Entenda quais dados são sensíveis pela LGPD, diferencie-os de dados pessoais comuns e organize decisões de governança em RH, biometria, benefícios e fornecedores.

Você revisa o cadastro de funcionários e encontra atestados médicos, informações sobre benefícios, dados de deficiência em currículos ou biometria usada no controle de acesso. A dúvida aparece imediatamente: quais dessas informações entram na categoria de dados pessoais sensíveis e exigem uma análise diferente? A pergunta “a LGPD define os dados sensíveis como” não deve ser respondida apenas com uma lista. É preciso compreender a definição do art. 5º, II, da Lei nº 13.709/2018, separar classificação jurídica de risco operacional e transformar essa distinção em decisões concretas sobre coleta, acesso, compartilhamento e retenção. Este guia parte da lei, apresenta limites importantes para inferências e biometria e termina com um método de organização aplicável a empresas pequenas e médias.

Principais pontos

• A LGPD considera sensíveis os dados pessoais sobre origem racial ou étnica, religião, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, saúde, vida sexual, genética ou biometria, quando vinculados a uma pessoa natural.
• Dado privado, confidencial ou relevante não é automaticamente dado pessoal sensível; a classificação depende da definição legal e da possibilidade de vinculação a uma pessoa.
• Documentos, combinações e inferências exigem análise cuidadosa, mas uma inferência não se torna automaticamente dado sensível apenas porque pode sugerir saúde, religião ou outra categoria do art. 5º, II.
• Biometria deve ser analisada conforme a definição legal e o tratamento realizado; uma fotografia comum não é automaticamente dado biométrico sensível.
• Consentimento não é autorização universal para tratar dados sensíveis. Finalidade, necessidade, hipótese legal, direitos do titular e segurança precisam ser examinados em conjunto.
• Uma pequena empresa reduz riscos quando mapeia os fluxos, elimina coletas sem finalidade, limita acessos, avalia fornecedores e define critérios de retenção e descarte.

O que a LGPD classifica como dado pessoal sensível?

A resposta legal está no art. 5º, II, da Lei Geral de Proteção de Dados Pessoais (LGPD): dado pessoal sensível é o dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, saúde ou vida sexual, além de dado genético ou biométrico, quando vinculado a uma pessoa natural. O texto oficial pode ser consultado no Planalto: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm.

A definição tem dois elementos que precisam aparecer juntos. Primeiro, a informação deve ser um dado pessoal, isto é, estar relacionada a uma pessoa natural identificada ou identificável. Segundo, ela deve corresponder a uma das categorias listadas na lei. Um relatório estatístico completamente desvinculado de pessoas não é classificado da mesma maneira que um cadastro individualizado de empregados.

A categoria não depende do nome dado ao arquivo. Uma pasta chamada “administrativo” pode conter um atestado médico; uma planilha de benefícios pode revelar religião ou condição de saúde; um sistema de ponto pode processar biometria. Da mesma forma, chamar um documento de “confidencial” não transforma todos os seus campos em dados sensíveis. Confidencialidade é uma medida ou característica de acesso; sensibilidade é uma classificação jurídica que deve ser analisada conforme o conteúdo e a vinculação com o titular.

Nome, telefone, e-mail e CPF são, em regra, dados pessoais, mas não aparecem automaticamente na lista do art. 5º, II. Isso não significa que possam ser tratados sem cuidado. Eles continuam sujeitos aos princípios, às bases legais, aos direitos dos titulares e às medidas de segurança previstas na LGPD. A ANPD reúne conceitos em seu Glossário de Proteção de Dados Pessoais: https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/glossario-de-protecao-de-dados-pessoais.

Também é importante não confundir dado sensível com dado anonimizado. A anonimização precisa impedir, considerando os meios próprios e razoáveis disponíveis no momento do tratamento, a associação direta ou indireta do dado a uma pessoa. Retirar apenas o nome pode ser insuficiente se matrícula, combinação de atributos, imagem ou outro identificador permitir a reidentificação. A efetividade dessa técnica deve ser avaliada no contexto real, e não presumida pelo simples apagamento de um campo.

Distinções úteis para a classificação inicial

Categoria	Exemplo	Efeito na análise
Dado pessoal comum	Nome, e-mail ou telefone vinculados a uma pessoa	Exige finalidade, necessidade, segurança e respeito aos direitos do titular, mas não se enquadra automaticamente no art. 5º, II.
Dado pessoal sensível	Diagnóstico de saúde, filiação sindical ou dado biométrico vinculado a uma pessoa	Exige análise específica do art. 11, controles de acesso proporcionais e justificativa documentada para o tratamento.
Dado anonimizado	Conjunto tratado para não permitir a identificação por meios próprios e razoáveis	Não é, em regra, dado pessoal enquanto a anonimização for efetiva; a conclusão precisa considerar o risco de reidentificação.

Como interpretar situações concretas sem ampliar indevidamente a lista legal?

A aplicação cotidiana começa com uma sequência simples, mas não se encerra nela: identifique a pessoa relacionada à informação, verifique se o conteúdo corresponde a uma categoria do art. 5º, II, e só então examine finalidade, necessidade e contexto. Essa ordem evita dois erros opostos: tratar todo dado delicado como sensível ou ignorar uma categoria sensível porque ela está escondida em um documento mais amplo.

Em um formulário de diversidade, raça ou etnia pode ser informada diretamente. Em um atendimento, a religião pode aparecer porque a pessoa pediu uma acomodação específica. Uma comunicação sindical pode revelar filiação a sindicato. Atestados, exames ocupacionais e restrições médicas podem conter dados de saúde. Exames especializados podem envolver dados genéticos. Cada caso exige verificar a vinculação com a pessoa e o uso efetivamente realizado pela empresa.

Inferências precisam de uma ressalva jurídica. Um sistema que observa a compra recorrente de determinado produto pode gerar uma hipótese sobre saúde, religião ou outro aspecto pessoal. Isso pode aumentar o risco de discriminação e justificar uma avaliação de privacidade, mas não significa que toda inferência ou todo agrupamento se enquadre automaticamente como dado pessoal sensível. O enquadramento depende do conteúdo da informação produzida, da possibilidade de associação ao titular, do grau de precisão e da forma como ela é usada para tomar decisões.

Por isso, a empresa não deve simplesmente aplicar a classificação mais severa a qualquer correlação estatística. Deve registrar o que foi inferido, de quem, com qual grau de confiabilidade, para qual finalidade e com quais efeitos. Se a inferência for usada para negar serviço, selecionar candidatos, definir benefícios ou classificar pessoas, a avaliação de riscos e de discriminação se torna especialmente relevante, ainda que a conclusão não seja automaticamente um dado sensível do art. 5º, II.

A biometria também exige precisão. A LGPD inclui dado biométrico na categoria sensível quando vinculado a uma pessoa natural, mas a lei não deve ser reduzida a uma explicação segundo a qual biometria só existe quando usada para identificar ou autenticar alguém. É necessário examinar a característica física ou comportamental tratada, o método de captura, a possibilidade de vinculação e a finalidade concreta. Uma fotografia comum, por si só, não é automaticamente dado biométrico sensível; já a extração e o tratamento de características para um sistema biométrico podem conduzir a outra análise.

No controle de ponto, por exemplo, a empresa deve saber se coleta uma imagem, uma impressão digital, um padrão facial ou outro dado, se armazena a característica original ou um modelo, quem administra o sistema e se há alternativa menos intrusiva. A presença de uma finalidade legítima não elimina a necessidade de avaliar necessidade, proporcionalidade, segurança e transparência.

• Descreva o dado efetivamente coletado, e não apenas o nome do formulário ou do sistema.
• Registre se a pessoa está identificada ou pode ser identificada por combinação de informações.
• Diferencie dado declarado, dado observado, dado calculado e inferência produzida pelo sistema.
• Avalie se a informação é usada para decidir, classificar, restringir acesso ou oferecer um serviço.
• Documente a razão para considerar o dado sensível, não sensível, anonimizado ou ainda inconclusivo.

Quais regras jurídicas orientam o tratamento de dados sensíveis?

A classificação é apenas o ponto de partida. O tratamento de dados pessoais sensíveis possui regras próprias no art. 11 da LGPD, que prevê hipóteses específicas, incluindo consentimento específico e destacado para finalidades específicas e outras situações previstas na própria lei. Não é correto afirmar que toda operação exige consentimento, nem que um consentimento genérico autoriza qualquer uso posterior.

A hipótese legal precisa ser relacionada à finalidade real. O tratamento de um atestado para administrar uma ausência não autoriza divulgar o diagnóstico a todo o setor. A utilização de informação de saúde para uma finalidade trabalhista, assistencial ou de segurança pode envolver bases e limites diferentes. Em relações de trabalho, a desigualdade entre as partes também recomenda cautela especial ao avaliar se o consentimento foi realmente livre e específico.

Os princípios do art. 6º continuam relevantes: finalidade, adequação, necessidade, livre acesso, qualidade, transparência, segurança, prevenção e não discriminação, entre outros. A empresa deve conseguir explicar por que coleta determinada informação, por que precisa dela, quem a recebe e por quanto tempo pretende mantê-la. A sensibilidade não substitui essa análise; ela aumenta a necessidade de justificativa e proteção.

A ANPD disponibiliza uma página de Perguntas Frequentes para orientações gerais: https://www.gov.br/anpd/pt-br/acesso-a-informacao/perguntas-frequentes. Esse material não elimina a necessidade de interpretar a LGPD conforme o caso concreto. Também é importante verificar atos específicos da ANPD quando o processo envolver determinado setor, tipo de titular, transferência internacional ou obrigação regulatória.

A Resolução CD/ANPD nº 19/2024 deve ser consultada quando a questão envolver transferência internacional de dados, pois esse é o tema específico de sua regulamentação. A página temática da ANPD pode ser acessada em https://www.gov.br/anpd/pt-br/assuntos/transferencia-internacional-de-dados. A resolução não deve ser citada como fundamento genérico para classificar qualquer dado como sensível ou para justificar qualquer rotina interna.

Quando uma operação apresentar riscos relevantes às liberdades civis e aos direitos fundamentais, a empresa pode organizar uma avaliação mais estruturada. O Relatório de Impacto à Proteção de Dados Pessoais (RIPD) é um instrumento de descrição dos tratamentos, das necessidades, dos riscos e das medidas destinadas a mitigá-los. A obrigação de elaborar um RIPD não decorre automaticamente de toda coleta de dado sensível; ela depende da hipótese legal e de eventual determinação ou regulamentação aplicável, sem prejuízo de a elaboração voluntária ser uma boa prática de governança. A ANPD mantém informações sobre RIPD em https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/relatorio-de-impacto-a-protecao-de-dados-pessoais-ripd.

Como transformar a classificação em controles de governança?

A classificação só produz resultado quando modifica uma rotina. Para uma pequena ou média empresa, é mais eficiente começar por processos com exposição relevante, como recursos humanos, benefícios, saúde ocupacional, controle de acesso, atendimento e fornecedores de tecnologia. Em vez de tentar revisar todos os arquivos ao mesmo tempo, escolha um fluxo concreto, como o recebimento de atestados, e acompanhe o caminho da informação desde a coleta até o descarte.

No inventário, registre os dados envolvidos, os titulares, a finalidade, a localização, os responsáveis, os acessos, os compartilhamentos, os fornecedores e a razão para manter a informação. Um prazo interno de duas a quatro semanas pode ser adotado como meta de organização para um primeiro fluxo, desde que a empresa ajuste essa meta ao tamanho da equipe, à quantidade de sistemas e à complexidade do processo. Não se trata de prazo de adequação imposto pela LGPD.

A minimização deve ser aplicada no desenho do processo. Se o gestor só precisa saber que a ausência foi justificada, o RH pode manter o atestado em área restrita e transmitir apenas a informação administrativa necessária. Se um benefício não depende de religião, opinião política ou outra categoria sensível, esse campo não deveria ser obrigatório. Se o controle de entrada pode funcionar com crachá ou outro mecanismo proporcional, a empresa deve comparar as alternativas antes de adotar biometria.

A proteção continua depois da coleta. Separe permissões por função, use autenticação adequada, evite planilhas paralelas, mantenha registros de compartilhamento e elimine cópias quando não houver justificativa para conservá-las. Uma revisão semestral de acessos pode ser um parâmetro interno razoável para alguns processos, mas não é uma periodicidade universal de conformidade. O responsável deve ajustá-la ao risco, à rotatividade, à criticidade do sistema e às mudanças na equipe.

O mesmo vale para prazos de descarte. Eliminar cópias temporárias em 30 dias pode ser uma regra interna útil para determinado fluxo, mas não deve ser apresentado como prazo geral da LGPD. Antes de apagar, a empresa precisa verificar obrigações legais, exercício regular de direitos, auditorias, contratos, disputas e necessidades documentais. O critério deve ser definido por processo e registrado na política ou no inventário correspondente.

Fornecedores merecem uma análise própria. Ao contratar um sistema de ponto, por exemplo, pergunte quais dados são armazenados, se a biometria permanece no ambiente do fornecedor, quem administra permissões, se existem subcontratados, onde ocorre o tratamento, quais medidas de segurança são adotadas, como funciona a eliminação e o que acontece no encerramento do contrato. A análise contratual deve refletir as responsabilidades efetivamente assumidas, sem presumir que o fornecedor absorverá toda a responsabilidade da empresa.

Um roteiro inicial pode ser organizado assim:

O inventário deve ser revisado quando houver novo sistema, mudança de finalidade, contratação de fornecedor, alteração na tecnologia biométrica, incidente ou mudança relevante no grupo de titulares. A revisão não precisa seguir uma periodicidade única para todos os processos; deve ocorrer quando o risco ou o fluxo mudar. Isso é mais defensável do que adotar uma data fixa sem relação com a operação.

1. Escolha um processo prioritário e nomeie uma pessoa responsável pelo levantamento.
2. Desenhe o percurso do dado: coleta, uso, acesso, compartilhamento, armazenamento e descarte.
3. Classifique cada informação e registre a finalidade, a hipótese legal e os riscos principais.
4. Revise campos obrigatórios, permissões, cópias, integrações e acessos de fornecedores.
5. Implemente uma correção de baixo custo, como restringir uma pasta, remover um campo ou separar um documento.
6. Defina critérios de revisão e descarte específicos para aquele processo.
7. Registre o que foi decidido, o responsável, a data e as pendências que exigem avaliação adicional.

Quais erros devem ser evitados na rotina?

Um erro frequente é tentar resolver a classificação com um único rótulo. Chamar qualquer dado de “sensível” pode gerar controles desnecessários e dificultar a operação, enquanto tratar um arquivo inteiro como comum pode expor informações que deveriam estar segregadas. A solução é trabalhar com campos, finalidades e perfis de acesso, especialmente quando um mesmo documento reúne dados de naturezas diferentes.

Outro problema é confundir retirada do nome com anonimização. Matrícula, imagem, combinação de datas, cargo ou informações muito específicas podem permitir a identificação. Também é arriscado copiar dados para e-mails pessoais, manter versões em dispositivos sem controle ou deixar atestados e relatórios disponíveis em pastas compartilhadas.

Consentimento genérico, aviso de privacidade amplo e contrato padrão não substituem a análise da operação. O documento deve refletir o que realmente acontece. Se a empresa passou a usar uma informação para uma nova finalidade, adicionou um fornecedor ou adotou uma ferramenta de inteligência analítica, precisa reavaliar a compatibilidade, a necessidade, a transparência e os controles.

Um questionário rápido de cinco minutos pode servir como triagem interna para indicar que um processo precisa de atenção, mas não é diagnóstico jurídico nem garantia de conformidade. Se houver biometria, saúde, seleção de pessoas, decisões automatizadas, uso em larga escala, compartilhamento amplo ou risco de discriminação, a empresa deve aprofundar a avaliação e considerar apoio especializado.

Quando um incidente atingir dados pessoais, inclusive sensíveis, a organização deve preservar evidências, conter o problema, avaliar os impactos e seguir as obrigações aplicáveis de comunicação. A página da ANPD sobre comunicação de incidente pode ser consultada em https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca. O procedimento interno precisa indicar responsáveis e canais, sem prometer resultados ou prazos que não tenham sido definidos para aquele caso.

Perguntas frequentes

A LGPD define o CPF como dado pessoal sensível?

Não. O CPF é dado pessoal porque pode identificar uma pessoa, mas não está automaticamente entre as categorias sensíveis do art. 5º, II. Ainda assim, exige finalidade, segurança, controle de acesso e respeito aos direitos do titular.

Todo dado de saúde é considerado sensível pela LGPD?

Informações de saúde vinculadas a uma pessoa natural entram, em regra, na categoria de dados pessoais sensíveis. A empresa deve limitar a coleta e o acesso ao necessário para a finalidade, evitando divulgar um diagnóstico quando basta uma confirmação administrativa.

Fotografia e reconhecimento facial são a mesma coisa para a LGPD?

Não necessariamente. Uma fotografia comum não é automaticamente um dado biométrico sensível. O enquadramento depende da característica tratada, da possibilidade de vinculação e da finalidade do processamento. A extração de características para um sistema biométrico exige análise específica.

A empresa precisa de consentimento para tratar qualquer dado sensível?

Não. O consentimento é apenas uma das hipóteses previstas na LGPD e não funciona como autorização genérica. A hipótese aplicável depende da finalidade, da relação com o titular e das condições legais do tratamento.

Uma inferência sobre saúde ou religião é automaticamente dado sensível?

Não automaticamente. A empresa deve examinar o conteúdo da inferência, sua precisão, a possibilidade de associação ao titular e os efeitos do uso. Mesmo quando não houver enquadramento automático no art. 5º, II, a inferência pode produzir riscos relevantes de discriminação e exigir controles reforçados.

Dados de crianças são sempre dados pessoais sensíveis?

Não devem ser classificados automaticamente assim. Crianças e adolescentes exigem análise própria e proteção reforçada, mas idade não aparece, por si só, na lista de categorias sensíveis do art. 5º, II.

Se eu retirar o nome, o dado deixa de ser sensível?

Não necessariamente. Outras informações, combinações ou identificadores podem permitir a reidentificação. A anonimização precisa ser efetiva e avaliada considerando os meios próprios e razoáveis disponíveis.

Toda coleta de dado sensível exige um RIPD formal?

Não há uma regra geral que transforme toda coleta de dado sensível em obrigação automática de elaborar um RIPD. A necessidade depende da LGPD, de regulamentação ou de determinação aplicável e das características do tratamento. Ainda assim, avaliar e registrar riscos pode ser uma boa prática de governança.

Como uma pequena empresa pode descobrir onde mantém dados sensíveis?

Comece por RH, benefícios, saúde ocupacional, ponto, controle de acesso, atendimento e fornecedores. Pergunte quais campos são coletados, onde ficam, quem acessa, com quem são compartilhados, qual finalidade atendem e quando podem ser eliminados.

O que fazer quando um fornecedor acessa dados pessoais sensíveis?

Mapeie o acesso, a finalidade, as permissões, os subcontratados, a retenção, a eliminação e os controles de segurança. Registre responsabilidades no contrato e revise o fluxo. Em caso de incidente, consulte as orientações da ANPD sobre comunicação de incidente de segurança.

Conclusão

A pergunta “a LGPD define os dados sensíveis como” encontra sua resposta principal na lista do art. 5º, II, mas a conformidade não termina na memorização das categorias. A empresa precisa verificar se existe uma pessoa identificada ou identificável, distinguir dado declarado de inferência, analisar cuidadosamente a biometria, escolher a hipótese legal adequada e aplicar os princípios de necessidade, transparência, segurança e não discriminação. Na prática, isso significa mapear um processo por vez, limitar a coleta, separar documentos, restringir acessos, avaliar fornecedores e definir retenção conforme as obrigações e os riscos concretos. Metas internas de semanas, revisões semestrais ou descartes em determinado número de dias podem organizar a governança, mas não são prazos universais da LGPD.

O melhor programa é aquele que registra decisões proporcionais, revisa mudanças e consegue explicar por que cada dado é coletado, utilizado, compartilhado e mantido.

Fontes

1. Glossário ANPD. Agência Nacional de Proteção de Dados (ANPD). Glossário com definições e termos utilizados na LGPD, útil para esclarecer conceitos e terminologias relacionadas à proteção de dados.
2. Perguntas Frequentes — Autoridade Nacional de Proteção de Dados. Agência Nacional de Proteção de Dados (ANPD). Repositório de perguntas e respostas da ANPD sobre a aplicação da LGPD e direitos dos titulares, oferecendo explicações claras e didáticas.
3. Regulamentações ANPD. Agência Nacional de Proteção de Dados (ANPD). Conjunto de regulamentações e atos normativos da ANPD que orientam a aplicação da LGPD e direitos dos titulares.
4. Relatório de Impacto à Proteção de Dados Pessoais (RIPD). Agência Nacional de Proteção de Dados (ANPD). Orientações sobre a elaboração do Relatório de Impacto à Proteção de Dados Pessoais, essencial para a conformidade com a LGPD.
5. Comunicado de Incidente de Segurança. Agência Nacional de Proteção de Dados (ANPD). Instruções sobre como comunicar incidentes de segurança que possam afetar dados pessoais, conforme exigências da LGPD.