Entenda o que são dados pessoais sensíveis, como reconhecê-los na rotina da empresa e quais cuidados a LGPD exige em formulários, sistemas, contratos e processos internos.

Se você está revisando um formulário de benefícios, contratando um sistema de controle de acesso ou conferindo uma planilha recebida de um fornecedor, a pergunta costuma ser direta: esse campo exige cuidado especial? Dados pessoais sensíveis são informações relacionadas a origem racial ou étnica, religião, opinião política, filiação sindical ou a determinadas organizações, saúde, vida sexual, genética ou biometria vinculada a uma pessoa natural. Essa categoria recebe proteção específica na Lei Geral de Proteção de Dados Pessoais (LGPD) porque o uso indevido pode aumentar riscos de discriminação, exposição da intimidade e prejuízo ao titular. Pense em uma pequena empresa que guarda laudos para administrar benefícios e usa impressão digital na entrada.

Nome e e-mail já são dados pessoais, mas laudo médico e biometria exigem análise mais rigorosa. O caminho prático é examinar o conteúdo, o vínculo com a pessoa, a finalidade, os acessos, os compartilhamentos e o tempo de retenção. Ao final, você terá critérios para revisar processos sem presumir que todo dado privado é sensível ou que todo tratamento depende de consentimento.

Em poucas palavras

• Dado pessoal sensível é uma categoria específica de informação ligada a uma pessoa natural e definida no art. 5º, II, da LGPD.
• A classificação depende do conteúdo e da possibilidade de vinculá-lo a uma pessoa, não do nome do campo ou do sistema utilizado.
• O art. 11 da LGPD estabelece hipóteses próprias para o tratamento de dados pessoais sensíveis; consentimento não é uma autorização genérica para qualquer uso.
• Dado público continua sendo dado pessoal e não pode ser reutilizado para qualquer finalidade sem análise de contexto, necessidade e compatibilidade.
• Dado anonimizado não é simplesmente um dado criptografado, codificado ou pseudonimizado.
• Fotografia comum, biometria e reconhecimento facial podem envolver tratamentos diferentes; a finalidade e o processamento técnico precisam ser examinados.
• A empresa deve registrar finalidade, responsáveis, acessos, compartilhamentos, prazo ou critério de retenção e destino final de cada campo sensível.
• Uma revisão operacional de 30 dias pode ser uma meta adaptável para iniciar o inventário, mas não é prazo imposto de forma geral pela LGPD.

O que são dados pessoais sensíveis, em poucas palavras?

O art. 5º, II, da LGPD define dado pessoal sensível como o dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, saúde ou vida sexual, dado genético ou dado biométrico, quando vinculado a uma pessoa natural. A definição deve ser lida junto com o conceito de dado pessoal do art. 5º, I: informação relacionada a pessoa natural identificada ou identificável.

Isso explica por que um campo chamado “observação” pode exigir mais cuidado do que o título sugere. Se alguém registra nesse espaço uma condição de saúde, uma crença religiosa ou uma informação sindical, o conteúdo pode ser sensível mesmo que a planilha não tenha uma coluna com esse nome. A classificação acompanha a informação e sua ligação com uma pessoa, não o formato do arquivo, o tamanho da empresa ou o fato de o dado ter sido recebido de um terceiro.

Para decidir de modo objetivo, aplique um teste em três perguntas. Primeiro: o registro se refere a uma pessoa natural identificada ou identificável? Segundo: o conteúdo revela uma das categorias listadas no art. 5º, II? Terceiro: a informação está vinculada ao titular de maneira direta ou por combinação com outros dados? Se as três respostas forem afirmativas, trate o campo como sensível até que uma análise documentada indique o contrário.

O risco ajuda a definir os controles, mas não substitui o teste legal. Uma informação médica pode exigir proteção especial mesmo quando o titular a forneceu voluntariamente. Por outro lado, uma estratégia comercial pode ser confidencial sem ser dado pessoal sensível. O tratamento não é proibido em toda situação; a empresa precisa demonstrar finalidade, necessidade, hipótese legal adequada e medidas de segurança compatíveis.

A proteção reforçada também alcança dados usados para produzir inferências. Se um sistema combina respostas de um questionário e classifica alguém segundo saúde, religião ou origem étnica, a empresa não deve ignorar o resultado apenas porque a categoria não foi digitada diretamente pelo titular. A finalidade e o impacto dessa inferência precisam entrar na avaliação.

Como identificar um dado pessoal sensível no dia a dia da empresa?

A triagem funciona melhor quando segue uma ordem documentada. Comece pelo inventário: liste formulários, planilhas, sistemas, aplicativos, integrações e arquivos físicos que recebem ou armazenam dados. Para cada campo, registre o nome técnico, o exemplo de valor, a pessoa responsável pelo processo, a finalidade, o sistema de origem, os usuários com acesso, os fornecedores envolvidos e o local de armazenamento.

Depois, aplique o teste de classificação. Nome, cargo e e-mail profissional geralmente são dados pessoais comuns. Nome acompanhado de laudo, registro de afastamento por motivo médico, resultado genético, filiação sindical ou biometria usada para autenticação exige tratamento como dado sensível. A empresa deve guardar como evidência pelo menos a descrição do campo, um exemplo sem dados reais sempre que possível, a finalidade declarada e a justificativa para classificar ou não classificar o conteúdo como sensível.

A triagem deve abranger todo o ciclo de vida: coleta no formulário, armazenamento, consulta, alteração, compartilhamento com fornecedor, exportação, backup e eliminação. Uma clínica ocupacional, por exemplo, pode enviar ao empregador uma conclusão necessária ao processo de trabalho sem entregar ao gestor o prontuário completo. A diferença está na finalidade e na minimização do acesso.

Defina responsabilidades. O dono do processo informa por que o dado é necessário; a área de privacidade ou jurídica revisa a hipótese legal e a transparência; a tecnologia verifica permissões, registros e eliminação; a segurança avalia riscos técnicos; e o gestor do contrato confirma quais fornecedores recebem a informação. Em empresas pequenas, uma mesma pessoa pode acumular funções, mas a decisão e a data da revisão devem ficar registradas.

Para aprovar um campo, a empresa deve ter finalidade específica, necessidade demonstrável, hipótese legal identificada, acesso limitado e prazo ou critério de retenção definido. Para restringi-lo, deve haver dúvida relevante sobre finalidade, excesso de pessoas com acesso, compartilhamento não mapeado ou risco técnico sem controle suficiente. Para eliminá-lo, deve-se confirmar que a finalidade terminou, que não existe obrigação legal de guarda, que não há solicitação ou disputa que exija preservação e que os backups serão tratados conforme a política aplicável.

A retenção não deve ser definida apenas pela capacidade do sistema. Um laudo pode ser mantido pelo período necessário ao atendimento da finalidade e às obrigações legais aplicáveis, enquanto um dado biométrico de acesso pode ser eliminado quando o vínculo ou a autorização de acesso terminar, observadas necessidades de auditoria e defesa de direitos. Como os prazos variam conforme o setor e a finalidade, documente a fonte da obrigação, a data de início da contagem, a periodicidade de revisão e o destino do dado.

1. Identifique a pessoa ou grupo ao qual o registro se refere.
2. Compare o conteúdo com as categorias do art. 5º, II, da LGPD.
3. Documente finalidade, necessidade, responsável e hipótese legal.
4. Mapeie acessos, fornecedores, transferências e cópias.
5. Defina retenção, revisão e eliminação antes de liberar o campo.

Quais bases legais e decisões práticas devem ser avaliadas?

Depois de classificar o dado, a empresa deve examinar uma hipótese do art. 11 da LGPD, que trata especificamente do tratamento de dados pessoais sensíveis. Entre as possibilidades estão o consentimento específico e destacado para finalidades específicas, o cumprimento de obrigação legal ou regulatória, a execução de políticas públicas, a realização de estudos por órgão de pesquisa quando aplicável, o exercício regular de direitos, a proteção da vida ou da incolumidade física, a tutela da saúde em procedimento realizado por profissionais ou serviços de saúde e a garantia da prevenção à fraude e da segurança do titular em processos de identificação e autenticação.

A hipótese escolhida precisa corresponder ao fato real. Não basta inserir uma autorização genérica em um contrato para justificar qualquer coleta futura. O consentimento deve ser informado, específico e destacado, conforme a disciplina da LGPD, e pode ser inadequado quando houver desequilíbrio que comprometa sua liberdade. Na relação de trabalho, por exemplo, a empresa deve avaliar com cuidado se a recusa do empregado poderia gerar pressão ou consequência indevida.

Em uma academia que pergunta sobre restrições de saúde, a decisão prática é coletar somente o que for necessário para prestar o serviço, informar a finalidade, limitar o acesso aos profissionais que precisam da informação e estabelecer quando o registro será revisto ou eliminado. Em um controle de acesso por impressão digital, a empresa deve avaliar se o método é necessário, quais alternativas existem, quem administra o sistema, se o fornecedor mantém modelos biométricos e como o acesso é revogado.

O art. 6º da LGPD orienta princípios como finalidade, adequação, necessidade, transparência, segurança, prevenção e não discriminação. O art. 46 exige medidas de segurança técnicas e administrativas aptas a proteger os dados de acessos não autorizados e situações acidentais ou ilícitas. Na prática, isso pode significar autenticação forte, segregação de funções, registro de acessos, revisão periódica de permissões, criptografia quando adequada, treinamento e procedimento para incidentes.

Se a empresa usa operador, plataforma de benefícios, clínica, empresa de segurança ou fornecedor de reconhecimento facial, deve documentar o fluxo de dados e distribuir responsabilidades em contrato e procedimento interno. Quando houver transferência internacional, o tema deve ser analisado conforme os arts. 33 a 36 da LGPD e a regulamentação aplicável, sem presumir que o uso de uma plataforma estrangeira seja automaticamente permitido ou proibido.

Uma revisão inicial em 30 dias pode ser uma meta operacional razoável para uma empresa pequena mapear campos, acessos e fornecedores, mas esse número é apenas um exemplo adaptável à capacidade, ao volume e à criticidade do tratamento. A LGPD não estabelece esse prazo geral para todo diagnóstico. O importante é definir um responsável, uma data de entrega, critérios de aprovação e acompanhamento das pendências.

• Confirmar a finalidade e a necessidade antes da coleta.
• Selecionar e registrar a hipótese legal do art. 11.
• Verificar transparência, acesso, correção e demais direitos aplicáveis.
• Separar permissões por função e revisar acessos em intervalos definidos.
• Registrar fornecedores, transferências e medidas de segurança.
• Reavaliar o tratamento quando a finalidade, o sistema ou o risco mudar.

Como administrar retenção, eliminação, fornecedores e incidentes?

A retenção deve ser ligada à finalidade e às obrigações aplicáveis, não a uma regra universal de “guardar por cinco anos”. Para cada conjunto de dados, escreva por que ele permanece armazenado, qual evento inicia a contagem, quem aprova a extensão e o que acontece ao final. Exemplos de eventos são o encerramento do contrato, a conclusão do benefício, o fim da autorização de acesso ou o encerramento de uma obrigação de prestação de contas.

Uma tabela interna de retenção pode conter cinco campos: finalidade, categoria de dado, prazo ou critério, responsável pela revisão e destino final. Se o prazo exato depender de obrigação trabalhista, regulatória, fiscal, contratual ou de sigilo profissional, registre essa dependência e peça validação da área responsável. Em saúde ocupacional, por exemplo, a definição não deve ser feita isoladamente pela equipe de tecnologia; deve considerar profissionais familiarizados com obrigações trabalhistas, regulatórias e de sigilo.

Eliminar não significa apenas apagar uma planilha visível. A empresa deve verificar bancos de dados, exportações, anexos, dispositivos, cópias compartilhadas e backups, respeitando a forma como sua política de continuidade trata restaurações. Quando a eliminação imediata não for tecnicamente possível, documente a restrição, limite o acesso e estabeleça a próxima janela de descarte.

Nos contratos com fornecedores, confira se o serviço coleta apenas os campos necessários, onde os dados ficam, quem pode acessá-los, como ocorre a devolução ou eliminação, como são comunicados incidentes e quais subcontratados participam da operação. O fornecedor não deve receber um prontuário inteiro quando precisa apenas de uma confirmação objetiva. A empresa também precisa manter uma visão própria do fluxo, mesmo quando a operação é terceirizada.

Para incidentes envolvendo dados sensíveis, preserve registros, interrompa acessos indevidos quando possível, identifique categorias e titulares afetados, avalie consequências e acione os responsáveis internos. A comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares deve ser analisada conforme a LGPD e as regras e orientações aplicáveis ao caso. Não prometa que todo incidente será comunicado nem que nenhum será: a decisão depende da avaliação concreta e dos requisitos vigentes.

O acesso a prontuários, laudos e registros de saúde merece cuidado adicional. Gestores devem receber somente a informação necessária para sua decisão, enquanto detalhes clínicos devem permanecer com profissionais e áreas autorizadas. Essa separação precisa ser revisada por alguém familiarizado com sigilo profissional, legislação trabalhista, regras regulatórias e responsabilidades do serviço de saúde envolvido.

Como diferenciar dado sensível de dado comum, público, anonimizado e confidencial?

As confusões mais frequentes acontecem quando conceitos diferentes são tratados como sinônimos. Dado sensível continua sendo dado pessoal, mas nem todo dado pessoal é sensível. Dado público pode estar disponível para qualquer pessoa e ainda assim continuar ligado a um titular. Informação confidencial pode exigir sigilo interno sem pertencer às categorias sensíveis. Já a anonimização depende da possibilidade razoável de identificar alguém, não apenas da troca do nome por um código.

O art. 7º, § 3º, da LGPD determina que o tratamento de dados pessoais cujo acesso é público deve considerar a finalidade, a boa-fé e o interesse público que justificaram sua disponibilização. Portanto, encontrar em um perfil aberto a indicação de que alguém participa de determinada organização religiosa não autoriza automaticamente importar a informação para selecionar candidatos ou criar campanhas. A publicidade não elimina a necessidade de avaliar compatibilidade, necessidade, transparência e segurança.

O art. 12 da LGPD prevê que dados anonimizados não são considerados dados pessoais para a lei, salvo quando o processo de anonimização for revertido, com seus próprios meios ou mediante esforços razoáveis, ou quando, com esforços razoáveis, a reversão puder ser realizada. Criptografia, mascaramento e pseudonimização podem proteger o acesso e reduzir a exposição, mas não provam sozinhos que a informação deixou de ser pessoal.

Uma fotografia comum também não deve ser classificada automaticamente como dado biométrico sensível apenas porque alguém consegue reconhecer visualmente a pessoa. A análise muda quando características físicas são extraídas ou processadas para identificar ou autenticar um indivíduo, sobretudo quando o resultado está vinculado ao titular. Uma imagem de evento, um banco de características faciais e um mecanismo de reconhecimento facial podem envolver finalidades, tecnologias e riscos diferentes.

Conceitos que costumam ser confundidos na triagem de privacidade

Conceito	O que significa	Exemplo	Cuidado principal
Dado pessoal comum	Informação relacionada a pessoa natural identificada ou identificável, sem pertencer por si só às categorias sensíveis.	Nome, e-mail pessoal ou cargo.	Avaliar finalidade, necessidade, hipótese legal e segurança.
Dado pessoal sensível	Dado pessoal ligado a origem racial ou étnica, religião, política, sindicato, saúde, vida sexual, genética ou biometria vinculada.	Laudo médico, filiação sindical ou biometria usada para autenticação.	Aplicar hipótese legal do art. 11 e controles proporcionais ao risco.
Dado público	Informação acessível publicamente que continua podendo estar relacionada a uma pessoa.	Informação publicada em perfil aberto.	Não reutilizar para qualquer finalidade sem avaliar contexto e compatibilidade.
Dado anonimizado	Informação que não permite identificar o titular considerando meios razoáveis e disponíveis.	Relatório estatístico sem possibilidade razoável de reidentificação.	Verificar se dados auxiliares ou técnicas aplicadas permitem reversão.
Informação confidencial	Conteúdo restrito por decisão da organização, sem ser necessariamente dado pessoal sensível.	Estratégia comercial ou fórmula de produto.	Aplicar sigilo próprio, sem tratar confidencialidade como sinônimo de sensibilidade.

Como transformar a classificação em um plano de ação?

A classificação só produz resultado quando muda o processo. Comece por um inventário priorizado: saúde, biometria, genética, origem racial ou étnica, religião, opinião política, filiação sindical e vida sexual devem receber atenção antes de campos administrativos de menor impacto. Marque os sistemas críticos, os fornecedores externos, os acessos privilegiados e os processos que afetam emprego, crédito, benefícios, segurança ou atendimento.

Para cada item prioritário, produza uma ficha curta com finalidade, categoria, hipótese legal, titular responsável pelo processo, operadores, acessos, compartilhamentos, local de armazenamento, retenção, descarte e evidências da decisão. Uma ficha incompleta é melhor do que uma planilha extensa sem responsável, mas deve conter ao menos os elementos que permitam verificar por que o campo existe e quem pode agir sobre ele.

Em seguida, corrija os excessos mais claros. Retire perguntas opcionais sem finalidade, substitua prontuários completos por conclusões necessárias, restrinja a visualização por função, desligue integrações não utilizadas e elimine cópias antigas quando não houver obrigação de preservação. Registre a data, o responsável e o resultado de cada correção para que a revisão não dependa de memória.

Defina uma rotina de acompanhamento. Uma empresa pequena pode fazer uma reunião mensal de 30 minutos para revisar novos formulários, fornecedores e solicitações de acesso, além de uma revisão mais ampla a cada seis ou doze meses, conforme o risco e a capacidade operacional. Esses intervalos são parâmetros de governança, não prazos legais universais. Mudanças de finalidade, incidentes, aquisição de sistema ou alteração regulatória devem provocar uma revisão antecipada.

Quando houver biometria, reconhecimento facial, dados de saúde em grande volume, monitoramento sistemático, decisões automatizadas ou compartilhamentos extensos, busque análise jurídica e técnica especializada. A avaliação deve considerar os dispositivos da LGPD, normas setoriais, orientações vigentes da ANPD, contratos e características reais do sistema. Nenhum checklist substitui a análise do contexto.

1. Inventariar campos, sistemas, arquivos e fornecedores.
2. Priorizar dados sensíveis com maior impacto ou exposição.
3. Documentar finalidade, hipótese legal, acessos e retenção.
4. Corrigir coleta excessiva, permissões e compartilhamentos.
5. Programar revisão periódica e reavaliar mudanças relevantes.

Perguntas frequentes

Todo dado de saúde é considerado dado pessoal sensível?

Em regra, uma informação de saúde vinculada a pessoa natural se enquadra nessa categoria. O acesso deve ser limitado à finalidade necessária, sem exigir histórico mais amplo do que o serviço ou processo realmente demanda.

Uma foto é sempre um dado biométrico sensível?

Não. Uma imagem comum não se torna automaticamente biometria sensível. A análise depende do processamento voltado à identificação ou autenticação, da finalidade técnica e do vínculo do resultado com uma pessoa.

Dado público pode ser usado livremente pela empresa?

Não. A publicidade da informação não elimina sua natureza pessoal nem dispensa a avaliação de finalidade, compatibilidade, necessidade, transparência e segurança, conforme o contexto e a LGPD.

Qual é a diferença entre dado sensível e dado confidencial?

Dado sensível é uma categoria definida pela natureza da informação e pela LGPD. Confidencial é um nível de restrição adotado pela organização. Uma estratégia comercial pode ser confidencial sem ser dado pessoal.

Dado anonimizado ainda está sujeito à LGPD?

Se a anonimização for efetiva e não houver meios razoáveis de reidentificação, a análise pode ser diferente. Codificação, criptografia ou pseudonimização não provam, sozinhas, que o dado foi anonimizado.

A empresa precisa de consentimento para tratar qualquer dado sensível?

Não necessariamente. O tratamento depende da hipótese legal aplicável ao caso, especialmente das hipóteses do art. 11 da LGPD. Consentimento pode ser uma opção em determinadas situações, mas não substitui finalidade, necessidade e controles.

Dados de funcionários também podem ser dados pessoais sensíveis?

Sim. Informações de saúde, biometria, filiação sindical e outras categorias previstas na LGPD podem aparecer na relação de trabalho e exigem análise específica, inclusive quanto a sigilo e obrigações trabalhistas.

O que fazer ao descobrir dados sensíveis armazenados sem finalidade clara?

Suspenda novos usos não justificados, preserve evidências necessárias, identifique acessos e fornecedores, avalie a eliminação ou correção e registre a decisão. Casos complexos podem exigir apoio jurídico, técnico ou setorial especializado.

Uma empresa pequena precisa mapear e proteger dados sensíveis?

Sim. O porte não transforma um dado sensível em dado comum. A empresa pode começar com um inventário simples, revisão de campos, controle de acessos, política de retenção e análise dos fornecedores que participam do tratamento.

Quando vale a pena realizar uma avaliação de impacto ou buscar apoio especializado?

Considere essa medida quando houver grande volume, monitoramento sistemático, biometria, dados de saúde, decisões automatizadas, compartilhamentos extensos ou dúvidas sobre riscos, direitos dos titulares e hipóteses legais.

Resumindo

Se a sua empresa encontrou laudos, informações sindicais, dados religiosos, registros de saúde ou biometria em formulários e sistemas, comece pelo inventário: onde estão, para que servem, quem acessa, com quem são compartilhados e qual evento determina a eliminação. Depois, retire campos sem finalidade clara, reduza permissões, confirme a hipótese legal do art. 11 da LGPD e revise contratos e avisos de privacidade. Um diagnóstico de maturidade pode organizar esse levantamento e indicar quais documentos e controles merecem prioridade. A ferramenta ajuda a estruturar o trabalho, mas situações com saúde, biometria, reconhecimento facial, monitoramento ou obrigações setoriais devem ser avaliadas por profissionais familiarizados com privacidade, segurança, relações trabalhistas e sigilo profissional.

Fontes

1. Cartilha de Segurança para Internet. Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br). Explica golpes, ataques, códigos maliciosos e outras técnicas usadas para induzir vítimas a revelar informações ou permitir o acesso indevido a contas e dispositivos.