O que são dados pessoais sensíveis segundo a LGPD

O artigo 5º, inciso II da Lei Geral de Proteção de Dados define dados pessoais sensíveis como uma categoria especial que exige proteção reforçada em razão do potencial elevado de causar dano ao titular. Não se trata de uma gradação subjetiva de privacidade, mas de uma classificação legal com consequências diretas sobre quais bases jurídicas podem ser invocadas para o tratamento.

São exemplos expressos na lei: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dados referentes à saúde ou à vida sexual, dados genéticos e biométricos quando vinculados a uma pessoa natural, e informações sobre crianças e adolescentes em determinados contextos.

A distinção em relação aos dados pessoais comuns não é apenas terminológica. Dados como nome, endereço ou CPF permitem identificar uma pessoa; dados sensíveis permitem, além disso, discriminá-la. Uma informação sobre origem étnica pode influenciar decisões de contratação; um dado de saúde pode afetar a concessão de crédito ou seguro. É esse risco de discriminação estrutural que justifica regras mais rígidas.

Do ponto de vista operacional, qualquer sistema, processo ou produto que capture, armazene, processe ou transmita dados dessas categorias precisa passar por uma análise jurídica e técnica distinta da que seria feita para dados comuns.

Bases legais para o tratamento de dados sensíveis (Art. 11 da LGPD)

O artigo 11 da LGPD lista taxativamente as hipóteses em que dados pessoais sensíveis podem ser tratados. São oito no total, e nenhuma outra pode ser invocada por analogia ou interpretação extensiva. O rol fechado é uma escolha deliberada do legislador.

A principal hipótese é o consentimento específico e destacado do titular, concedido para finalidades determinadas. As demais são: cumprimento de obrigação legal ou regulatória pelo controlador; execução de políticas públicas pela administração pública; realização de estudos por órgão de pesquisa, garantido o anonimato sempre que possível; exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo ou arbitral; proteção da vida ou da incolumidade física do titular ou de terceiro; tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde ou entidades sanitárias; e prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação.

Um erro frequente é tentar enquadrar tratamentos de dados sensíveis na hipótese de legítimo interesse. Essa base legal não existe no artigo 11. Ela está disponível apenas para dados pessoais comuns, no artigo 7º. Usá-la para dados sensíveis configura tratamento sem base legal válida.

Cada atividade de tratamento deve ter sua base legal registrada no Registro de Atividades de Tratamento (ROPA), com documentação não apenas da hipótese escolhida, mas também do raciocínio que levou a essa escolha, da finalidade declarada e do período de retenção previsto. O ROPA é o primeiro documento que uma fiscalização da ANPD tende a solicitar.

Consentimento para dados sensíveis: requisitos e boas práticas

Quando o consentimento é a base legal escolhida, ele precisa ser específico e destacado. Específico significa que não pode ser agrupado com outros termos de uso ou políticas de privacidade em um único checkbox. Destacado significa que precisa ser apresentado de forma visualmente separada, com linguagem clara sobre o que está sendo autorizado.

A finalidade deve ser determinada antes da coleta. Consentimento genérico, do tipo “autorizo o uso dos meus dados para fins de marketing e outras finalidades”, é inválido para qualquer dado pessoal, e especialmente para dados sensíveis. O titular precisa saber exatamente para que seu dado de saúde, biométrico ou genético será utilizado.

O titular tem o direito de revogar o consentimento a qualquer momento, e esse processo deve ser tão simples quanto o de consentir. Se o opt-in é feito com um clique, o opt-out não pode exigir envio de e-mail, prazo de espera ou justificativa. Do ponto de vista operacional, os sistemas precisam estar preparados para propagar a revogação por toda a cadeia de tratamento, incluindo operadores e suboperadores.

No mercado brasileiro, interfaces em conformidade costumam separar o pedido de consentimento para dados sensíveis em uma tela dedicada, com descrição da finalidade, do período de retenção e do responsável pelo tratamento. O botão de aceite não é pré-selecionado e há um link direto para o canal de revogação.

Obrigações do controlador ao tratar dados sensíveis

O princípio da necessidade, previsto no artigo 6º da LGPD, tem peso redobrado quando se trata de dados sensíveis. O controlador deve coletar apenas o mínimo indispensável para a finalidade declarada. Coletar dado biométrico “para uso futuro” ou dado de saúde “para enriquecer o perfil do cliente” sem finalidade específica é uma violação direta desse princípio.

A ANPD pode exigir a realização de um Relatório de Impacto à Proteção de Dados (RIPD) quando o tratamento envolver dados sensíveis em larga escala ou quando houver risco elevado para os direitos dos titulares. Mesmo quando não exigido formalmente, o RIPD documenta a análise de risco e as medidas de mitigação adotadas, o que tende a pesar favoravelmente em eventuais processos administrativos.

As medidas de segurança técnicas e administrativas devem ser proporcionais ao risco. Para dados sensíveis, isso tipicamente inclui criptografia em repouso e em trânsito, controle de acesso baseado em função (RBAC), logs de auditoria, pseudonimização quando possível e planos de resposta a incidentes específicos para essa categoria de dados.

O treinamento das equipes não é opcional. Colaboradores que lidam com dados de saúde, biométricos ou genéticos precisam entender as restrições legais e saber identificar situações que demandam escalada para o encarregado (DPO). A ausência de treinamento documentado pode ser considerada agravante em processos administrativos perante a ANPD.

Erros comuns e riscos de não conformidade

O erro mais recorrente é invocar o legítimo interesse como base legal para tratar dados sensíveis. Empresas que coletam dados biométricos para controle de ponto ou dados de saúde para programas de bem-estar corporativo frequentemente cometem esse equívoco. O artigo 11 simplesmente não prevê essa hipótese.

Outro problema frequente é o compartilhamento de dados sensíveis com terceiros, como parceiros de analytics, plataformas de CRM ou operadores de call center, sem verificar se esses terceiros também possuem base legal adequada para o tratamento. O controlador não se exime de responsabilidade ao transferir os dados; ele permanece solidariamente responsável pelos danos causados pelo operador.

A ausência de política de retenção e descarte é um risco subestimado. Manter dados sensíveis por prazo indeterminado, “por precaução”, viola o princípio da necessidade e expõe a organização a sanções. A LGPD exige que o dado seja eliminado após o cumprimento da finalidade ou ao término da relação contratual, salvo nas exceções legais.

As consequências práticas de não conformidade incluem multas de até 2% do faturamento do grupo econômico no Brasil, limitadas a R$ 50 milhões por infração, além de advertências, bloqueio ou eliminação dos dados e publicização da infração, o que representa dano reputacional significativo. Titulares também podem buscar reparação civil de forma individual ou coletiva.

Checklist prático para tratar dados sensíveis com conformidade

1. Mapeie antes de agir

Identifique todos os pontos da organização onde dados sensíveis são coletados, armazenados, processados ou transmitidos. Isso inclui formulários físicos e digitais, integrações com sistemas terceiros, backups e logs. Sem esse mapeamento, qualquer esforço de conformidade será incompleto.

2. Valide a base legal para cada atividade

Para cada atividade de tratamento identificada, verifique qual das oito hipóteses do artigo 11 se aplica. Se nenhuma se aplicar, o tratamento precisa ser suspenso ou reformulado. Documente o raciocínio no ROPA, com referência à finalidade, à base legal e ao período de retenção.

3. Revise contratos com fornecedores e operadores

Contratos com qualquer parte que tenha acesso a dados sensíveis devem conter cláusulas específicas: obrigação de manter medidas de segurança adequadas, proibição de uso para finalidade diversa da contratada, obrigação de notificação em caso de incidente e previsão de auditoria pelo controlador. Contratos genéricos de proteção de dados não são suficientes para essa categoria.

4. Estruture o canal de atendimento ao titular

Titulares que tiveram dados sensíveis coletados têm direito a acessar, corrigir, portar e solicitar a eliminação desses dados. O canal de atendimento precisa estar preparado para responder a essas solicitações dentro do prazo legal, que é de 15 dias para confirmação de tratamento e dados acessados. Inclua no fluxo a possibilidade de revogação de consentimento com efeito imediato.

5. Realize o RIPD e revise periodicamente

Mesmo quando não exigido formalmente pela ANPD, elabore o Relatório de Impacto à Proteção de Dados para tratamentos de alto risco envolvendo dados sensíveis. Revise o documento sempre que houver mudança na finalidade, no volume de dados tratados, nos sistemas utilizados ou nos parceiros envolvidos. O RIPD não é um documento estático.