.

Exemplos práticos de dados pessoais

Identificação direta

São os dados que, por si só, apontam para uma pessoa específica: nome completo, CPF, RG, número de passaporte, e-mail pessoal, telefone celular. Qualquer sistema que colete ao menos um desses campos já está tratando dados pessoais e, portanto, precisa de base legal para isso.

Identificação indireta

Aqui entram endereço IP, cookies de rastreamento, identificadores de dispositivo (IDFA, GAID), dados de geolocalização e número de matrícula funcional. Isoladamente, podem parecer anônimos. Na prática, sistemas modernos os utilizam para identificar usuários com alta precisão.

A ANPD e a doutrina majoritária já consolidaram que endereço IP é dado pessoal no contexto da LGPD, especialmente quando o controlador tem condições técnicas de cruzá-lo com outros registros.

Dados comportamentais e de contexto

Histórico de navegação, padrão de compras, frequência de acesso a um serviço, preferências declaradas em formulários: tudo isso constitui dado pessoal quando associado a um titular identificável. Plataformas de analytics e CRMs lidam diariamente com esse tipo de informação.

Casos limítrofes

Cargo profissional publicado no LinkedIn de uma pessoa específica é dado pessoal? Depende do contexto de uso. Se o tratamento permite identificar e perfilar o indivíduo, sim. Placa de veículo também: em consultas públicas ao Detran, pode revelar nome e endereço do proprietário, o que a torna dado pessoal na prática.

A lógica da LGPD é funcional, não formal. O que importa é se o dado pode levar à identificação, não se foi criado para isso.

Dados pessoais sensíveis: categoria especial da LGPD

O Art. 5º, inciso II define uma categoria com proteção reforçada: dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados genéticos, biométricos, relativos à saúde, à vida sexual e dados de crianças e adolescentes recebem tratamento diferenciado.

A proteção reforçada se traduz em bases legais mais restritas. Enquanto dados comuns podem ser tratados com base em dez hipóteses do Art. 7º (incluindo legítimo interesse), dados sensíveis só admitem as bases do Art. 11º, um rol mais curto e mais exigente. Consentimento, por exemplo, precisa ser específico e destacado.

Exemplos no contexto brasileiro

• Biometria em bancos e fintechs: reconhecimento facial para autenticação é dado biométrico, portanto sensível. Exige consentimento específico ou outra base do Art. 11º.
• Prontuário médico: dado de saúde por definição. Hospitais, clínicas e operadoras de planos de saúde operam sob esse regime mais restrito.
• Autodeclaração de raça em concursos públicos: dado de origem racial ou étnica. Comissões de heteroidentificação tratam dado sensível e precisam de base legal adequada.
• Dados de crianças: a LGPD exige consentimento dos pais ou responsáveis para coleta e tratamento, com regras adicionais no Art. 14º.

Dado anonimizado vs. dado pseudonimizado

Anonimização é o processo que remove de forma irreversível qualquer possibilidade de identificação do titular. Quando bem executada, usando técnicas como generalização, supressão ou ruído diferencial, o dado resultante sai do escopo da LGPD. Não há mais “pessoa natural identificável”.

O problema está no “bem executada”. A LGPD, no Art. 12º, §1º, considera que dado anonimizado pode voltar a ser pessoal se o processo de anonimização puder ser revertido com esforço razoável. A definição de “esforço razoável” ainda é debatida, mas envolve custo, tempo e estado da tecnologia disponível.

Pseudonimização substitui o identificador direto (nome, CPF) por um código ou chave, mas mantém a possibilidade de reversão, geralmente com acesso a uma tabela de correspondência. Esse dado ainda é dado pessoal sob a LGPD. Pode receber menor nível de controle interno, mas continua exigindo base legal para tratamento.

Implicações para times de dados e analytics

Times de engenharia de dados precisam distinguir os dois casos com precisão. Ambientes de desenvolvimento e sandbox alimentados com dados pseudonimizados ainda exigem controles de acesso e base legal. Somente dados verdadeiramente anonimizados permitem uso irrestrito para análise, treinamento de modelos e compartilhamento externo.

Na prática, muitos pipelines rotulados internamente como “anonimizados” são pseudonimizados, o que gera risco regulatório silencioso.

Impacto para empresas que coletam e tratam dados

Toda coleta de dado pessoal precisa de base legal prevista no Art. 7º da LGPD. As dez hipóteses incluem consentimento, cumprimento de obrigação legal, execução de contrato, legítimo interesse, entre outras. Não existe tratamento lícito fora dessas bases.

O primeiro passo de adequação é o mapeamento de dados (data inventory ou data mapping). Sem saber quais informações a empresa coleta, onde estão armazenadas, quem acessa e com qual finalidade, é impossível definir bases legais ou implementar direitos dos titulares.

Tratar dado pessoal sem reconhecê-lo como tal é um dos erros mais comuns e mais custosos. As consequências incluem:

• Sanções administrativas da ANPD: advertência, multa de até 2% do faturamento (limitada a R$ 50 milhões por infração), bloqueio ou eliminação dos dados;
• Ações civis por danos morais e materiais aos titulares;
• Dano reputacional, especialmente em casos de vazamento ou uso indevido de dados sensíveis.

A responsabilidade recai sobre controlador (quem define as finalidades e meios do tratamento) e operador (quem trata em nome do controlador). Fornecedores SaaS, agências de marketing e bureaus de dados operam tipicamente como operadores e não estão isentos de responsabilidade se agirem fora das instruções do controlador ou em desacordo com a lei.

Perguntas frequentes sobre dados pessoais na LGPD

E-mail corporativo é dado pessoal?

O entendimento predominante na doutrina brasileira é que sim. Um endereço como joao.silva@empresa.com.br identifica uma pessoa natural específica, mesmo que o domínio seja de uma pessoa jurídica. A ANPD ainda não emitiu nota vinculante exclusiva sobre o tema, mas suas orientações gerais reforçam que o critério é a identificabilidade do indivíduo, não a natureza do domínio.

E-mails genéricos como contato@empresa.com.br ou financeiro@empresa.com.br, que não identificam uma pessoa específica, ficam em zona cinzenta e tendem a ser tratados como dados de pessoa jurídica, fora do escopo da LGPD.

Foto e voz se enquadram como dados pessoais ou sensíveis?

Foto e voz são dados pessoais quando permitem identificar o titular. Quando utilizadas para identificação biométrica, como reconhecimento facial ou identificação por voz, passam a ser dados biométricos, categoria sensível protegida pelo Art. 5º, inciso II. O critério é a finalidade e o tratamento aplicado, não o formato do arquivo.

Dados de pessoas jurídicas estão fora do escopo da LGPD?

Sim. A LGPD protege exclusivamente pessoas naturais. CNPJ, razão social, endereço de sede e outros dados que identificam apenas uma empresa, sem individualizar nenhuma pessoa física, não estão no escopo da lei.

O ponto de atenção é que, dentro de uma pessoa jurídica, há pessoas naturais. Dados de sócios, representantes legais e funcionários são dados pessoais e estão no escopo da lei normalmente.

Como avaliar se sua empresa trata dados pessoais corretamente

Use as perguntas abaixo como checklist inicial antes de qualquer projeto de adequação ou revisão de processos:

1. O dado coletado permite identificar uma pessoa, direta ou indiretamente? Se sim, é dado pessoal e exige base legal.
2. O dado se enquadra nas categorias sensíveis do Art. 5º, inciso II? Se sim, as bases legais disponíveis são mais restritas e o consentimento precisa ser específico.
3. O processo de anonimização é tecnicamente irreversível? Se houver dúvida, trate como dado pseudonimizado, ainda sujeito à LGPD.
4. Você tem mapeamento documentado de todos os fluxos de dados pessoais? Sem inventário, não é possível demonstrar conformidade à ANPD.
5. Os contratos com operadores incluem cláusulas de proteção de dados? O Art. 39º da LGPD exige que operadores sigam as instruções do controlador.
6. Os titulares conseguem exercer seus direitos de forma efetiva? O Art. 18º lista nove direitos que precisam de canal operacional para atendimento.

O mapeamento de dados é o ponto de partida inegociável. Antes de escolher ferramentas de gestão de privacidade, definir políticas ou implementar controles técnicos, a organização precisa saber o que coleta. Esse diagnóstico costuma revelar tratamentos que a equipe nem sabia que existiam e que podem representar o maior risco regulatório da operação.