Dados Sensíveis na LGPD: Tratamento e Proteção Especial

O Que São Dados Sensíveis na LGPD

A LGPD distingue, de forma clara, os dados pessoais comuns dos dados pessoais sensíveis. Enquanto os primeiros abrangem qualquer informação que identifique ou torne identificável uma pessoa natural — como nome, endereço, número de telefone ou e-mail —, os dados sensíveis recebem tratamento diferenciado em razão do maior potencial de gerar discriminação ou violação à dignidade humana.

O artigo 5º, inciso II, da LGPD define como dados pessoais sensíveis aqueles que digam respeito a:

• Origem racial ou étnica;
• Convicção religiosa;
• Opinião política;
• Filiação a sindicato ou a organização de caráter religioso, filosófico ou político;
• Dado referente à saúde ou à vida sexual;
• Dado genético ou biométrico, quando vinculado a uma pessoa natural.

Essa categorização reflete uma preocupação legítima do legislador. Historicamente, informações sobre origem étnica, crença religiosa ou condição de saúde já foram — e ainda são — usadas como base para decisões discriminatórias em contratações, concessão de crédito, acesso a serviços e diversas outras situações da vida civil. A lei, ao destacar esses dados, impõe um nível de responsabilidade mais elevado a quem os coleta e trata.

Cabe destacar que o tratamento de dados biométricos merece atenção especial no contexto tecnológico atual. O uso de reconhecimento facial, leitura de impressões digitais e análise de íris em sistemas de controle de acesso tornou-se comum em empresas. Todos esses recursos envolvem dados sensíveis e, portanto, exigem conformidade estrita com a LGPD.

Hipóteses Legais para o Tratamento de Dados Sensíveis

O artigo 11 da LGPD disciplina as bases legais aplicáveis ao tratamento de dados sensíveis. Ao contrário dos dados comuns, que admitem dez hipóteses de tratamento (artigo 7º), os dados sensíveis possuem um rol mais restrito e exigente. Compreender essas hipóteses é fundamental para qualquer organização que precise lidar com esse tipo de informação.

As principais bases legais para o tratamento de dados sensíveis são:

Consentimento específico e destacado: O titular deve consentir de forma explícita, sendo informado claramente sobre a finalidade específica do tratamento. Não basta um consentimento genérico inserido em meio a um longo contrato de adesão. A LGPD exige que o consentimento seja “destacado”, o que implica que a autorização para o tratamento de dados sensíveis deve estar separada das demais cláusulas e ser claramente identificável pelo titular.

Cumprimento de obrigação legal ou regulatória: Quando a lei impõe ao controlador a necessidade de tratar determinados dados sensíveis, essa obrigação legal serve como base jurídica suficiente. Um exemplo típico é o tratamento de dados de saúde por operadoras de planos de saúde para fins de cobertura contratual e regulação pela Agência Nacional de Saúde Suplementar (ANS).

Execução de políticas públicas: Órgãos públicos podem tratar dados sensíveis quando isso for necessário à execução de políticas públicas previstas em leis ou regulamentos. Programas sociais, de saúde pública e de assistência, por exemplo, frequentemente envolvem dados sensíveis de seus beneficiários.

Estudos por órgão de pesquisa: Entidades de pesquisa podem tratar dados sensíveis para fins de estudos, garantida, sempre que possível, a anonimização dos dados. Institutos de pesquisa, universidades e centros de saúde se enquadram nessa hipótese.

Exercício regular de direitos: Quando o tratamento é necessário para o exercício de direito em processo judicial, administrativo ou arbitral, a lei o autoriza. Isso é relevante, por exemplo, para escritórios de advocacia que lidam com dados de saúde de seus clientes no contexto de ações previdenciárias.

Proteção da vida ou da incolumidade física: Em situações emergenciais, o tratamento pode ocorrer independentemente de consentimento, desde que seja para proteger a vida do titular ou de terceiro.

Tutela da saúde, exclusivamente por profissionais da área: Médicos, hospitais, clínicas e demais profissionais de saúde podem tratar dados sensíveis relacionados à saúde do paciente para fins de diagnóstico, tratamento e prevenção, respeitados os deveres éticos e de sigilo profissional.

Prevenção à fraude e à segurança do titular: Em processos de identificação e autenticação, o tratamento de dados biométricos pode ser realizado para prevenir fraudes, desde que observados os princípios da necessidade e da proporcionalidade.

É fundamental que o controlador identifique, de forma prévia ao início do tratamento, qual base legal se aplica ao seu caso concreto. A ausência de uma base legal adequada torna o tratamento ilícito e sujeita o infrator a sanções administrativas pela Autoridade Nacional de Proteção de Dados (ANPD).

Medidas de Proteção Exigidas e Boas Práticas

Identificar a base legal é apenas o primeiro passo. A LGPD impõe um conjunto de obrigações adicionais específicas para o tratamento de dados sensíveis, que vão desde a adoção de medidas técnicas e administrativas até a criação de documentação interna adequada.

Privacy by Design e Privacy by Default: O artigo 46 da LGPD exige que os controladores adotem medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas. Para dados sensíveis, essa exigência ganha ainda mais relevância. O conceito de “privacidade desde a concepção” (privacy by design) orienta que a proteção de dados seja pensada desde o início de qualquer sistema, produto ou processo que envolva tratamento de informações pessoais.

Relatório de Impacto à Proteção de Dados Pessoais (RIPD): A ANPD pode determinar ao controlador a elaboração de relatório de impacto à proteção de dados sempre que o tratamento envolver dados sensíveis. Mesmo quando não exigido de forma compulsória pela autoridade, a elaboração do RIPD é uma boa prática recomendada, pois documenta os riscos identificados e as medidas mitigadoras adotadas, servindo como prova de conformidade em caso de fiscalização.

Minimização e finalidade: O princípio da necessidade (artigo 6º, III, da LGPD) determina que apenas os dados estritamente necessários para atingir a finalidade declarada devem ser coletados. Para dados sensíveis, esse princípio deve ser aplicado com ainda mais rigor. Não se deve coletar dados de saúde, por exemplo, se a finalidade do tratamento pode ser atingida sem essa informação.

Treinamento de equipes: O tratamento inadequado de dados sensíveis frequentemente ocorre não por má-fé, mas por desconhecimento dos colaboradores. Programas internos de capacitação em proteção de dados são essenciais para garantir que todos os envolvidos no ciclo de tratamento compreendam suas responsabilidades.

Contratos com operadores: Quando o tratamento é realizado por operadores (terceiros que atuam em nome do controlador), é obrigatória a formalização contratual que estabeleça as obrigações de segurança e confidencialidade. Para dados sensíveis, recomenda-se a inclusão de cláusulas específicas sobre o nível de proteção exigido e as consequências em caso de incidente.

Sanções, Responsabilidade e o Papel da ANPD

O descumprimento das regras aplicáveis ao tratamento de dados sensíveis expõe o infrator a um conjunto amplo de consequências. No âmbito administrativo, a ANPD pode aplicar as sanções previstas no artigo 52 da LGPD, que incluem:

• Advertência, com indicação de prazo para adoção de medidas corretivas;
• Multa simples de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração;
• Multa diária;
• Publicização da infração, após devidamente apurada e confirmada;
• Bloqueio ou eliminação dos dados pessoais a que se refere a infração;
• Suspensão parcial ou total do banco de dados;
• Proibição parcial ou total do exercício de atividades relacionadas ao tratamento de dados.

Além das sanções administrativas, o titular cujos dados foram tratados em desconformidade com a lei tem direito à reparação por danos materiais e morais, com base no artigo 42 da LGPD. Em casos envolvendo dados sensíveis, a probabilidade de reconhecimento de dano moral é elevada, dada a natureza das informações e o potencial discriminatório de sua exposição.

É importante registrar que a LGPD adota a responsabilidade objetiva do operador em determinadas hipóteses e impõe ao controlador o ônus de provar que cumpriu a legislação. Isso significa que, diante de um incidente envolvendo dados sensíveis, não basta ao controlador alegar que tomou cuidados razoáveis: ele precisa demonstrar, com documentação, que adotou as medidas exigidas pela lei.

A ANPD tem publicado orientações e guias temáticos sobre proteção de dados em setores específicos, como saúde e setor público. Recomendamos acompanhar as publicações da autoridade, disponíveis em seu sítio oficial, para manter-se atualizado sobre as interpretações regulatórias mais recentes.

No contexto jurídico, profissionais do direito que atuam em áreas como direito previdenciário, direito do trabalho ou direito da saúde lidam rotineiramente com dados sensíveis de seus clientes. Laudos médicos, históricos de saúde, informações sobre deficiências e dados biométricos são exemplos comuns. Esses profissionais devem adotar políticas internas de proteção de dados compatíveis com a LGPD, ainda que atuem individualmente ou em escritórios de pequeno porte.