Dados sensíveis na LGPD: saúde, biometria e outras categorias

Dados sensíveis, na LGPD, são os dados pessoais sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, saúde, vida sexual, dados genéticos e biométricos, quando vinculados a uma pessoa. Eles só podem ser tratados com as bases legais do art. 11, mais restritas que as do art. 7º. O legítimo interesse não está entre elas, e o tratamento exige cuidados reforçados de segurança.

Por que os dados sensíveis têm regras próprias?

Porque seu uso indevido pode levar a discriminação ou a danos graves. Um vazamento de exames médicos, um sistema biométrico mal protegido ou o uso de dados religiosos para selecionar candidatos têm impacto muito maior que o vazamento de um e-mail. Por isso, a LGPD restringe as bases legais e exige mais transparência e segurança.

Quais bases legais permitem o tratamento?

O art. 11 prevê o consentimento do titular, de forma específica e destacada, e, sem consentimento, as hipóteses em que o tratamento for indispensável para:

• cumprimento de obrigação legal ou regulatória;
• execução de políticas públicas pela administração;
• estudos por órgão de pesquisa, com anonimização sempre que possível;
• exercício regular de direitos, inclusive em contrato e em processos;
• proteção da vida ou da incolumidade física;
• tutela da saúde, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;
• prevenção à fraude e segurança do titular, em processos de identificação e autenticação de cadastro em sistemas eletrônicos.

Dados de saúde: o que muda na prática

Clínicas, hospitais, laboratórios, healthtechs e empresas que guardam exames ocupacionais tratam dados de saúde todos os dias. Além das bases legais, a LGPD traz regras específicas:

• é vedado o compartilhamento de dados de saúde entre controladores para obter vantagem econômica, salvo para a prestação de serviços de saúde, assistência farmacêutica e assistência à saúde em benefício dos titulares, para a portabilidade solicitada pelo titular ou para transações financeiras e administrativas decorrentes desses serviços;
• operadoras de planos de saúde não podem usar dados de saúde para seleção de riscos na contratação ou exclusão de beneficiários;
• o acesso interno deve ser restrito a quem precisa, como a equipe médica no caso de exames ocupacionais.

Biometria: quando é possível usar?

Digitais e reconhecimento facial são usados em controle de acesso, ponto eletrônico e autenticação. A base de prevenção à fraude e segurança em processos de identificação costuma ser a mais adequada para autenticação. Mesmo assim, a empresa deve avaliar se há alternativa menos invasiva, informar o titular, proteger os modelos biométricos e definir prazos de exclusão. Reconhecimento facial em espaços abertos ao público exige análise de risco cuidadosa.

Que medidas a empresa deve adotar?

1. Mapear onde há dados sensíveis, inclusive em formulários, prontuários, sistemas de RH e câmeras.
2. Definir a base legal de cada tratamento e registrar a justificativa.
3. Elaborar relatório de impacto para tratamentos relevantes, especialmente em larga escala.
4. Reforçar a segurança: criptografia, controle de acesso, registros de acesso e segregação de ambientes.
5. Revisar contratos com fornecedores de software, laboratórios e prestadores que acessam os dados.
6. Treinar equipes que lidam diretamente com esses dados.

A regulamentação da ANPD para agentes de pequeno porte considera de alto risco, entre outros critérios, o tratamento de dados sensíveis associado a larga escala ou a impacto significativo. Nesses casos, as flexibilizações de pequeno porte deixam de valer.

Perguntas frequentes

Dado de saúde de empregado é sensível?

Sim. Atestados, exames admissionais e periódicos e informações de afastamento são dados de saúde e devem ter acesso restrito.

Foto é dado biométrico?

A foto, por si só, é dado pessoal. Torna-se biométrica quando processada por técnica que permite identificar a pessoa de forma única, como o reconhecimento facial.

Posso usar legítimo interesse para dados sensíveis?

Não. O art. 11 da LGPD não prevê essa base legal.

Como o Chambarelli Advogados pode ajudar

A área de Regulação de Novas Tecnologias mapeia tratamentos de dados sensíveis, elabora relatórios de impacto e apoia empresas do setor de Startups, Negócios Digitais e Tecnologia e da área de saúde. Agende uma conversa.

Conteúdo informativo, atualizado em outubro de 2026. Não substitui a análise do caso concreto.