O que são informações sensíveis segundo a LGPD

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) define dado pessoal sensível no art. 5º, inciso II como uma categoria especial de dado pessoal. A criação dessa categoria não é arbitrária: o legislador reconheceu que certos tipos de informação carregam risco elevado de uso discriminatório ou de causar dano desproporcional ao titular quando tratados sem controles adequados.

A distinção entre dado pessoal comum e dado pessoal sensível não está apenas no conteúdo em si, mas no contexto e no potencial de impacto. Um dado aparentemente neutro, como o nome de um médico frequentado por alguém, pode revelar indiretamente uma condição de saúde e, nesse caso, passa a exigir atenção equivalente à de um dado sensível. A doutrina chama isso de sensibilidade contextual.

Por causa desse potencial de dano ampliado, a LGPD impõe exigências mais rígidas para o tratamento dessas informações, tanto nas bases legais disponíveis quanto nas medidas de segurança exigidas. Não basta enquadrar o tratamento nas hipóteses do art. 7º: é preciso recorrer ao art. 11, que traz um conjunto mais restrito de autorizações.

Quais categorias de dados são consideradas sensíveis

O art. 5º, inciso II da LGPD lista as categorias de forma expressa:

• Origem racial ou étnica
• Convicção religiosa
• Opinião política
• Filiação sindical ou a organização de caráter religioso, filosófico ou político
• Dados referentes à saúde ou à vida sexual
• Dado genético
• Dado biométrico, quando vinculado a uma pessoa natural

A discussão sobre o rol ser taxativo ou exemplificativo ainda não está encerrada no Brasil. A posição majoritária da doutrina é que o rol é taxativo, ou seja, apenas as categorias listadas recebem o tratamento especial do art. 11. A ANPD ainda não emitiu orientação definitiva sobre o tema, mas sinalizou em documentos de referência que segue a interpretação restritiva, alinhada ao texto literal da lei.

Casos limítrofes frequentes no mercado brasileiro

Fotos com traços étnicos: imagens faciais coletadas para fins de autenticação ou cadastro podem revelar origem racial ou étnica. Quando tratadas por sistemas de reconhecimento facial, são biométricas e sensíveis. Quando armazenadas apenas como foto de perfil, a sensibilidade depende do uso e do cruzamento com outros dados.

Dados de saúde em planos de benefícios: operadoras de saúde, empresas que administram planos corporativos e RHs que gerenciam atestados médicos lidam cotidianamente com dados de saúde de colaboradores. Qualquer informação que revele diagnóstico, tratamento ou condição clínica se enquadra na categoria sensível, independentemente do formato.

Biometria em controle de ponto: empresas que utilizam leitores de impressão digital ou reconhecimento facial para registrar jornada de trabalho coletam dado biométrico vinculado a pessoa natural, o que torna o dado sensível. A base legal precisa estar explicitamente enquadrada no art. 11, não no art. 7º.

Bases legais para tratar dados sensíveis

O art. 11 da LGPD funciona como regra especial em relação ao art. 7º. As hipóteses são mais restritas e, em geral, mais exigentes em termos de documentação e controle. O agente de tratamento que utiliza dado sensível precisa identificar, com precisão, qual das hipóteses do art. 11 ampara a operação.

Consentimento específico e destacado

A principal hipótese para o setor privado é o consentimento específico e destacado do titular, com finalidade determinada. O consentimento genérico, aquele que cobre uma série de finalidades num único aceite, não é suficiente. O titular precisa ser informado de forma clara sobre quais dados sensíveis serão tratados e para qual finalidade exata.

A validade do consentimento exige que ele seja livre, informado, inequívoco e revogável a qualquer momento. A carga de prova de que o consentimento foi obtido nos termos legais recai sobre o controlador.

Exceções ao consentimento

O art. 11 prevê hipóteses em que o tratamento de dados sensíveis pode ocorrer sem consentimento:

• Cumprimento de obrigação legal ou regulatória pelo controlador
• Exercício regular de direitos em contrato, processo judicial, administrativo ou arbitral
• Proteção da vida ou da incolumidade física do titular ou de terceiros
• Tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária
• Prevenção à fraude e segurança do titular nos processos de identificação e autenticação em sistemas eletrônicos
• Garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação

O art. 11, § 1º estabelece vedação expressa ao tratamento de dados sensíveis para fins discriminatórios ilícitos ou abusivos. Mesmo quando existe base legal válida, a finalidade do tratamento não pode ser a discriminação do titular. Usar dado de saúde de candidatos para desqualificá-los em processos seletivos é vedado independentemente da base legal invocada.

Obrigações práticas para empresas que lidam com dados sensíveis

Relatório de Impacto à Proteção de Dados (RIPD)

O tratamento de dados sensíveis é uma das situações que tipicamente exige a elaboração do Relatório de Impacto à Proteção de Dados Pessoais. O RIPD deve descrever os processos de tratamento, as medidas de mitigação de risco e a fundamentação para a base legal adotada. A ANPD pode solicitar esse documento a qualquer momento durante uma investigação.

Encarregado (DPO) e políticas de acesso

Organizações que tratam dados sensíveis em escala têm forte recomendação de indicar um encarregado de proteção de dados (DPO), e dependendo do porte e do volume de dados, essa indicação se torna obrigação prática. O encarregado é o canal de comunicação entre a empresa, os titulares e a ANPD. Internamente, políticas de acesso restrito devem garantir que apenas usuários com necessidade justificada acessem registros de dados sensíveis.

Medidas técnicas recomendadas

O tratamento de dados sensíveis requer controles proporcionais ao risco:

• Criptografia em repouso e em trânsito para arquivos e transmissões que contenham dados sensíveis
• Pseudonimização quando o dado pode ser dissociado do identificador direto sem prejudicar a finalidade do tratamento
• Controle de acesso por perfil, com logs de auditoria para rastrear quem acessou, quando e com qual justificativa
• Política de retenção definida, com rotina de eliminação segura ao término da finalidade

Princípio da necessidade e coleta mínima

O princípio da necessidade (art. 6º, III da LGPD) tem peso redobrado quando se trata de dados sensíveis. Coletar mais informação do que o estritamente necessário para a finalidade declarada não é apenas uma má prática de privacidade: é uma violação legal autônoma. Isso tem implicações diretas em processos de RH (questionários admissionais excessivos), saúde ocupacional (laudos com mais informações clínicas do que o necessário para o eSocial) e sistemas de autenticação biométrica (armazenamento do template completo quando um hash seria suficiente).

Consequências do tratamento irregular e papel da ANPD

Sanções aplicáveis

A LGPD prevê um conjunto de sanções administrativas que incluem advertência, multa de até 2% do faturamento do grupo econômico no Brasil (limitada a R$ 50 milhões por infração), publicização da infração, bloqueio e eliminação dos dados tratados irregularmente. O tratamento irregular de dados sensíveis pode agravar a avaliação do caso pela ANPD, uma vez que a própria lei reconhece o maior potencial de dano dessa categoria.

A responsabilidade civil também é afetada: o dano decorrente de exposição de dado sensível tende a ser considerado mais grave pelos tribunais brasileiros, o que eleva o risco de indenizações individuais e ações coletivas.

Casos práticos no Brasil

E-mails com cópia aberta: o envio de comunicações a grupos de pacientes, colaboradores ou associados em campo CC expõe endereços de e-mail que, em contexto de saúde ou de filiação sindical, tornam-se dados sensíveis. Situações assim já geraram notificações de autoridades regulatórias no Brasil e na Europa.

Exposição de candidatos em processos seletivos: currículos que contêm foto, estado civil e informações médicas circulando entre avaliadores sem controle de acesso configuram tratamento irregular. O uso de qualquer dessas informações para decisão discriminatória adiciona a violação do § 1º do art. 11.

Vazamentos em sistemas de saúde: hospitais, laboratórios e operadoras que sofreram incidentes de segurança expondo dados de pacientes enfrentam o escrutínio mais rigoroso da ANPD, já que a combinação de dado de saúde com identificadores pessoais representa risco direto de discriminação e dano reputacional ao titular.

Atuação da ANPD

A Autoridade Nacional de Proteção de Dados acumula os poderes normativo, fiscalizatório e sancionatório sobre o tratamento de dados sensíveis. A ANPD pode editar regulamentos específicos sobre categorias sensíveis, instaurar investigações de ofício ou por denúncia e aplicar as sanções previstas no art. 52 da LGPD. Com a consolidação do corpo técnico da autoridade e a publicação de regulamentos setoriais, a tendência é de fiscalização progressivamente mais ativa nessa área.

Como avaliar a maturidade da sua organização no tratamento de dados sensíveis

Use as perguntas abaixo como ponto de partida para um diagnóstico interno:

1. Inventário: você sabe quais dados sensíveis a organização coleta, onde estão armazenados e quem tem acesso?
2. Base legal: cada operação de tratamento de dado sensível tem base legal expressamente identificada no art. 11 e documentada no registro de operações?
3. RIPD: existe um Relatório de Impacto formalizado para os processos que envolvem dados sensíveis de alto risco?
4. Consentimento: os formulários de coleta apresentam o consentimento de forma específica e destacada, separado de outros termos?
5. Medidas técnicas: criptografia, controle de acesso por perfil e logs de auditoria estão implementados nos sistemas que armazenam dados sensíveis?
6. Retenção: existe política de eliminação segura com prazos definidos por finalidade?
7. RH e saúde ocupacional: os formulários admissionais e os laudos de saúde ocupacional coletam apenas o mínimo necessário para as obrigações legais trabalhistas?

Cada resposta negativa representa um gap que precisa de plano de ação com responsável e prazo. A revisão periódica desse diagnóstico, ao menos anual ou sempre que um novo processo de tratamento for criado, é parte essencial de um programa de privacidade sustentável.