O que são dados sensíveis segundo a LGPD

A Lei Geral de Proteção de Dados (Lei 13.709/2018) define dado pessoal sensível no artigo 5º, inciso II: são informações sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.

A distinção em relação ao dado pessoal comum não é apenas terminológica. Dados comuns identificam ou tornam uma pessoa identificável. Dados sensíveis vão além: revelam características que historicamente expõem pessoas a discriminação, estigma ou violência. Por isso a lei impõe um regime de proteção mais rígido para essa categoria.

A exposição de dados sensíveis produz danos concretos e mensuráveis. Um candidato a emprego que tem seu histórico de saúde vazado pode ser preterido em processos seletivos. Uma pessoa com orientação sexual exposta sem consentimento pode sofrer assédio ou exclusão social. O risco não é hipotético: é o que motivou o tratamento diferenciado na legislação.

O alinhamento com o Regulamento Geral de Proteção de Dados europeu (GDPR) é direto. O artigo 9º do GDPR lista categorias especiais de dados com restrições equivalentes. A LGPD adotou a mesma lógica, adaptando ao contexto brasileiro, o que facilita a adequação de empresas que operam nos dois mercados.

Lista completa de categorias e exemplos práticos

Origem racial ou étnica

Inclui cor autodeclarada em formulários de diversidade, declaração de etnia em censos corporativos, dados coletados em programas de inclusão racial e qualquer campo que permita inferir a origem étnica de uma pessoa. Mesmo quando coletados com finalidade legítima, como em ações afirmativas, exigem base legal específica e consentimento destacado.

Convicção religiosa e opinião política

Filiação a igrejas, templos ou comunidades religiosas, participação em partidos políticos, apoio declarado a movimentos ideológicos e histórico de contribuições a candidaturas são exemplos dessa categoria. Esses dados aparecem frequentemente em cadastros de ONGs, plataformas de petições e sistemas de CRM de entidades religiosas sem o devido tratamento legal.

Dados de saúde e vida sexual

É a categoria mais volumosa no dia a dia operacional. Prontuários médicos, resultados de exames laboratoriais, histórico de internações, laudos psiquiátricos, receitas digitais e informações sobre orientação sexual ou identidade de gênero se enquadram aqui. Planos de saúde, clínicas, laboratórios e aplicativos de saúde são os controladores mais expostos.

Dados genéticos e biométricos

DNA, impressão digital, reconhecimento facial, mapeamento de íris e padrões de voz são exemplos de dados biométricos. Dados genéticos incluem sequenciamentos e testes de ancestralidade. O que diferencia essa categoria é a impossibilidade prática de revogação: ao contrário de uma senha, uma impressão digital não pode ser alterada após um vazamento.

Dados de crianças e adolescentes

A LGPD trata os dados de menores de 18 anos com proteção adicional, exigindo consentimento dos pais ou responsáveis legais. Aplicativos educacionais, plataformas de streaming infantil e sistemas escolares que coletam biometria ou informações de saúde de alunos precisam observar essa camada extra de exigências.

Dados sensíveis vs. dados pessoais comuns: como diferenciar na prática

Dados pessoais comuns identificam ou permitem identificar uma pessoa sem necessariamente expô-la a risco diferenciado: nome completo, CPF, RG, endereço residencial, e-mail, número de telefone e data de nascimento são os exemplos mais frequentes. Eles exigem tratamento adequado, mas as hipóteses legais são mais amplas.

Dados sensíveis revelam características protegidas: resultado de exame de HIV, declaração de fé em formulário de admissão, template biométrico armazenado em controle de ponto ou informação sobre deficiência em cadastro de RH. A linha divisória está na natureza da informação, não no formato técnico em que ela está armazenada.

Os casos limítrofes são os mais perigosos. Um endereço residencial é dado comum. O mesmo endereço associado a uma clínica especializada em tratamento de dependência química revela, por inferência, um dado de saúde. Um nome é dado comum. O mesmo nome em uma lista de membros de uma congregação religiosa vira dado sensível pelo contexto. A finalidade e o contexto de uso determinam a classificação.

Regras de tratamento: o que a LGPD exige para dados sensíveis

O artigo 11 da LGPD lista as hipóteses legais para tratar dados sensíveis. São mais restritas do que as dez bases legais previstas para dados comuns. A principal é o consentimento específico e destacado do titular para finalidades determinadas. Quando o consentimento não é viável, as exceções incluem obrigação legal, políticas públicas, estudos por órgão de pesquisa, exercício regular de direitos e proteção da vida, entre outras.

O consentimento para dados sensíveis não pode ser embutido em cláusula genérica de termos de uso. A LGPD exige que ele seja específico, destacado graficamente e associado a uma finalidade declarada. Uma empresa que coleta biometria para controle de ponto precisa de um termo separado, com linguagem clara sobre o que será feito com o dado.

O tratamento de dados sensíveis pode exigir também a elaboração de Relatório de Impacto à Proteção de Dados Pessoais (RIPD). Esse documento mapeia os riscos do tratamento e as medidas de mitigação adotadas. A Autoridade Nacional de Proteção de Dados (ANPD) pode solicitar o RIPD a qualquer momento.

As penalidades para infração vão de advertência com prazo para correção até multa de até 2% do faturamento do grupo econômico no Brasil no último exercício, limitada a R$ 50 milhões por infração. A publicização da infração, equivalente a uma sanção reputacional, também está no rol de penalidades aplicáveis pela ANPD.

Situações de risco no dia a dia: quando dados sensíveis aparecem sem que a empresa perceba

Formulários de admissão e saúde ocupacional são fontes recorrentes de coleta excessiva. Perguntar sobre deficiências além do necessário para adaptações razoáveis, solicitar histórico médico completo na triagem inicial ou pedir declaração de religião em ficha cadastral são práticas que coletam dados sensíveis sem base legal clara e sem que o time de RH necessariamente perceba o risco.

Sistemas de chatbot e logs de atendimento registram conversas completas. Um usuário que menciona sua condição de saúde durante um atendimento de suporte técnico, ou que descreve sintomas em um chat de plano de saúde, gera um dado sensível que, se não for tratado corretamente, ficará armazenado em bases de texto acessíveis a times de analytics sem o controle adequado.

O envio de planilhas com dados de pacientes, colaboradores ou clientes para APIs de modelos de linguagem é um vetor de risco crescente. Dados de saúde, biometria ou origem étnica incluídos em prompts são processados por infraestruturas de terceiros. Sem anonimização prévia, isso configura compartilhamento de dados sensíveis sem controle de finalidade ou destinatário.

Os setores mais expostos no Brasil são saúde (prontuários e laudos), fintechs (dados financeiros que, combinados, revelam condições de saúde ou religião), RH (dados de admissão, afastamentos e laudos de medicina do trabalho) e varejo com programas de fidelidade que cruzam dados de compra com perfil comportamental para inferir condições médicas ou preferências religiosas.

Boas práticas para proteger dados sensíveis na sua organização

Mapeamento e inventário de dados

O primeiro passo é saber onde os dados sensíveis existem. Um inventário de dados (data mapping) deve identificar cada categoria sensível coletada, a base legal que autoriza o tratamento, onde o dado é armazenado, com quem é compartilhado e por quanto tempo é retido. Sem esse mapa, qualquer medida técnica subsequente é incompleta.

Pseudonimização e anonimização

Antes de usar dados em pipelines de analytics, modelos de machine learning ou relatórios gerenciais, dados sensíveis devem ser anonimizados, quando a finalidade não exige a identificação, ou pseudonimizados, quando é necessário manter a possibilidade de reversão controlada. A LGPD não exige uma técnica específica, mas a irreversibilidade é o critério que determina se o dado deixa de ser pessoal para fins legais.

Controle de acesso e auditoria

O acesso a bases com dados sensíveis deve seguir o princípio do menor privilégio. Controle de acesso baseado em função (RBAC) limita quem pode consultar, exportar ou modificar esses dados. Logs de auditoria registram cada acesso, permitindo rastrear usos indevidos e responder a incidentes com evidência.

Treinamento dos times operacionais

Times de produto definem formulários. Times de marketing constroem segmentações. Times de RH coletam dados na admissão. Nenhum desses grupos é necessariamente composto por especialistas em privacidade. Treinamentos regulares, não apenas no onboarding, devem capacitar essas equipes a reconhecer quando estão prestes a coletar um dado sensível e a acionar o DPO ou o time jurídico antes, não depois.

Como avaliar sua maturidade no tratamento de dados sensíveis

Para diagnosticar onde sua organização está, aplique as seguintes verificações:

• Inventário: você sabe listar, hoje, todas as bases de dados que contêm dados sensíveis e a base legal associada a cada uma?
• Consentimento: os termos de coleta de dados sensíveis são específicos, destacados e vinculados a uma finalidade declarada, ou estão embutidos em um texto genérico de política de privacidade?
• RIPD: existe relatório de impacto formalizado para os tratamentos de maior risco, especialmente os que envolvem saúde, biometria e dados de menores?
• Acesso: há controle de acesso granular para bases com dados sensíveis, com logs auditáveis e revisão periódica de permissões?
• IA e terceiros: existe uma política documentada que proíbe ou condiciona o envio de dados sensíveis a fornecedores de IA, nuvem ou analytics sem anonimização prévia?
• Treinamento: as áreas de produto, RH e marketing foram capacitadas nos últimos 12 meses a identificar dados sensíveis no fluxo de trabalho?

Cada “não” nessa lista é um ponto de atenção com potencial de gerar sanção administrativa, dano reputacional ou, acima de tudo, dano concreto ao titular dos dados.