Dados Sensíveis na LGPD: O Que São e Por Que a Proteção é Maior

Dados sensíveis na LGPD são informações sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, genética e biometria. A Lei 13.709/2018 só autoriza o uso desses dados nas hipóteses do artigo 11, com consentimento específico e destacado ou em situações que a própria lei lista, e nunca por legítimo interesse da empresa.

Você entrega a digital para bater o ponto, informa o CPF na farmácia para ganhar desconto e marca a caixinha de “li e concordo” sem ler nada. O que sai da sua mão nessas cenas tem regime jurídico próprio, bem mais rígido do que o aplicado ao seu endereço. O uso indevido de um dado sensível abre porta para recusa de emprego, preço maior de seguro e constrangimento difícil de reparar.

A seguir estão a lista fechada de dados sensíveis, as únicas situações em que uma empresa pode tratá-los e como cobrar resposta de quem guarda essas informações sobre você.

O que são dados sensíveis na LGPD e o que entra nessa lista

Dados sensíveis formam um grupo fechado de informações que a Lei Geral de Proteção de Dados separou das demais pelo potencial discriminatório. A definição do artigo 5º, inciso II, da Lei 13.709/2018 é taxativa, e o que não estiver ali dentro segue como dado pessoal comum.

dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.

Traduzida para o cotidiano, a lista abarca oito grupos de informação.

1. Origem racial ou étnica, como a autodeclaração de cor em cadastros e fichas de pessoal.
2. Convicção religiosa, anotada para justificar folga em dia de culto ou restrição alimentar.
3. Opinião política, revelada em filiação partidária ou em monitoramento de redes sociais.
4. Filiação a sindicato ou a organização religiosa, filosófica ou política, que o contracheque entrega no desconto sindical.
5. Dados de saúde, do atestado ao exame, da receita de uso contínuo ao laudo de deficiência.
6. Vida sexual, incluindo orientação sexual registrada em cadastro ou aplicativo.
7. Dados genéticos, como o teste de ancestralidade e o exame de predisposição a doenças.
8. Dados biométricos, entre eles digital, rosto, íris e voz, quando a empresa liga esse padrão a você.

Repare na condição final do inciso, que exige o vínculo com uma pessoa natural. A estatística de afastamentos por lombalgia numa fábrica não identifica ninguém e sai do regime, enquanto a planilha com nome e CID de cada afastado entra nele por inteiro. O artigo 11, parágrafo 1º, ainda estende as mesmas regras ao dado comum que revele um dado sensível e possa causar dano ao titular. É por isso que uma lista de endereços cruzada com a frequência a um templo deixa de ser cadastro banal.

O erro que mais aparece no escritório é o do formulário genérico, que pede religião, raça, deficiência e histórico médico porque “pode ser útil depois”. Minha orientação é responder só o que a finalidade declarada justifica e perguntar, por escrito, para que servem os demais campos.

Por que a LGPD protege esses dados mais do que os outros

A proteção é maior porque essas informações são a matéria-prima clássica da discriminação. Saber o endereço de alguém permite entregar uma encomenda, e saber a religião ou o diagnóstico permite escolher quem entra e quem fica de fora.

A lei assume esse objetivo no princípio da não discriminação do artigo 6º, inciso IX, que veda o tratamento “para fins discriminatórios ilícitos ou abusivos”. Desde a Emenda Constitucional 115, de 10 de fevereiro de 2022, a proteção de dados pessoais também é direito fundamental expresso no artigo 5º da Constituição.

A consequência prática aparece na comparação entre os artigos 7º e 11 da LGPD. Para dados comuns existem dez bases legais, entre elas o legítimo interesse do controlador, válvula de escape muito usada pelas empresas. Para dados sensíveis essa válvula não existe, porque o artigo 11 traz uma lista menor e fechada. Uma seguradora que queira cobrar prêmio maior de quem tem histórico de depressão até pode alegar interesse comercial, só que o argumento não sustenta o tratamento de dado de saúde.

Muita gente acha que basta a empresa invocar legítimo interesse na política de privacidade, e quase sempre está enganada, porque o texto da política não cria base legal que a lei não previu. Quando encontro essa frase, oriento guardar print da página com data e exigir qual inciso do artigo 11 ampara a coleta.

Quando uma empresa pode tratar seus dados sensíveis

O artigo 11 autoriza o tratamento em duas frentes, o consentimento do titular e as situações em que a lei o dispensa. Fora dessas hipóteses não existe tratamento válido, por mais relevante que seja o interesse da empresa.

O consentimento específico e destacado

O inciso I exige que o titular consinta “de forma específica e destacada, para finalidades específicas”, o que afasta a autorização escondida num termo de uso de quarenta páginas. O artigo 8º reforça isso em quatro pontos que costumam decidir a discussão judicial.

1. O consentimento escrito vem em cláusula destacada das demais cláusulas do contrato.
2. Autorizações genéricas são nulas, porque o consentimento exige finalidades determinadas.
3. O ônus da prova é da empresa, que demonstra como e quando obteve a autorização.
4. A revogação é livre e gratuita, a qualquer momento, por procedimento facilitado.

Há ainda um requisito que a autoridade aplica com rigor, o de que o consentimento seja realmente livre. Em fevereiro de 2025, a ANPD determinou a suspensão do pagamento em criptomoeda oferecido pela empresa Tools for Humanity em troca do escaneamento de íris, e a companhia suspendeu a coleta no Brasil logo depois. Quem entrega a íris movido pelo dinheiro prometido não manifesta vontade livre.

As situações em que a lei dispensa o consentimento

O inciso II traz sete hipóteses em que a empresa ou o órgão público trata dado sensível sem pedir autorização, desde que isso seja indispensável para a finalidade.

• Cumprimento de obrigação legal ou regulatória, como o registro de exames ocupacionais.
• Execução de políticas públicas previstas em leis ou regulamentos.
• Estudos por órgão de pesquisa, com anonimização sempre que possível.
• Exercício regular de direitos, inclusive em processo judicial ou administrativo.
• Proteção da vida ou da incolumidade física do titular ou de terceiro.
• Tutela da saúde, só por profissionais de saúde, serviços de saúde ou autoridade sanitária.
• Prevenção à fraude e segurança do titular na autenticação de cadastro eletrônico.

A tutela da saúde é a mais distorcida das sete, porque autoriza o hospital e o laboratório a tratarem o seu prontuário, e não autoriza a agência de marketing da clínica a usar esse prontuário para vender pacotes estéticos. Com quem me procura, o primeiro passo é separar o que a empresa fez por consentimento do que fez por obrigação legal, porque a revogação só derruba o primeiro grupo.

Dados de saúde na farmácia, no plano e nos aplicativos

Dado de saúde tem uma camada extra de proteção dentro do próprio regime dos dados sensíveis. O artigo 11, parágrafo 4º, proíbe o compartilhamento desses dados entre controladores com objetivo de vantagem econômica, abrindo exceção apenas para a prestação de serviços de saúde e de assistência farmacêutica.

O histórico de compras em farmácia é o exemplo mais próximo da vida de todo mundo, porque quem retira insulina todo mês ou um antidepressivo de uso contínuo entrega um diagnóstico provável sem dizer uma palavra. Em 2025, ao concluir a fiscalização de redes de drogarias e programas de fidelidade, a ANPD instaurou processo sancionador para investigar a perfilização comportamental a partir de dados sensíveis. O objetivo era publicidade direcionada com contrapartida financeira, segundo a Nota Técnica nº 6/2025 da Coordenação-Geral de Fiscalização. No mesmo processo, a autoridade mandou uma das redes oferecer identificação alternativa à biometria.

Nos planos de saúde, o parágrafo 5º do artigo 11 veda às operadoras usar dados de saúde para seleção de riscos na contratação e na exclusão de beneficiários. A declaração de saúde deve ser preenchida com verdade, sob pena de alegação de doença preexistente, mas não escolhe quem entra na carteira.

Os aplicativos de bem-estar ficaram no ponto cego da discussão, porque um app que registra ciclo menstrual, humor, peso e sono acumula um perfil de saúde detalhado, muitas vezes hospedado fora do país. Minha orientação é desconfiar do aplicativo gratuito cuja política menciona publicidade personalizada.

Biometria no cotidiano, do ponto no trabalho ao estádio de futebol

A biometria virou rotina e continua sendo dado sensível em quase todas as suas aplicações. A digital do ponto, o rosto lido na catraca do estádio e a voz reconhecida pelo banco são dados biométricos vinculados a uma pessoa natural, e dependem de uma hipótese do artigo 11.

Em alguns casos a própria lei cria a obrigação. A Lei 14.597/2023, a Lei Geral do Esporte, exige no artigo 148 identificação biométrica dos espectadores em arenas para mais de vinte mil pessoas, e aí o clube trata o seu rosto por obrigação legal.

Em outros casos a obrigação não existe, e a coleta desaba. Em agosto de 2026, a ANPD determinou à Secretaria de Educação do Paraná a suspensão imediata do reconhecimento facial que registrava a frequência de cerca de um milhão de estudantes da rede pública. A Nota Técnica nº 4/2026 da fiscalização concluiu que uma resolução estadual não serve como obrigação legal do controlador nem como política pública prevista em lei, e registrou que o comprometimento de identificadores biométricos produz consequências duradouras.

No trabalho, o ponto biométrico costuma ser defendido como consentimento do empregado, e esse é o argumento mais frágil que existe, porque quem depende do emprego não consente com liberdade. A base adequada tende a ser a obrigação legal de controle de jornada, que impõe coletar o mínimo necessário, tema ligado a outras formas de controle tecnológico sobre o trabalhador, tratadas no texto sobre subordinação algorítmica.

O detalhe que mais assusta quem me procura é a irreversibilidade, porque senha vazada se troca em trinta segundos e o desenho da sua íris acompanha você a vida toda.

O que acontece com a empresa que erra a base legal

Duas consequências pesam sobre quem trata dado sensível fora das hipóteses do artigo 11. A primeira é o dever de revisão garantido pelo artigo 20 a quem sofre decisão tomada unicamente por algoritmo, inclusive as que definem perfil de consumo e de crédito. Se um sistema nega o seu seguro com base em dado de saúde, você pode exigir revisão e explicação dos critérios.

A segunda é a sanção administrativa. O artigo 52 prevê advertência, multa de até dois por cento do faturamento da empresa no Brasil limitada a cinquenta milhões de reais por infração, bloqueio dos dados e até suspensão da atividade de tratamento. A natureza dos direitos afetados entra na dosimetria, e o dado sensível puxa a sanção para cima. O erro que mais custa caro ao consumidor aqui é reclamar por telefone, porque reclamação sem registro escrito não vira prova.

Vazamento de dado sensível e por que a indenização tende a ser maior

A indenização por vazamento não é automática no Brasil, e a natureza do dado pesa no resultado. Em março de 2023, a Segunda Turma do Superior Tribunal de Justiça, no AREsp 2.130.619, decidiu que o titular de dados vazados deve comprovar dano efetivo, afastando o dano moral presumido naquele caso.

O ponto que costuma passar despercebido é a distinção feita no próprio julgado, que tratou de dados comuns e registrou que a LGPD confere proteção diferenciada aos dados sensíveis. Quando o que vaza é diagnóstico, orientação sexual ou biometria, a demonstração do abalo fica bem mais próxima dos fatos, porque a exposição por si só produz constrangimento verificável.

A empresa também tem dever imediato, porque o artigo 48 a obriga a comunicar à ANPD e ao titular o incidente que possa acarretar risco ou dano relevante, e o silêncio funciona como uma segunda infração.

Se você foi atingido, o caminho começa pela documentação do incidente e pela comunicação formal à empresa, assunto detalhado no guia sobre o que fazer diante de um vazamento de dados. A discussão sobre valor segue a lógica geral de danos morais, com a diferença de que, no dado sensível, o juiz enxerga com mais facilidade a lesão à personalidade.

Minha orientação para quem recebe o e-mail do incidente é agir no mesmo dia, salvando o comunicado e os prints de qualquer cobrança ou golpe que venha depois, porque o conjunto probatório das primeiras semanas sustenta o pedido.

Como descobrir se uma empresa trata seus dados sensíveis

Você não precisa adivinhar. O artigo 18 garante o direito de obter do controlador a confirmação do tratamento e o acesso aos dados. O artigo 19 fixa o prazo de até quinze dias para a resposta em declaração clara e completa, com a origem dos dados, os critérios usados e a finalidade.

O caminho que funciona tem cinco etapas.

1. Localize o encarregado pelo tratamento de dados, o DPO, cujo contato deve constar da política de privacidade.
2. Envie um pedido por escrito, citando o artigo 18, incisos I e II, e pedindo as categorias de dados sensíveis tratadas e a base legal de cada uma.
3. Peça a finalidade e o compartilhamento, com fundamento no artigo 9º.
4. Marque o prazo de quinze dias e guarde o protocolo ou o comprovante de envio.
5. Escalone se o prazo vencer, com reclamação na ANPD, registro no Procon e, havendo dano, ação judicial.

A empresa pode recusar a exclusão de parte desses dados sem cometer abuso, porque prontuário médico e registro de exame ocupacional têm prazo de guarda exigido por norma. Os limites do apagamento e um modelo de requerimento estão no texto sobre como pedir exclusão de dados pessoais, e o panorama dos direitos do titular está no guia de LGPD e direitos do cidadão.

O que eu mais vejo é o pedido feito pelo canal errado, porque mensagem no chat do aplicativo não gera obrigação de resposta no prazo legal, enquanto um e-mail ao encarregado destrava tudo em poucos dias.

Perguntas frequentes sobre dados sensíveis na LGPD

CPF é dado sensível?

Não. O CPF é dado pessoal comum, porque não está na lista do artigo 5º, inciso II, da LGPD. Ele passa a exigir cuidado reforçado quando serve para conectar você a uma informação sensível, como o histórico de compras em uma farmácia.

A empresa pode exigir que eu cadastre minha digital?

Depende da base legal. Havendo obrigação legal, como o controle de jornada ou a identificação biométrica em estádios, a coleta se justifica. Em programas de fidelidade, a empresa precisa oferecer alternativa, como a ANPD determinou em 2025 no processo sobre redes de drogarias.

Meu empregador pode pedir meu CID ou meu laudo médico?

O empregador pode receber o atestado com o período de afastamento, mas não tem direito automático ao diagnóstico. O CID só entra no documento com autorização sua, e o laudo completo cabe ao médico do trabalho, não à chefia.

Posso revogar o consentimento que dei para uso de dados sensíveis?

Sim, a qualquer momento e de graça, conforme o artigo 8º, parágrafo 5º, da LGPD. A revogação vale para o futuro e não alcança dados mantidos por obrigação legal ou por exercício regular de direitos.

Quanto dá para receber de indenização por vazamento de dado sensível?

Não existe tabela. O valor depende da prova do dano, da natureza da informação exposta e da conduta da empresa depois do incidente. Como o STJ afastou o dano moral presumido em dados comuns, a documentação do prejuízo concreto é a peça central do pedido.

O que fazer primeiro se seus dados sensíveis foram usados sem autorização

Comece pelo pedido formal de acesso ao encarregado, com citação do artigo 18 da LGPD e prazo de quinze dias, porque a resposta escrita revela se houve base legal válida e transforma a suspeita em prova documentada. Sem esse passo, a reclamação vira discussão de versões, e a empresa vence no vazio probatório.

Se a resposta não vier ou revelar tratamento sem amparo no artigo 11, o caminho mais eficiente para a maioria é a reclamação na ANPD somada ao registro no Procon. A ação judicial faz sentido quando há dano documentado, como perda de emprego, negativa de crédito ou exposição pública de diagnóstico, e aí a natureza sensível do dado vira o argumento central.

Se o caso envolve biometria, prontuário ou orientação sexual, reúna hoje o termo que assinou, a política de privacidade vigente na data e os comunicados da empresa, e leve esse conjunto a um advogado antes de aceitar acordo.

Este texto tem finalidade informativa e educacional sobre o regime dos dados sensíveis na LGPD, não constitui consultoria jurídica nem cria relação de advogado e cliente. Casos de biometria, dados de saúde, discriminação ou vazamento dependem da análise dos documentos e do contexto, e a orientação adequada exige a avaliação de um advogado habilitado.