Ilustradora: Sabrina Gevaerd

Quando falamos em proteção de dados, algumas pessoas acham que se faz muito alarde por poucos motivos.

“Qual é o problema de dar meu CPF na farmácia? Por quê não responder à pesquisa dessa empresa? Deixa eu fazer meu cartão da empresa X, não faz mal!”

De fato, muitas dessas situações parecem não representar qualquer risco grave.

No entanto, nós podemos perder o controle do que se sabe a partir dos nossos dados, e do que será feito com essa informação. Isso ocorre especialmente em função do tratamento de grandes bancos de dados.

Quando falamos em dados pessoais sensíveis, esse quadro se agrava. Eles merecem um cuidado especial, tanto de seus controladores quanto de seus titulares, para evitar certos problemas.

Por isso, preparamos o presente artigo. Vamos apresentar o conceito de dados pessoais sensíveis e falar um pouco sobre o seu tratamento legal, e explicar porquê é importante prestar uma atenção especial à sua proteção.

Boa leitura!

O que são dados pessoais sensíveis segundo a LGPD?

Dados pessoais sensíveis são dados pessoais “sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural”.

Esta é a definição contida na Lei Geral de Proteção de Dados (LGPD), em seu art. 5º, inciso II. Tal dispositivo estabelece um rol exemplificativo de dados pessoais sensíveis. 

Isso quer dizer que a LGPD nos apresenta uma lista exemplificativa de quais tipos de dados podem ser considerados sensíveis.

Exemplos de dados pessoais sensíveis

• Testes de DNA e perfis de mapeamento genético;
• Dados biométricos, como impressão digital ou reconhecimento facial;
• Score de crédito (registro dos hábitos de pagamento das pessoas e perfil socioeconômico);
• Prontuário e histórico médico;
• Ficha de cadastro em organizações religiosas, dentre outros.

Quando pode ser feito o tratamento de dados pessoais sensíveis?

O tratamento de dados pessoais sensíveis deve ocorrer conforme os procedimentos descritos na Seção II do Capítulo II da LGPD, que vai do seu art. 11 ao art. 13.

No art. 11, temos duas orientações fundamentais nesse sentido, tanto para os titulares quanto para os controladores dos dados. Ele nos diz que o tratamento de dados pessoais sensíveis pode ocorrer nas seguintes hipóteses:

1. Quando o titular ou responsável legal dos dados consentir com o tratamento, de forma específica e destacada, para finalidades específicas.
2. Sem o consentimento do titular, nas hipóteses em que o tratamento for indispensável para as situações indicadas nas alíneas de “a” a “g” no mesmo artigo.

Agora, vamos nos debruçar mais um pouco sobre cada uma dessas hipóteses.

1. Tratamento mediante o consentimento do titular

A primeira regra indicada no art. 11 da LGPD é de que o tratamento de dados pessoais sensíveis poderá ser feito mediante o consentimento da pessoa em questão. 

E quando este consentimento será considerado válido?

A resposta para essa pergunta passa por uma série de questões. Mas, em resumo, é necessário que o titular entenda, com detalhes, o que será feito com os seus dados, de forma específica e bem explicada. 

É preciso que existam informações suficientes para que ele tenha condições de decidir, por si mesmo, se quer autorizar ou não o tratamento de seus dados. Além disso, as condições devem ser bem veiculadas, de forma que a pessoa possua condições fáticas de compreender o tratamento e a sua finalidade. Isso alinhado à definição de consentimento trazida no art. 5, XII da LGPD, que é a: “manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada”. 

Existe um termo para essa capacidade de decisão, ele é chamado de autodeterminação informativa. Trata-se de uma noção importantíssima quando falamos em proteção de dados.

A LGPD elege a autodeterminação informativa, inclusive, como um dos fundamentos da proteção de dados, em seu art. 2º, inciso II. Se você quiser entender melhor este conceito e suas origens históricas, pode conferir este artigo da autora Laura Schertel.

2. Tratamento sem o consentimento do titular

A LGPD também autoriza o tratamento de dados pessoais sensíveis sem consentimento de seu titular, em algumas situações específicas previstas nas alíneas do art. 11, inciso II. São os casos em que o tratamento for indispensável para:

• “cumprimento de obrigação legal ou regulatória pelo controlador;

• tratamento compartilhado de dados necessários à execução, pela administração pública, de políticas públicas previstas em leis ou regulamentos;

• realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais sensíveis;

• exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral, este último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);

• proteção da vida ou da incolumidade física do titular ou de terceiro;

• tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; ou

• garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos, resguardados os direitos mencionados no art. 9º desta Lei e exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais.”

Além de especificar bastante as hipóteses do tratamento, a LGPD também estabelece uma série de vedações e outras regras para lidar com os dados pessoais sensíveis. Percebe-se assim que eles possuem um regime mais rígido e mais protetivo.

Qual é a justificativa para toda essa preocupação legal com os dados pessoais sensíveis?

Por que os dados pessoais sensíveis recebem uma maior proteção pela LGPD?

Os dados pessoais sensíveis, por natureza, estão relacionados às informações delicadas sobre as pessoas — como etnia, religião e saúde. Por isso, existe o risco de serem utilizados em situações de discriminação, pelo que recebem proteção legal significativa.

Vamos dar um exemplo.

Suponha que uma trabalhadora gestante esteja desempregada. Ela inicia um processo seletivo e chega até sua última etapa, quando a empresa decide por não contratá-la.

Neste caso hipotético, a trabalhadora era a mais qualificada para exercer o cargo pretendido. Na verdade, ela foi desconsiderada por um motivo bem específico: a empresa descobriu sobre sua gestação, que iria representar uma série de custos no futuro.

Mas como essa informação foi descoberta? A trabalhadora, certamente, não a comunicou.

Pode ser que a seguradora de seu plano de saúde tenha compartilhado esse dado pessoal sensível, de forma indevida, com a empresa do processo seletivo. De qualquer forma, seu tratamento acarretou uma situação discriminatória.

Com a tecnologia que possuímos atualmente, muitos processos de tomada de decisão ocorrem com base em nossos dados pessoais. Nesta matéria, do veículo de comunicação El País, o escritor Manuel G. Pascual discute sobre as repercussões desse contexto tecnológico.

Em face desse cenário, é preciso redobrar os cuidados com nossos dados pessoais sensíveis. É por isso que lei, controladores e titulares precisam protegê-los.

Quero aprofundar meus estudos! Por onde posso começar?

O propósito deste artigo foi apresentar um conceito básico de dados pessoais sensíveis. Contudo, o tema é mais profundo e existe uma série de conteúdos que você pode acessar para continuar estudando.

Vamos apresentar, aqui, algumas dessas fontes. Bons estudos! 😉

Para ler

• “Dados pessoais sensíveis e consentimento na Lei Geral de Proteção de Dados Pessoais“, artigo de Caitlin Mulholland no Migalhas;
• “Algoritmos de destruição em massa — Como o Big Data aumenta a desigualdade e ameaça a democracia”, livro de Cathy O’Neil;
• “Da privacidade à proteção de dados pessoais”, livro de Danilo Doneda — capítulo III “A proteção de dados pessoais”;

Para assistir

• “Por que proteção de dados pessoais importa?“, vídeo de Bruno Bioni, disponível na plataforma TED
• “11° Seminário de Privacidade] O tratamento de dados pessoais sensíveis e práticas discriminatórias“, vídeo do 11º Seminário de Proteção à Privacidade e aos dados Pessoais no NICbrvideos. 

Para escutar

• “Dados faciais e cadastro biométrico”, podcast de Valente Cast, Temporada 2, episódio 113, disponível no Spotify
• “Ouvi Direito? Dados Pessoais”, podcast do Instituto Brasileiro de Defesa do Consumidor, disponível no Spotify