O que são dados sensíveis segundo a LGPD

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) define dado pessoal sensível no Art. 5º, inciso II como aquele relacionado a origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.

A distinção em relação ao dado pessoal comum é qualitativa: dado comum é qualquer informação que identifique ou torne identificável uma pessoa (nome, e-mail, endereço). Dado sensível vai além — ele revela atributos que, se expostos ou mal utilizados, podem gerar discriminação, constrangimento ou dano concreto ao titular.

A proteção reforçada existe porque essas categorias têm potencial de impacto desproporcional. Um vazamento de e-mail é grave; um vazamento de prontuário médico ou de dado biométrico pode comprometer saúde, emprego e segurança física do indivíduo de forma permanente.

Esse entendimento se conecta diretamente ao princípio da não discriminação previsto no Art. 6º, inciso IX da LGPD: o tratamento não pode ser realizado para fins discriminatórios ilícitos ou abusivos. Dados sensíveis são exatamente as categorias com maior potencial de alimentar discriminação sistêmica, por isso recebem um regime jurídico mais restritivo.

Exemplos de dados sensíveis previstos na lei

Origem racial ou étnica

Esse dado nem sempre aparece de forma explícita. Uma autodeclaração de cor em formulário de emprego é um exemplo direto. A origem racial ou étnica também pode ser inferida indiretamente, por sobrenome, região de nascimento ou padrão de consumo. Sistemas que cruzam variáveis demográficas precisam ter cautela para não produzir perfis que, na prática, revelem esse atributo sem consentimento específico.

Convicção religiosa, opinião política e filiação sindical ou partidária

Registro de participação em cultos, doações a partidos, associação a sindicatos ou qualquer anotação que indique crença ou posicionamento político é dado sensível. Em ambientes corporativos, esses dados aparecem de forma velada: campos de “motivação para doação”, logs de acesso a plataformas internas ou registros de ausência por motivo religioso.

Dados de saúde e dados genéticos

Laudos médicos, prontuários, receitas, resultados de exames laboratoriais e mapeamentos de DNA são os exemplos mais típicos. A categoria inclui também informações que permitam inferir condições de saúde, como histórico de compras de medicamentos controlados ou uso recorrente de plataformas de telemedicina.

Dados biométricos

Impressão digital, geometria facial, padrão de íris e voz são dados biométricos quando usados para identificar uma pessoa de forma unívoca. A captura de uma foto para fins de reconhecimento facial, mesmo que a imagem em si não seja considerada sensível, torna-se dado sensível no momento em que é processada por algoritmo de identificação biométrica.

Vida sexual e orientação sexual

Esse dado aparece em sistemas com menos frequência explícita, mas pode surgir em prontuários de saúde, plataformas de relacionamento, cadastros de planos de saúde com extensão a parceiros ou em perfis de usuário de aplicativos. O contexto de coleta determina se a informação é diretamente sensível ou se se torna sensível por associação com outros dados.

Exemplos práticos em contextos corporativos

RH e gestão de pessoas

Atestados médicos, laudos de perícia, informações sobre deficiência física ou mental declaradas para fins de inclusão e dados de plano de saúde são dados sensíveis armazenados rotineiramente em sistemas de RH. Muitas organizações tratam essas informações em planilhas compartilhadas, sem controle de acesso granular, o que configura tratamento inadequado independentemente de haver vazamento.

Varejo e programas de fidelidade

A inferência de religião por padrão de compra é um caso real e pouco discutido. Um cliente que compra regularmente produtos com certificação kosher ou halal está, indiretamente, revelando sua convicção religiosa. Se um sistema de recomendação ou segmentação de marketing usar esse padrão como variável, na prática estará tratando dado sensível, mesmo sem o consumidor ter declarado sua religião explicitamente.

Saúde e healthtechs

Prontuários eletrônicos, resultados de exames, histórico de medicações e dados genômicos gerados por testes de ancestralidade ou painéis oncológicos são o núcleo do dado sensível em saúde. Healthtechs que integram laboratórios, clínicas e seguradoras precisam mapear cada ponto de trânsito dessas informações, da coleta ao armazenamento, passando por APIs de terceiros.

Fintechs e instituições financeiras

A biometria facial e digital é amplamente usada em autenticação de usuários e prevenção a fraudes. Ao capturar e processar esses dados, fintechs e bancos assumem a responsabilidade de controlador ou operador sobre categorias que exigem base legal específica e mecanismos de segurança mais rigorosos do que os aplicados a dados cadastrais comuns.

Educação

Laudos de necessidades educacionais especiais, diagnósticos de transtornos de aprendizagem, condições de saúde que justificam adaptações curriculares: todos são dados sensíveis. Instituições de ensino costumam centralizar essas informações em sistemas de gestão acadêmica sem diferenciação de acesso entre coordenadores, professores e funcionários administrativos.

Bases legais permitidas para tratar dados sensíveis

A regra geral para o tratamento de dados sensíveis é o consentimento específico e destacado (Art. 11, inciso I da LGPD). O consentimento precisa ser separado dos demais termos, com linguagem clara sobre qual dado sensível está sendo coletado, para qual finalidade e por quanto tempo. Um checkbox genérico em política de privacidade não atende esse requisito.

Há hipóteses alternativas ao consentimento, previstas no Art. 11, inciso II: cumprimento de obrigação legal ou regulatória pelo controlador; execução de políticas públicas pela administração pública; realização de estudos por órgão de pesquisa; exercício regular de direitos; proteção da vida ou da incolumidade física; tutela da saúde por profissional ou entidade sanitária; prevenção à fraude e segurança do titular.

As restrições em relação ao tratamento de dados comuns são substanciais. Não é possível usar dados sensíveis com base em legítimo interesse, hipótese amplamente aplicada a dados comuns. Isso impacta diretamente times de produto que constroem modelos de personalização, recomendação ou segmentação com variáveis de saúde, biometria ou comportamento religioso inferido.

Na prática, times de produto e tecnologia precisam incluir a verificação de base legal para dados sensíveis no processo de design de features. Toda nova coleta de dado enquadrada nas categorias do Art. 5º, inciso II exige análise jurídica antes da implementação, não depois.

Riscos e consequências do tratamento inadequado

A Autoridade Nacional de Proteção de Dados (ANPD) pode aplicar sanções que vão de advertência a multa de até 2% do faturamento anual da organização no Brasil, limitada a R$ 50 milhões por infração. A publicização da infração, o chamado “naming”, é uma sanção adicional que gera dano reputacional independente do valor da multa.

O risco para os titulares é, em muitos casos, mais grave do que a sanção financeira. A exposição de dado de saúde pode resultar em demissão, negativa de crédito ou seguro, discriminação em processos seletivos. A exposição de dado biométrico é irreversível: diferentemente de uma senha, não é possível trocar a impressão digital.

No Brasil, casos de vazamento envolvendo dados de saúde já afetaram hospitais, laboratórios e operadoras de plano de saúde. Dados genômicos de plataformas de ancestralidade também foram alvo de discussões regulatórias internacionais com reflexo no mercado local. O volume e a sensibilidade dessas informações tornam o setor de saúde um dos mais visados por ataques de ransomware.

A responsabilidade solidária entre controlador e operador (Art. 42 da LGPD) significa que uma empresa que contrata um fornecedor de nuvem ou um processador de dados compartilha a responsabilidade por incidentes gerados por falha desse terceiro. Contratos de processamento de dados precisam especificar obrigações de segurança, especialmente quando há dados sensíveis envolvidos.

Boas práticas para proteger dados sensíveis na organização

Mapeamento de dados (data inventory)

Antes de proteger, é preciso saber onde os dados sensíveis estão. Um inventário de dados deve identificar cada categoria de dado sensível coletada, seu local de armazenamento (banco de dados, S3, planilha, e-mail), quem tem acesso, qual a base legal aplicada e por quanto tempo o dado é retido. Sem esse mapeamento, qualquer política de privacidade é declaratória, não operacional.

Minimização

O princípio da minimização (Art. 6º, inciso III) determina que apenas os dados estritamente necessários à finalidade declarada devem ser coletados. Para dados sensíveis, isso é ainda mais crítico. A pergunta relevante é: a finalidade exige o dado completo ou um dado derivado e menos sensível resolve? Um sistema de controle de acesso físico precisa armazenar a imagem facial completa ou apenas um hash biométrico não reversível?

Criptografia em repouso e em trânsito

Criptografia é um controle técnico básico, não diferencial. Dados sensíveis devem ser criptografados em repouso (no banco de dados e nos backups) e em trânsito (em todas as chamadas de API e transferências de arquivo). O uso de protocolos desatualizados ou a ausência de criptografia em campos específicos de banco de dados são falhas recorrentes encontradas em auditorias de segurança.

Controle de acesso e auditoria

Acesso a dados sensíveis deve seguir o princípio do menor privilégio: somente quem tem necessidade operacional comprovada acessa esses dados. Logs de acesso devem ser mantidos com retenção suficiente para suportar investigações de incidentes. Revisões periódicas de permissões, especialmente após mudanças de função ou desligamentos, são controles mínimos esperados pela ANPD em fiscalizações.

Dados sensíveis em APIs de terceiros e modelos de IA generativa

Um ponto crítico e frequentemente negligenciado: o envio de dados sensíveis para APIs externas, incluindo modelos de linguagem e plataformas de IA generativa, configura operação de tratamento de dados, com todas as implicações da LGPD. Antes de enviar laudos médicos, transcrições de atendimento em saúde ou qualquer dado biométrico para um serviço externo, é necessário verificar os termos de processamento de dados do fornecedor, a localização dos servidores e se há base legal adequada para essa transferência.

Como avaliar a maturidade da sua organização no tratamento de dados sensíveis

Use as perguntas abaixo como ponto de partida para um diagnóstico interno:

• Seu inventário de dados identifica explicitamente as categorias do Art. 5º, inciso II e os sistemas onde elas estão armazenadas?
• Para cada dado sensível coletado, há uma base legal documentada, diferente de “legítimo interesse”?
• Os formulários de coleta de dados sensíveis possuem consentimento específico e destacado, separado dos demais termos?
• Campos de dado sensível no banco de dados estão criptografados individualmente, não apenas o volume de armazenamento?
• Há logs de acesso com retenção mínima de 6 meses para operações em dados sensíveis?
• Os contratos com fornecedores que processam dados sensíveis incluem cláusulas de segurança e responsabilidade alinhadas à LGPD?
• Existe um processo de análise de impacto à proteção de dados (RIPD) para novos produtos que envolvam dados sensíveis?

Se mais de três respostas forem negativas ou incertas, o risco regulatório e operacional é concreto. A priorização de dados sensíveis no programa de privacidade não é apenas uma exigência legal: é uma decisão de gestão de risco com impacto direto em reputação, continuidade operacional e confiança dos clientes.