O que são dados sensíveis segundo a LGPD

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) estabelece, em seu Art. 5º, inciso II, uma definição específica para dados sensíveis: dados pessoais sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.

Essa distinção em relação aos dados pessoais comuns não é meramente formal. O legislador criou uma categoria apartada porque o tratamento inadequado dessas informações gera um potencial de dano significativamente maior ao titular. Uma exposição indevida de dados de saúde pode custar a alguém um emprego ou um plano de assistência médica. Informações sobre opinião política ou filiação religiosa, em contextos adversos, podem expor pessoas a discriminação, perseguição ou violência.

No dia a dia das operações de tecnologia e marketing, dados sensíveis aparecem em situações concretas: o prontuário eletrônico de um paciente, o registro de biometria facial usado para autenticação em aplicativos, a indicação de religião num formulário de cadastro, ou a filiação a um sindicato coletada durante um processo de onboarding de colaboradores.

Categorias de dados sensíveis previstas na lei

A LGPD lista as categorias de forma taxativa: o rol é fechado, sem margem para extensão por analogia. São elas:

• Origem racial ou étnica
• Convicção religiosa
• Opinião política
• Filiação a sindicato ou a organização de caráter religioso, filosófico ou político
• Dados referentes à saúde ou à vida sexual
• Dado genético ou biométrico, quando vinculado a uma pessoa natural

“Dados referentes à saúde” é uma categoria ampla. Ela abrange diagnósticos, histórico de consultas, uso de medicamentos, resultados de exames laboratoriais e até informações inferidas, como o uso de um aplicativo de monitoramento de ciclo menstrual ou de uma plataforma de telemedicina.

Dados biométricos merecem atenção especial em projetos de tecnologia. Impressões digitais, reconhecimento facial, padrão de voz e geometria da íris são todos biométricos. Sistemas de autenticação baseados em biometria, portais de acesso físico e soluções de prevenção a fraudes que utilizem essas tecnologias já estão operando com dados sensíveis desde o momento da coleta.

Casos limítrofes: quando um dado comum vira sensível pelo contexto

O contexto pode transformar um dado aparentemente neutro em dado sensível. Um exemplo claro: o nome de um medicamento, isolado, pode não identificar uma condição de saúde. Combinado com o histórico de compras de um titular, porém, pode revelar uma doença crônica. O mesmo vale para informações de geolocalização que indiquem frequência a clínicas especializadas ou locais de culto religioso.

Esse fenômeno é chamado de sensibilidade contextual. Equipes de dados precisam avaliar não só o dado em si, mas o que ele pode revelar quando combinado com outras informações disponíveis no ambiente de processamento.

Bases legais para tratamento de dados sensíveis

O Art. 11 da LGPD regula exclusivamente o tratamento de dados sensíveis e é mais restritivo que o Art. 7º, que trata dos dados pessoais comuns. As hipóteses permitidas são menores em número e mais exigentes em requisitos.

A principal base legal é o consentimento específico e destacado, concedido para finalidades determinadas. Um consentimento genérico, enterrado em termos de uso extensos, não é suficiente. O consentimento precisa ser granular: o titular deve saber exatamente quais dados sensíveis serão tratados e para qual finalidade específica.

Hipóteses legais que dispensam o consentimento

A lei prevê situações em que o consentimento não é a única saída viável. O tratamento sem consentimento é permitido quando necessário para:

• Cumprimento de obrigação legal ou regulatória pelo controlador;
• Tratamento compartilhado de dados para execução de políticas públicas, por parte da administração pública;
• Realização de estudos por órgão de pesquisa, com anonimização sempre que possível;
• Exercício regular de direitos, inclusive em contratos e processos judiciais, administrativos e arbitrais;
• Proteção da vida ou da incolumidade física do titular ou de terceiros;
• Tutela da saúde, em procedimentos realizados por profissionais de saúde ou autoridades sanitárias;
• Garantia da prevenção à fraude e da segurança do titular, em processos de identificação e autenticação.

Registrar qual base legal está sendo utilizada para cada operação de tratamento é obrigatório. A ANPD pode requisitar essa documentação a qualquer momento, e a ausência de registro é, por si só, um indicador de não conformidade.

Vedação ao uso discriminatório

A LGPD proíbe expressamente o tratamento de dados sensíveis para fins discriminatórios ilícitos ou abusivos. Isso impacta diretamente soluções de scoring de crédito, sistemas de triagem de candidatos e motores de recomendação que possam, mesmo que indiretamente, usar dados de saúde, raça ou religião como variáveis de segmentação ou exclusão.

Diferenças em relação ao Art. 7º

O Art. 7º, que rege dados pessoais comuns, oferece dez hipóteses de tratamento, incluindo interesse legítimo do controlador, base amplamente utilizada em marketing digital e analytics. O Art. 11 não admite interesse legítimo como base para dados sensíveis. Essa diferença é crítica para times de CRM e CDP que processam dados de saúde ou biométricos dentro de suas plataformas.

Obrigações operacionais para empresas que tratam dados sensíveis

Relatório de Impacto à Proteção de Dados (RIPD)

Quando o tratamento de dados sensíveis apresentar alto risco para os direitos e liberdades dos titulares, a empresa é obrigada a elaborar um Relatório de Impacto à Proteção de Dados Pessoais (RIPD). O documento deve descrever o tipo de dado tratado, a metodologia utilizada, as medidas de mitigação de risco e as salvaguardas adotadas.

O RIPD não é um formulário de prateleira. Ele deve ser revisado sempre que houver mudança significativa na operação de tratamento: nova finalidade, novo parceiro, novo sistema de armazenamento ou nova jurisdição envolvida.

Encarregado de Dados (DPO)

Empresas que tratam dados sensíveis em larga escala têm responsabilidades ampliadas em relação ao encarregado de proteção de dados (DPO). O DPO deve ser o ponto de contato com a ANPD, orientar colaboradores e contratados sobre práticas de conformidade, e receber e responder às solicitações dos titulares.

Medidas técnicas e administrativas

A lei exige medidas de segurança proporcionais ao risco. Para dados sensíveis, o nível de exigência é mais alto. As práticas recomendadas incluem:

• Criptografia em repouso e em trânsito para todos os campos que contenham dados sensíveis;
• Controle de acesso baseado em papéis (RBAC), limitando o acesso apenas a quem tem necessidade operacional comprovada;
• Pseudonimização de dados sensíveis em ambientes de desenvolvimento e teste;
• Logs de auditoria com rastreabilidade de quem acessou, alterou ou exportou dados sensíveis;
• Política de retenção definida e automatizada, eliminando dados que já cumpriram sua finalidade.

Compartilhamento com terceiros e APIs externas

O compartilhamento de dados sensíveis com fornecedores de nuvem, parceiros de tecnologia e APIs externas exige cuidado redobrado. Contratos devem incluir cláusulas específicas de proteção de dados (Data Processing Agreements, DPAs), com definição clara de responsabilidades entre controlador e operador.

Times de engenharia e arquitetura precisam mapear cada ponto de integração onde dados sensíveis transitam. É comum que dados de saúde ou biométricos sejam enviados inadvertidamente para plataformas de analytics, ferramentas de monitoramento de erros ou SDKs de terceiros sem que haja consciência plena disso na organização.

Direitos do titular e atuação da ANPD

Os titulares de dados sensíveis têm os mesmos direitos previstos no Art. 18 da LGPD para dados pessoais comuns, mas a expectativa de resposta adequada é maior, dado o potencial de dano envolvido. Os principais direitos incluem:

• Acesso: saber quais dados sensíveis a empresa possui sobre o titular;
• Correção: solicitar atualização de dados incompletos, inexatos ou desatualizados;
• Portabilidade: receber os dados em formato estruturado e interoperável;
• Eliminação: solicitar a exclusão de dados tratados com base em consentimento;
• Revogação de consentimento: retirar o consentimento a qualquer momento, sem ônus.

O prazo para responder a solicitações de titulares não está fixado de forma rígida na LGPD, mas a ANPD orienta que o atendimento seja feito em prazo razoável, compatível com a complexidade do pedido. A prática de mercado adota 15 dias úteis como referência, alinhada a regulamentações internacionais como o GDPR europeu.

Papel da ANPD

A Autoridade Nacional de Proteção de Dados fiscaliza o cumprimento da LGPD, emite resoluções e orientações, e pode instaurar processos administrativos sancionadores. A ANPD tem publicado normativas progressivas sobre temas como cookies, transferência internacional de dados e critérios para aplicação de sanções.

Sanções aplicáveis

As sanções por infração envolvendo dados sensíveis seguem o mesmo regime geral da LGPD, mas o contexto agravante do tipo de dado tende a influenciar a dosimetria. As penalidades incluem:

• Advertência com prazo para adoção de medidas corretivas;
• Multa simples de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração;
• Multa diária, com o mesmo limite;
• Publicização da infração, com impacto reputacional relevante;
• Bloqueio ou eliminação dos dados pessoais relacionados à infração.

Erros comuns e boas práticas no mercado brasileiro

Erros frequentes

Consentimento genérico e não destacado. Empresas que coletam dados sensíveis dentro de formulários longos, sem separação visual e textual clara do consentimento específico, estão em não conformidade. O titular precisa entender, sem ambiguidade, que está consentindo com o tratamento de dados de natureza sensível.

Envio de dados sensíveis a APIs de terceiros sem salvaguardas. É frequente encontrar dados de saúde ou biométricos sendo transmitidos para ferramentas de rastreamento, plataformas de CRM ou soluções de analytics sem anonimização prévia e sem DPA firmado com o fornecedor. Esse cenário representa risco legal imediato.

Ausência de mapeamento de dados. Sem um inventário de dados (data mapping) atualizado, a empresa não sabe onde os dados sensíveis estão armazenados, quem os acessa, por quanto tempo são retidos ou com quem são compartilhados. Não é possível proteger o que não se conhece.

Retenção indefinida de dados sensíveis. Manter dados de saúde ou biométricos por tempo indeterminado, sem política de retenção definida e sem base legal para a guarda prolongada, é uma falha recorrente auditada em processos de due diligence de privacidade.

Boas práticas consolidadas

Minimização de dados. Colete apenas o dado sensível estritamente necessário para a finalidade declarada. Se a autenticação pode ser feita sem armazenar o template biométrico bruto, essa deve ser a escolha preferencial.

Revisão periódica de contratos com fornecedores. DPAs devem ser revisados anualmente ou sempre que houver mudança significativa no escopo do serviço contratado. Inclua cláusulas de auditoria e notificação de incidentes com prazos definidos.

Treinamento contínuo de equipes. Desenvolvedores, analistas de dados, times de CRM e atendimento ao cliente precisam saber identificar dados sensíveis e conhecer os procedimentos internos para tratá-los adequadamente. Treinamentos pontuais são insuficientes; o tema precisa fazer parte da cultura operacional.

Privacy by Design. Incorpore requisitos de proteção de dados sensíveis desde o início do ciclo de desenvolvimento de produtos e funcionalidades, e não como camada adicional depois que o sistema já está em produção.

Como avaliar a maturidade da sua organização no tratamento de dados sensíveis

Use as perguntas abaixo como ponto de partida para um diagnóstico interno:

1. Você tem um inventário de dados atualizado que identifica onde dados sensíveis são coletados, armazenados e compartilhados?
2. Cada operação de tratamento de dados sensíveis está vinculada a uma base legal específica do Art. 11, devidamente documentada?
3. Os consentimentos coletados para dados sensíveis são granulares, destacados e registrados com evidências auditáveis?
4. Existe um RIPD formalizado para as operações de tratamento de alto risco?
5. Todos os fornecedores que acessam dados sensíveis assinaram DPAs com cláusulas adequadas?
6. Há um processo definido para responder a solicitações de titulares dentro de prazo razoável?
7. As medidas técnicas de segurança (criptografia, controle de acesso, logs de auditoria) estão implementadas especificamente para os ambientes que processam dados sensíveis?

Respostas negativas a qualquer uma dessas perguntas indicam lacunas que precisam de plano de ação com responsável e prazo definidos. O ponto de partida mais eficaz é o mapeamento de dados: sem visibilidade completa do fluxo de informações sensíveis, qualquer outra medida de conformidade opera no escuro.