Dado pessoal sensível: a lista do art. 5º, II
Dado pessoal sensível é a categoria de dado que, usada fora de lugar ou vazada, expõe a pessoa a discriminação: saúde, religião, opinião política, origem racial, vida sexual, biometria. A LGPD lhe dá um regime próprio, com um rol de hipóteses de tratamento menor e mais estreito do que o do dado comum.
A lista do art. 5º, II
O inciso define como sensível o dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, e dado genético ou biométrico, sempre quando vinculado a uma pessoa natural.
A lista é fechada e o alcance é maior do que parece. Foto usada em reconhecimento facial é biometria. Atestado anexado a um chamado é dado de saúde. O campo "restrição alimentar" de um formulário de evento pode revelar religião ou condição de saúde.
O regime fechado do art. 11
O art. 11 tem rol próprio, com oito hipóteses. Havendo consentimento, ele precisa ser específico e destacado, para finalidades específicas, o que exclui aceite genérico embutido num termo de uso. Sem consentimento, o tratamento só cabe quando indispensável para obrigação legal, políticas públicas, estudos por órgão de pesquisa, exercício regular de direitos, proteção da vida, tutela da saúde ou prevenção à fraude e segurança do titular na identificação e autenticação.
Duas ausências pesam: não existe legítimo interesse e não existe execução de contrato para dado sensível. A base que resolveria o caso no dado comum não está disponível aqui.
Sensível por inferência
O dado não precisa ser declarado pelo titular para ser sensível. Um público de remarketing formado por quem visitou a página de um medicamento para diabetes revela condição de saúde. Uma segmentação por quem comprou produtos de determinada religião revela convicção religiosa. O identificador mora no cookie, e a informação que ele carrega atrai o regime do art. 11. Quem monta o público responde pelo que ele revela, ainda que nenhum campo do formulário tenha perguntado nada disso.
Remarketing dinâmico numa farmácia online
A farmácia envia ao anunciante o produto visto por cada visitante. Se o catálogo inclui medicamentos de uso contínuo, o feed passa a transportar inferência de saúde. Restam dois caminhos defensáveis: excluir as categorias sensíveis do feed de remarketing, ou pedir consentimento específico e destacado para aquela finalidade, lembrando que "destacado" significa separado do aceite geral de cookies.
O que fazer se o seu site trata dado sensível
- Liste onde ele entra: formulários, anexos, chat, campos livres, integrações.
- Corte o que não é indispensável. Dado sensível que você não coleta não precisa ser defendido.
- Para o que sobrar, escolha a hipótese do art. 11 e registre a escolha.
- Isole o consentimento específico do consentimento de cookies: são pedidos diferentes.
- Reforce segurança e restrinja acesso interno (art. 46).
Empresa comum dentro do art. 11
"Meu site não é clínica, então não tenho dado sensível" é a suposição que sai mais cara. Campo livre de observações num pedido, upload de receita, formulário de RH com informação de saúde e segmentação publicitária por interesse religioso ou político colocam empresas comuns sob o art. 11 sem nenhuma decisão consciente. Auditar os formulários e apagar o que não deveria estar ali é a correção mais barata.
Termos relacionados
Continue lendo
Dark pattern no banner de cookies e o aceite inválido
Os padrões de interface que empurram o visitante para o aceite, por que cada um contamina o art. 8º da LGPD e como testar o seu próprio banner.
Encarregado (DPO): atribuições e quando é obrigatório
O papel do encarregado na LGPD, as atribuições do art. 41, a regra especial para agentes de pequeno porte e onde divulgar o contato.
Legítimo interesse: limites e teste de balanceamento
A base legal do art. 7º, IX, os limites do art. 10, o teste de balanceamento e por que ela não sustenta cookie de marketing segundo a ANPD.
LGPD: o que é a Lei Geral de Proteção de Dados Pessoais
O que a Lei 13.709/2018 exige, a quem ela se aplica, as diferenças reais para a GDPR e o que isso muda no site de quem vende online.