Datos sensibles en la LGPD: tratamiento y protección especial

Esta página es una traducción del texto original en portugués, ofrecida para facilitar la lectura. Trata del derecho brasileño. En caso de divergencia, prevalece la versión en portugués. Leer el original en portugués

La LGPD (Ley General de Protección de Datos de Brasil) otorga una protección reforzada a los datos sensibles y exige a las organizaciones cuidados específicos que van mucho más allá del tratamiento común de datos personales.

Qué son los datos sensibles en la LGPD y por qué reciben una protección diferenciada

La Ley General de Protección de Datos (Ley n.º 13.709/2018) estableció una categoría especial de información personal que requiere un tratamiento diferenciado: los datos personales sensibles. Esta distinción no es meramente conceptual, sino que tiene consecuencias prácticas significativas para empresas, órganos públicos y cualquier organización que realice operaciones con este tipo de información. Cuando hablamos de datos sensibles, nos referimos a información que, por su propia naturaleza, puede exponer a su titular a situaciones de discriminación, vergüenza o vulnerabilidad si se utiliza de forma inadecuada.

El artículo 5.º, inciso II, de la LGPD define como dato personal sensible aquel que se refiere al origen racial o étnico, a las convicciones religiosas, a las opiniones políticas, a la afiliación a un sindicato o a una organización de carácter religioso, filosófico o político, a la salud o a la vida sexual, y los datos genéticos o biométricos, cuando estén vinculados a una persona natural. Observamos que el legislador brasileño optó por una lista taxativa; es decir, solo las categorías expresamente previstas en la ley reciben esta protección especial. Esta elección sigue la tradición del Reglamento General de Protección de Datos europeo (GDPR), que sirvió de inspiración directa para la legislación brasileña.

La razón de esta protección diferenciada reside en el potencial discriminatorio que conlleva el uso indebido de esta información. Pensemos, por ejemplo, en una empresa que utiliza datos sobre el estado de salud de los candidatos para negarles un puesto de trabajo, o en una aseguradora que accede a información genética para rechazar la cobertura. Estos escenarios ilustran por qué el tratamiento de datos sensibles exige bases legales más restringidas y controles más rigurosos que los aplicables a los datos personales comunes.

Este asunto está directamente relacionado con la anonimización y seudonimización de datos, tema que abordamos en un artículo específico.

Este asunto está directamente relacionado con los datos biométricos, tema que abordamos en un artículo específico.

Bases legales para el tratamiento de datos sensibles

Uno de los puntos más relevantes de la LGPD en materia de datos sensibles es la restricción de los supuestos que autorizan su tratamiento. Mientras que los datos personales comunes pueden tratarse con fundamento en diez bases legales previstas en el artículo 7.º de la ley, los datos sensibles cuentan con una lista más reducida, prevista en el artículo 11. A continuación se analizan los principales supuestos habilitantes.

Consentimiento del titular

El consentimiento para el tratamiento de datos sensibles debe otorgarse de forma específica y destacada, para finalidades específicas. Esto significa que no basta una autorización genérica incluida en unos extensos términos de uso. La organización debe informar al titular, de manera clara e inequívoca, qué datos sensibles se recopilarán, para qué finalidad se utilizarán y durante cuánto tiempo se almacenarán. Se constata que esta exigencia de especificidad es considerablemente más rigurosa que la aplicable al consentimiento para datos personales comunes, en el que la ley ya impone requisitos de claridad y transparencia.

Supuestos de tratamiento sin consentimiento

La LGPD también prevé situaciones en las que los datos sensibles pueden tratarse sin el consentimiento del titular, siempre que sean indispensables para determinadas finalidades. Entre esos supuestos cabe destacar: el cumplimiento de una obligación legal o regulatoria por parte del controlador; el tratamiento compartido de datos necesarios para la ejecución de políticas públicas previstas en leyes o reglamentos; la realización de estudios por un órgano de investigación (garantizando, siempre que sea posible, la anonimización de los datos); el ejercicio regular de derechos, incluso en contratos y en procesos judiciales, administrativos y arbitrales; la protección de la vida o de la integridad física del titular o de un tercero; y la tutela de la salud, exclusivamente en procedimientos realizados por profesionales de la salud, servicios de salud o autoridades sanitarias.

El tratamiento de datos sensibles exige no solo una base legal válida, sino un conjunto sólido de medidas técnicas y administrativas que garanticen la seguridad de esta información durante todo su ciclo de vida.

Observamos que el interés legítimo, base legal ampliamente utilizada para los datos personales comunes, no figura entre los supuestos habilitantes para los datos sensibles. Esta exclusión es deliberada y refuerza la intención del legislador de limitar al máximo las situaciones en que información de esta naturaleza puede procesarse sin el consentimiento expreso del titular.

Medidas técnicas y administrativas de protección

La protección de los datos sensibles no se agota en la identificación de una base legal adecuada. La LGPD exige que los agentes de tratamiento adopten medidas de seguridad, técnicas y administrativas, aptas para proteger los datos personales frente a accesos no autorizados y a situaciones accidentales o ilícitas de destrucción, pérdida, alteración, comunicación o cualquier forma de tratamiento inadecuado o ilícito. Cuando se trata de datos sensibles, estas exigencias cobran aún más relevancia.

Controles técnicos recomendados

Entre las medidas técnicas que consideramos esenciales para la protección de datos sensibles cabe destacar el cifrado de los datos en reposo y en tránsito, la implementación de controles de acceso basados en el principio del mínimo privilegio (de modo que solo las personas autorizadas accedan a la información), el uso de técnicas de anonimización y seudonimización siempre que sea posible, el mantenimiento de registros de acceso (logs) con fines de auditoría, la realización de pruebas periódicas de seguridad y la adopción de medidas de prevención contra filtraciones de datos. Estas prácticas deben ser proporcionales a la naturaleza de los datos tratados y a los riesgos involucrados.

Medidas administrativas y gobernanza

En el ámbito administrativo, la gobernanza de los datos sensibles requiere la elaboración de políticas internas claras sobre el tratamiento de esta información, la capacitación periódica de los colaboradores que manejan datos sensibles, el nombramiento de un Encargado de Protección de Datos (DPO) con conocimientos adecuados en la materia, la elaboración de Informes de Impacto a la Protección de Datos Personales (RIPD) cuando el tratamiento involucre datos sensibles a gran escala y la revisión periódica de los procesos de tratamiento para verificar el cumplimiento continuo de la legislación.

La Autoridad Nacional de Protección de Datos (ANPD) puede ordenar la elaboración del RIPD siempre que el tratamiento de datos personales pueda generar riesgos para las libertades civiles y los derechos fundamentales. En el caso de los datos sensibles, esta posibilidad es particularmente relevante, pues el potencial de daño para el titular es significativamente mayor.

Due diligence de datos sensibles en operaciones empresariales

El proceso de due diligence que involucra datos sensibles adquiere una importancia creciente en operaciones de fusiones y adquisiciones, alianzas comerciales, contratación de proveedores y prestadores de servicios. Cuando una organización analiza los riesgos de otra empresa, el mapeo del tratamiento de datos sensibles debe ser uno de los pilares de la investigación. Descuidar este aspecto puede generar pasivos significativos, tanto financieros como reputacionales.

En la práctica de la due diligence de datos, se analiza si la organización investigada cuenta con un mapeo completo de los datos sensibles que trata, si las bases legales utilizadas son adecuadas para cada operación, si existen contratos con operadores y suboperadores que contemplen cláusulas específicas sobre datos sensibles, si se han implementado medidas de seguridad proporcionales a la criticidad de la información, si hay antecedentes de incidentes de seguridad que involucren este tipo de datos y si la organización mantiene documentación actualizada de sus actividades de tratamiento.

Se constata que muchas empresas aún abordan de forma superficial el cumplimiento de la LGPD, especialmente en lo que se refiere a los datos sensibles. Una due diligence rigurosa permite identificar vulnerabilidades que pueden representar riesgos concretos para la organización adquirente o aliada. Una filtración de datos sensibles puede acarrear sanciones administrativas, acciones judiciales individuales y colectivas, además de daños irreparables a la reputación empresarial.

Lista de verificación práctica para la due diligence de datos sensibles

Para llevar a cabo una due diligence eficaz en esta área, se recomienda verificar los siguientes puntos: existencia de un inventario actualizado de los datos sensibles tratados por la organización; registro de las bases legales utilizadas para cada actividad de tratamiento; políticas de conservación y eliminación específicas para datos sensibles; contratos con terceros que contengan cláusulas adecuadas de protección de datos; evidencias de capacitación de los colaboradores sobre el tratamiento de datos sensibles; existencia de un plan de respuesta a incidentes que contemple escenarios con datos sensibles; y documentación de los Informes de Impacto ya realizados.

Consecuencias del tratamiento irregular de datos sensibles

El tratamiento irregular de datos sensibles puede acarrear consecuencias severas para las organizaciones. Las sanciones administrativas previstas en la LGPD incluyen advertencia, multa simple de hasta el 2% de los ingresos de la persona jurídica (limitada a R$ 50 millones por infracción), multa diaria, publicidad de la infracción, bloqueo de los datos personales, eliminación de los datos personales, suspensión parcial del funcionamiento de la base de datos y prohibición parcial o total del ejercicio de actividades relacionadas con el tratamiento de datos.

Además de las sanciones administrativas, las organizaciones están sujetas a responsabilidad civil por los daños causados a los titulares. Los tribunales brasileños ya han analizado casos que involucran filtraciones y uso indebido de datos personales, y la tendencia es hacia un fortalecimiento de la protección del titular. En el ámbito de las relaciones de consumo, la responsabilidad es objetiva, por lo que no se exige probar la culpa del controlador ni del operador.

Cabe destacar que la gravedad de las sanciones tiende a ser mayor cuando los datos involucrados son sensibles, dado su potencial discriminatorio y el mayor impacto sobre los derechos fundamentales de los titulares. Por ello, invertir en cumplimiento normativo no es solo una obligación legal, sino una decisión estratégica que protege a la organización y fortalece la confianza de sus partes interesadas (stakeholders).

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.