Dados sensíveis na LGPD: o que são e como tratá-los

Dados pessoais sensíveis são os que tocam o que há de mais íntimo numa pessoa: saúde, origem étnica, crença, opinião política, vida sexual, informação genética. No Brasil, a Lei Geral de Proteção de Dados (LGPD) trata deles num artigo à parte, o 11, e a regra é simples de resumir: há menos hipóteses para tratá-los, a segurança precisa ser maior e, se algo dá errado, o dano costuma ser maior também.

Dá para trabalhar com eles, sabendo onde aparecem e o que convém não enviar a ninguém sem cuidado. Aqui estão o que diz a lei, com exemplos, e o que conferir antes de colar um texto numa IA.

Se você ainda não leu o panorama geral da lei, comece por o que é a LGPD.

O que são dados pessoais sensíveis segundo a LGPD

O art. 5º, II, da Lei nº 13.709/2018 define dado pessoal sensível como o dado pessoal sobre:

• origem racial ou étnica;
• convicção religiosa;
• opinião política;
• filiação a sindicato ou a organização de caráter religioso, filosófico ou político;
• dado referente à saúde ou à vida sexual;
• dado genético ou biométrico, quando vinculado a uma pessoa natural.

Três coisas chamam a atenção. A primeira é que a filiação a sindicato aparece expressamente, o que no Brasil é comum em folha de pagamento. A segunda é que o dado biométrico está na lista, desde que vinculado a uma pessoa. A terceira é o § 1º do art. 11: as regras valem para qualquer tratamento de dado pessoal que revele dado sensível e possa causar dano ao titular. O que conta, portanto, é também o que o dado revela. Um CPF, em si, não é sensível; o CPF numa lista de pacientes de uma clínica de oncologia revela algo de saúde.

A definição de dado pessoal é a do art. 5º, I: informação relacionada a pessoa natural identificada ou identificável. Se a pessoa não é identificável, o dado, em princípio, nem é pessoal (art. 12). Esse é o ponto de partida do guia de pseudonimização e anonimização.

Exemplos de dados sensíveis que chegam a um escritório

Quase ninguém os coleta de propósito, mas eles chegam dentro de documentos que parecem administrativos:

• Saúde. O atestado que justifica uma falta, o e-mail do funcionário que explica o tratamento, o exame admissional, o laudo que uma clínica manda ao convênio. O prontuário eletrônico é o caso mais evidente: veja IA na saúde e prontuário eletrônico.
• Origem racial ou étnica. A autodeclaração em formulário de cotas, em processo seletivo ou em programa de diversidade.
• Convicção religiosa. O pedido de dispensa para um dia de guarda, ou a lista de membros de uma associação religiosa.
• Opinião política e filiação sindical. A filiação a partido ou sindicato num currículo que chega ao RH, a contribuição sindical na folha, uma reclamação interna que cita a militância de alguém. Veja IA para RH.
• Vida sexual. Um processo por discriminação, ou a indicação de um companheiro do mesmo sexo como dependente.
• Dado genético. Um exame de DNA em ação de família ou um estudo genético no histórico clínico.
• Dado biométrico. A impressão digital do ponto eletrônico e a imagem facial usada para identificar alguém.

Num escritório de advocacia vários desses dados se juntam no mesmo processo. Na contabilidade, aparecem na folha, nos atestados e nas deduções de saúde da declaração do imposto de renda.

Como tratar dados sensíveis: o art. 11

O art. 11 diz que o tratamento de dados pessoais sensíveis somente poderá ocorrer em duas situações.

Com consentimento (inciso I): quando o titular ou seu responsável legal consentir, “de forma específica e destacada, para finalidades específicas”. Não basta uma cláusula genérica no meio do contrato; se o consentimento for por escrito, o art. 8º, § 1º, pede que conste de cláusula destacada.

Sem consentimento (inciso II), nas hipóteses em que for indispensável para:

1. cumprimento de obrigação legal ou regulatória pelo controlador;
2. tratamento compartilhado de dados necessários a políticas públicas previstas em lei;
3. estudos por órgão de pesquisa, com anonimização sempre que possível;
4. exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral;
5. proteção da vida ou da incolumidade física do titular ou de terceiro;
6. tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;
7. prevenção à fraude e segurança do titular em processos de identificação e autenticação de cadastro em sistemas eletrônicos.

A palavra que importa é indispensável. A hipótese precisa existir e o tratamento precisa ser necessário para ela. O princípio da necessidade (art. 6º, III) limita o tratamento ao mínimo e vale com força dobrada quando o dado é sensível.

Há ainda duas regras específicas sobre saúde. O art. 11, § 4º, veda a comunicação ou o uso compartilhado de dados de saúde entre controladores com o objetivo de obter vantagem econômica, com exceções para serviços de saúde, assistência farmacêutica e à saúde, em benefício dos titulares. O § 5º veda às operadoras de planos de saúde tratar dados de saúde para seleção de riscos na contratação e na exclusão de beneficiários.

Por fim, informar o titular continua obrigatório (art. 9º), e a sua política de privacidade deve dizer quais dados sensíveis você coleta e para quê.

Prefeituras e órgãos têm regras próprias para tratar dados sensíveis: veja IA no setor público.

Segurança, responsabilidade e sanções

O art. 46 obriga a adotar medidas de segurança, técnicas e administrativas, e o seu § 1º fala em padrões técnicos mínimos que a Agência Nacional de Proteção de Dados (ANPD) poderá fixar, considerada a natureza das informações, “especialmente no caso de dados pessoais sensíveis”. O art. 47 estende o dever de segurança a todos que intervêm no tratamento, mesmo depois de ele terminar. Uma política de uso de IA assinada por cada funcionário é uma forma simples de registrar esses controles.

Quem causa dano em violação à lei é obrigado a repará-lo (art. 42), e o juiz pode inverter o ônus da prova a favor do titular (§ 2º). As sanções do art. 52 vão de advertência a multa simples de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração; a gravidade, a natureza dos direitos afetados e a boa-fé pesam na dosimetria (§ 1º). A autoridade é a ANPD.

Para uma empresa de pequeno porte, a Resolução CD/ANPD nº 2/2022 traz um detalhe importante. Ela considera de alto risco o tratamento que reúna um critério geral (larga escala ou efeito significativo sobre direitos fundamentais) e um específico, e o uso de dados pessoais sensíveis é um dos específicos (art. 4º, II, d). Quem faz tratamento de alto risco não se beneficia das flexibilizações da resolução (art. 3º, I). Se a sua rotina envolve muito dado de saúde, vale conversar com um profissional sobre o enquadramento.

E se um dado sensível vazar, a Resolução CD/ANPD nº 15/2024 (art. 5º, I) o lista entre os critérios do incidente que pode acarretar risco ou dano relevante. O passo a passo está em incidente de segurança na LGPD.

Uma apólice pode cobrir parte do prejuízo de um vazamento: veja o que diz o seguro cibernético.

E se um funcionário colar um atestado no ChatGPT

Imagine alguém do RH que cola num chat de IA o e-mail de uma funcionária com nome, CPF, endereço e o diagnóstico que justifica o afastamento. Numa só consulta, um dado de saúde de uma pessoa identificada saiu da empresa. Depois disso, apagar o chat do histórico do ChatGPT tira a conversa da conta, mas não desfaz o envio.

A lei não fala de ChatGPT. A nossa leitura, que é uma leitura prudente e não uma decisão da ANPD: se o provedor trata os dados em nome da empresa, pode se encaixar como operador (art. 5º, VII), e essa relação precisa estar amparada em contrato. Se não estiver, o envio pode acabar sendo uma finalidade que a política não menciona (art. 6º, I) e, sendo o dado sensível, tem de caber em uma das hipóteses do art. 11. Como cada ferramenta se encaixa na lei está em LGPD e inteligência artificial.

Para ajudar a responder esse e-mail, a IA não precisa saber quem é a funcionária. Basta “uma funcionária comunica um afastamento longo e pede para ajustar o horário”. Quem é a pessoa pode ficar no escritório. O que mais convém tirar de um texto assim está em que dados ocultar antes de usar a IA.

Cada ferramenta trata o que você cola de um jeito:

• O que o Claude faz com os seus dados
• O que o Copilot faz com os seus dados
• O que o Gemini faz com os seus dados

O que o Nonimo troca antes de colar, e o que não

O Nonimo é um app para Windows e Mac que trabalha no seu computador, antes de o texto chegar ao chat. Para casos de saúde e outros sigilosos, é o caminho indicado: a troca acontece no seu computador e o texto original não sai dele. Você seleciona o trecho, aperta a tecla e os dados que identificam a pessoa viram marcadores como [PESSOA_1] ou [CPF_1]. Quando a resposta volta, cada marcador recupera o valor na sua tela.

Um teste real, com dados fictícios. O texto antes:

Nome: Nuria Solé Domènech CPF: 000.000.001-00 Data de nascimento: 30 de fevereiro de 1990 Diagnóstico: depressão. Pediu para trabalhar meio período por três meses. Escreva uma resposta para o RH.

E o que chega à IA:

Nome: [PESSOA_1] CPF: [CPF_1] Data de nascimento: [DATA_NASCIMENTO_1] Diagnóstico: depressão. Pediu para trabalhar meio período por três meses. Escreva uma resposta para o RH.

O que o app troca por marcadores: nomes de pessoas, CPF, CNPJ válido, e-mails, data de nascimento e endereço quando têm rótulo, CNH com a abreviação nº e telefones com +55. O que fica no texto: o número do RG, celulares escritos sem o +55 e o número do prontuário ou da matrícula. Esses você confere à mão.

O conteúdo clínico também fica. O diagnóstico, o medicamento ou o resultado de um exame permanecem no texto, porque muitas vezes são exatamente o que a IA precisa ler. O que o Nonimo consegue é que esse dado de saúde deixe de dizer de quem é. Se a tarefa não precisa do diagnóstico, apague-o à mão antes de colar, e releia o texto inteiro: um cargo, uma unidade ou uma data muito específica também podem apontar para alguém. Como o Nonimo guarda a forma de voltar ao nome, isso é pseudonimização e não anonimização, e a diferença está explicada em pseudonimização e anonimização.

Se o que você precisa compartilhar é um PDF e não um trecho, a mesma lógica vale para tarjar o documento.

Antes de enviar, remova os metadados: o título ou o autor podem trazer o nome que você já tirou do texto.

Este guia não substitui a orientação sobre um caso concreto, que cabe ao encarregado de dados da sua empresa ou ao advogado dela.

A CNH leva observações médicas, que são dado de saúde: veja como ocultar os dados da CNH.

Fontes

Consultadas em 17 de outubro de 2026.

• Lei nº 13.709, de 14 de agosto de 2018 (LGPD), texto atualizado na base de legislação da Câmara dos Deputados: www2.camara.leg.br/legin. Arts. 5º, I, II e VII; 6º; 8º; 9º; 11; 12; 42; 46; 47; 52.
• Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, Diário Oficial da União, Seção 1, 28/1/2022, p. 6. Arts. 3º e 4º.
• Resolução CD/ANPD nº 15, de 24 de abril de 2024, Diário Oficial da União, Seção 1, 26/4/2024, p. 114. Arts. 5º e 6º.