O que é informação pessoal sensível

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) define dado pessoal sensível no artigo 5º, inciso II, como aquele relacionado a categorias específicas que, por sua natureza, carregam potencial elevado de causar dano ao titular. A definição não é subjetiva: o legislador elencou categorias taxativas, o que diferencia o sistema brasileiro de abordagens mais abertas adotadas em outras jurisdições.

Todo dado pessoal sensível é, por definição, um dado pessoal. A diferença está no grau de proteção exigido. Um dado pessoal comum, como nome, endereço ou e-mail, identifica ou permite identificar uma pessoa. Um dado sensível vai além: ele pode revelar características que expõem o titular a discriminação, preconceito ou lesão a direitos fundamentais.

A sensibilidade é determinada pelo potencial de dano, não pela intenção de quem coleta. Mesmo que uma organização não planeje usar a informação de forma discriminatória, tratá-la sem as salvaguardas adequadas já configura risco jurídico e ético relevante.

Categorias reconhecidas pela LGPD

Origem racial ou étnica e convicção religiosa

Dados que revelem a origem racial ou étnica de uma pessoa entram nessa categoria independentemente do formato em que aparecem: declaração direta, fotografia usada para inferência automatizada ou autodeclaração em formulários. No mercado brasileiro, essa informação trafega em processos seletivos, cadastros de programas de diversidade e plataformas de recrutamento com triagem por inteligência artificial.

Convicções religiosas aparecem em planos de saúde que precisam saber sobre restrições a procedimentos, em escalas de trabalho que consideram datas comemorativas e em sistemas de RH que registram afastamentos por motivo religioso. Em todos esses casos, o dado é sensível desde o momento do registro.

Opinião política e filiação sindical ou a organizações filosóficas e políticas

A filiação a partidos políticos é pública no Brasil, com dados disponíveis no sistema do TSE. Isso não elimina a sensibilidade quando essas informações são cruzadas com outros dados em plataformas privadas ou usadas para segmentação comportamental. O mesmo vale para opiniões políticas inferidas a partir de histórico de navegação ou interações em redes sociais.

Filiação sindical é dado especialmente crítico em contextos de negociação coletiva e processos disciplinares. Sua exposição indevida pode prejudicar representantes sindicais e trabalhadores que integram categorias em greve ou negociação.

Saúde, vida sexual, dados genéticos e biométricos

Dados de saúde são os mais frequentemente tratados em larga escala no setor privado brasileiro: operadoras de planos, hospitais, clínicas, laboratórios, aplicativos de monitoramento e plataformas de telemedicina todos lidam com essas informações. A vida sexual aparece em contextos clínicos, aplicativos de saúde reprodutiva e plataformas de relacionamento.

Dados genéticos, como sequenciamento de DNA e histórico familiar de doenças, e dados biométricos, como impressão digital, reconhecimento facial e geometria de mão, têm uma característica única: são permanentes e não podem ser trocados em caso de vazamento. Isso eleva significativamente o risco associado ao seu tratamento inadequado.

Por que esses dados exigem proteção reforçada

O risco mais direto é a discriminação. Dados de saúde usados por empregadores para negar contratação, dados de origem étnica cruzados com análise de crédito, dados de filiação política usados para perseguição: todos esses cenários já ocorreram no Brasil e no mundo. A proteção reforçada existe justamente para criar barreiras legais e técnicas contra esses usos.

No mercado brasileiro, há histórico documentado de uso indevido de dados de saúde em processos de recrutamento e em avaliações de crédito por operadoras de saúde suplementar. Algoritmos treinados com dados históricos podem perpetuar vieses discriminatórios mesmo sem intenção explícita do controlador, o que torna a supervisão humana do tratamento automatizado especialmente relevante.

Grupos vulneráveis, como pessoas negras, pessoas com deficiência e trabalhadores de baixa renda, são afetados de forma desproporcional quando há vazamento ou uso inadequado de dados sensíveis. Um incidente que expõe dados de saúde de pacientes oncológicos pode resultar em perda de emprego, aumento de prêmios de seguro e estigmatização social: danos que vão muito além do inconveniente de uma senha comprometida.

Bases legais permitidas para o tratamento

Consentimento específico e destacado

Para dados sensíveis, o consentimento precisa ser específico para a finalidade e destacado visualmente em relação a outros termos. Não basta um checkbox genérico no fim de uma política de privacidade. O art. 11, inciso I, da LGPD é claro nesse ponto: o titular precisa saber exatamente para que aquele dado será usado antes de autorizar o tratamento.

Isso tem implicações práticas significativas para formulários digitais, fluxos de onboarding em aplicativos e processos de cadastro em unidades de saúde. O design da coleta de consentimento precisa ser revisado por equipes jurídicas e de privacidade antes de ir ao ar.

Hipóteses de dispensa de consentimento

O art. 11, inciso II, lista situações em que o tratamento é permitido sem consentimento: cumprimento de obrigação legal ou regulatória, tratamento compartilhado de dados para execução de políticas públicas, estudos por órgãos de pesquisa, exercício regular de direitos em processos judiciais, administrativos ou arbitrais, proteção da vida ou da incolumidade física do titular ou de terceiros, e tutela da saúde em procedimentos realizados por profissionais de saúde ou serviços de saúde.

Essas hipóteses são exceções e devem ser interpretadas de forma restritiva. Uma empresa que trata dados de saúde de seus colaboradores com base em “obrigação legal” precisa demonstrar qual norma específica impõe aquele tratamento. A base legal não pode ser genérica.

Vedação ao uso discriminatório

Independentemente da base legal utilizada, a LGPD proíbe expressamente o tratamento de dados sensíveis para fins discriminatórios ilícitos ou abusivos. Isso significa que mesmo com consentimento válido, uma organização não pode usar dados de origem racial para negar crédito ou dados de saúde para decidir quem promover internamente.

A diferença prática entre bases legais para dados comuns e sensíveis é substancial: para dados comuns, o legítimo interesse do controlador é uma base válida; para dados sensíveis, essa hipótese não existe. O controlador precisa enquadrar o tratamento em uma das hipóteses do art. 11, sem exceção.

Boas práticas para organizações que tratam esses dados

Mapeamento e inventário de dados

O primeiro passo é saber onde os dados sensíveis existem. Isso inclui sistemas de RH, prontuários eletrônicos, plataformas de benefícios, arquivos físicos, e-mails corporativos e integrações com terceiros. O mapeamento precisa cobrir não apenas onde os dados são armazenados, mas por onde trafegam: APIs, ETLs, exportações para planilhas, compartilhamento com parceiros.

Ferramentas de descoberta de dados e entrevistas estruturadas com as áreas de negócio são complementares nesse processo. O inventário resultante deve ser revisado periodicamente, não apenas durante auditorias pontuais.

Minimização e pseudonimização

Coletar apenas o dado estritamente necessário para a finalidade declarada é um princípio operacional, não uma recomendação opcional. Se um sistema de controle de acesso físico pode funcionar com um código de funcionário, ele não deve usar reconhecimento facial. Se um relatório de absenteísmo pode ser gerado com dados agregados, ele não deve conter registros individuais de diagnóstico.

A pseudonimização, que substitui identificadores diretos por códigos reversíveis, reduz o risco em caso de acesso não autorizado. Não elimina a classificação dos dados como pessoais, mas diminui o impacto de incidentes e pode ser considerada fator mitigador em avaliações da ANPD.

Relatório de Impacto à Proteção de Dados (RIPD)

O RIPD é obrigatório quando o tratamento apresentar risco elevado aos direitos e liberdades dos titulares. Para dados sensíveis, o limiar de risco é mais baixo: qualquer tratamento em larga escala, com uso de tecnologias novas ou com potencial de impacto significativo deve ser acompanhado de um RIPD.

O relatório deve descrever o tratamento, avaliar os riscos e documentar as medidas adotadas para mitigá-los. Não é um documento estático: precisa ser atualizado quando o tratamento muda de escopo, finalidade ou tecnologia.

Treinamento e controle de acesso

Equipes que lidam com dados sensíveis precisam de treinamento específico: não apenas um módulo genérico de compliance, mas orientações práticas sobre como identificar dado sensível, o que fazer ao receber uma solicitação indevida e como reportar incidentes internamente.

O controle de acesso deve seguir o princípio do menor privilégio: cada colaborador acessa apenas os dados necessários para suas funções. Logs de acesso a sistemas que armazenam dados sensíveis devem ser monitorados e retidos por períodos definidos na política interna de segurança.

Penalidades e atuação da ANPD

As sanções previstas na LGPD incluem advertência com prazo para adoção de medidas corretivas, multa simples de até 2% do faturamento da pessoa jurídica no último exercício (limitada a R$ 50 milhões por infração), multa diária, publicização da infração, bloqueio e eliminação dos dados pessoais envolvidos. Para dados sensíveis, a expectativa é que as autoridades apliquem o espectro mais grave de sanções disponíveis.

A ANPD já publicou orientações específicas sobre dados de saúde e dados biométricos, além de ter aberto procedimentos administrativos envolvendo tratamento inadequado de dados sensíveis. O órgão tem consolidado o entendimento de que incidentes com essas categorias exigem notificação prioritária e análise aprofundada das medidas de segurança adotadas pelo controlador.

Incidentes que envolvem dados sensíveis são avaliados com maior severidade porque o dano potencial ao titular é mais grave e, muitas vezes, irreversível. O controlador que demonstrar que adotou medidas técnicas e organizacionais adequadas, como RIPD, pseudonimização, controle de acesso e treinamento, tem mais condições de mitigar penalidades do que aquele que tratava os dados sem qualquer estrutura de governança.

Como avaliar a maturidade da sua organização

Um diagnóstico honesto começa com quatro perguntas diretas: sua organização sabe quais dados sensíveis trata e onde estão armazenados? As bases legais para cada tratamento estão documentadas e são sustentáveis juridicamente? Existe RIPD para tratamentos de alto risco? Os colaboradores que acessam esses dados passaram por treinamento específico nos últimos 12 meses?

Se a resposta a qualquer uma dessas perguntas for negativa, esse é o ponto de partida. Priorize o mapeamento de dados sensíveis antes de qualquer outra iniciativa de conformidade: você não pode proteger o que não sabe que existe.

Revisite os formulários de coleta de consentimento para garantir que são específicos, destacados e compreensíveis para o público que os preenche. Documente as bases legais no registro de atividades de tratamento (o RoPA exigido pelo art. 37 da LGPD). Estabeleça um canal interno para que equipes reportem situações de dúvida antes de tratar dados sensíveis, não depois.