Dados sensíveis

Explicando de forma simples

Nem todo dado pessoal pesa igual. Alguns dizem coisas muito íntimas sobre você. Usados de forma errada, podem virar motivo para te tratarem de maneira injusta.

A LGPD — a Lei Geral de Proteção de Dados, a lei que protege as suas informações — dá um nome a esse grupo: dado pessoal sensível. A lei diz exatamente quais são:

• origem racial ou étnica (a cor ou a raça que você declara num cadastro);
• convicção religiosa (a igreja, o terreiro ou o templo que você frequenta);
• opinião política (o partido em que você votou);
• filiação a sindicato ou a organização de caráter religioso, filosófico ou político (ser sócio do sindicato da sua categoria, por exemplo);
• dado sobre a saúde (um exame, um diagnóstico, um remédio de uso contínuo);
• dado sobre a vida sexual;
• dado genético ou biométrico, quando ligado a uma pessoa (a sua impressão digital, o seu rosto no reconhecimento facial).

Por que esse grupo recebe tratamento à parte? Porque o uso indevido dessas informações pode gerar discriminação. A LGPD proíbe usar dados pessoais para fins discriminatórios ilícitos ou abusivos. E, sobre os sensíveis, coloca uma camada a mais de proteção.

A proteção não para no dado em si. Um dado comum que revela um dado sensível, e que pode te causar dano, entra na mesma regra. A compra repetida de um remédio, por exemplo, entrega uma doença.

Na prática, isso significa uma coisa só: dado sensível só pode ser usado nas situações que a lei lista. E essa lista é curta.

Exemplo do dia a dia

Você se inscreve numa academia. Nome e telefone são dados pessoais comuns. Mas a academia também pede um atestado médico e pergunta se você tem algum problema de saúde. Aí já são dados sensíveis.

Esses dados de saúde não circulam como qualquer informação. Uma empresa não pode repassar dados de saúde a outra para ganhar dinheiro com isso. Há exceções: quando o repasse é preciso para o próprio atendimento de saúde, e para a cobrança e os registros desse atendimento. Traduzindo para o seu caso: o atestado que você entregou na academia não deveria virar lista de contatos para vender plano de saúde.

Há também uma regra só para planos de saúde. Eles não podem olhar os seus dados de saúde para decidir se aceitam você como cliente por causa da chance de você adoecer. Também não podem usar esses dados para aceitar ou excluir beneficiários.

Quando um dado sensível pode ser usado?

Aqui está o ponto mais importante deste assunto.

Os dados pessoais comuns podem ser usados em dez situações previstas na lei — é o que explicamos no assunto Bases legais. Os dados sensíveis não seguem essa lista. Eles têm uma lista própria, separada e mais curta, no art. 11 da LGPD.

Quando o uso depende do seu consentimento, a exigência é maior. O “sim” precisa ser específico e destacado, para finalidades específicas. Em palavras simples: não vale um “ok” genérico perdido no meio de um monte de termos. Tem que estar em destaque e dizer para que aquele dado sensível vai ser usado. Quando a pessoa não pode responder por si, quem consente é o responsável legal.

Sem consentimento, o uso só é permitido quando for indispensável para uma destas situações:

• Obrigação legal ou regulatória: uma lei ou uma regra do governo obriga a empresa a usar o dado.
• Políticas públicas: o poder público precisa dos dados para executar uma política pública prevista em lei ou em regulamento.
• Estudos de pesquisa: feitos por órgão de pesquisa, com anonimização — tirar a ligação com a pessoa — sempre que possível.
• Exercício de direitos: para exercer direitos, inclusive em contrato e em processo judicial, administrativo ou de arbitragem.
• Proteção da vida: para proteger a vida ou a integridade física de você ou de outra pessoa.
• Cuidado com a saúde: exclusivamente para cuidar da saúde, em procedimento feito por profissionais de saúde, serviços de saúde ou autoridade sanitária.
• Prevenção a fraude: para prevenir fraude e proteger você quando confirma a sua identidade em sistemas eletrônicos.

Uma justificativa conhecida não aparece nessa lista: o legítimo interesse. Ele permite tratar dados comuns sem pedir a sua autorização. Mas ele não está entre as situações do art. 11 — ou seja, não serve de justificativa para dado sensível.

O que você pode fazer?

• Pergunte a finalidade antes de entregar o dado. Use a frase: “para que exatamente vocês precisam disso?”. Você tem direito a saber a finalidade, a duração do tratamento, quem é a empresa responsável e com quem os dados são compartilhados.
• Leia o pedido de consentimento antes de marcar a caixinha. Confira se ele está em destaque e se diz a finalidade específica. Pedido vago e escondido no meio do texto é sinal de alerta.
• Retire o “sim” quando o uso depender dele. Quando a empresa se apoia no seu consentimento, você pode voltar atrás a qualquer momento, e o pedido tem de ser gratuito e fácil. Os usos feitos antes da retirada continuam valendo — a não ser que você peça a eliminação desses dados. E, se a justificativa for outra — cuidar da sua saúde, por exemplo —, retirar o “sim” pode não interromper o uso. Peça por escrito, pelo canal de atendimento da empresa.
• Cobre pelo canal oficial da empresa. Procure na política de privacidade o contato do encarregado — a pessoa indicada para falar com você. Por ali dá para pedir confirmação de que existe tratamento, acesso aos dados e eliminação de dados excessivos ou usados fora da lei.
• Se for plano de saúde, aponte a regra. Reclame por escrito à operadora quando dados de saúde forem usados para negar contratação ou excluir beneficiário.
• Se não resolver, leve adiante. Você pode registrar uma reclamação contra a empresa na ANPD (Agência Nacional de Proteção de Dados), a agência pública que fiscaliza a lei, pelos canais em gov.br/anpd. Você também pode levar o mesmo pedido aos serviços de defesa do consumidor, como o Procon.

Resumo

Dados sensíveis são as informações mais delicadas sobre você: saúde, vida sexual, religião, opinião política, origem racial ou étnica, filiação a sindicato ou a organização religiosa, filosófica ou política, e dados genéticos ou biométricos.

O uso errado deles pode virar discriminação. Por isso a LGPD dá a eles regras próprias e mais restritas. O uso só é permitido nas poucas situações que a própria lei lista para esse grupo. Quando a justificativa é o consentimento, ele precisa ser específico e vir em destaque. E o legítimo interesse não entra nessa lista.