Quais são os dados pessoais sensíveis?

O que são dados pessoais sensíveis: Definição do RGPD

Compreender o que são dados pessoais sensíveis protege os direitos fundamentais e evita penalidades graves para as organizações. O desconhecimento destas regras oficiais traz riscos jurídicos significativos para quem lida com informações privadas. Saiba como identificar estas categorias para garantir a conformidade legal.

O que são dados pessoais sensíveis e por que importam?

Os dados pessoais sensíveis - oficialmente designados pelo RGPD como categorias especiais de dados pessoais rgpd - são informações que, pela sua natureza, têm um maior potencial de causar discriminação ou danos à privacidade. De acordo com o Artigo 9.º do RGPD, a sua proteção é reforçada e o tratamento é proibido por defeito.

Mas há um erro crítico de classificação que grande parte das organizações comete logo no início dos seus processos de conformidade^[1] - explicarei exatamente qual é na secção sobre confusões legais mais abaixo.

Em minha experiência a auditar sistemas, vejo muitos líderes em pânico com o RGPD. Falando com franqueza, não precisa de ser um bicho de sete cabeças. É apenas uma questão de compreender perfeitamente onde estão as linhas vermelhas.

As Categorias Especiais do Artigo 9.º do RGPD

A lei define uma lista estrita e fechada para estas categorias especiais. Origem racial ou étnica, opiniões políticas, convicções religiosas ou filosóficas e filiação sindical abrem esta lista rigorosa.

A estes juntam-se os dados genéticos, os dados biométricos usados para identificação inequívoca (como o reconhecimento facial), os dados de saúde e biométricos rgpd e as informações sobre a vida sexual ou orientação sexual de uma pessoa. Muitas pequenas empresas recolhem dados relativos à saúde sem a devida base legal, expondo-se a riscos enormes.

A Confusão Comum: Dados Sensíveis vs. Dados Altamente Protegidos

Aqui está o erro crítico que mencionei anteriormente: tratar dados financeiros ou criminais como categorias especiais. Muitas pessoas assumem imediatamente que o número do cartão de crédito é um dado sensível ao abrigo do Artigo 9.º. Errado.

Embora exijam forte proteção de segurança, informações bancárias, declarações de rendimentos ou registos criminais não são dados sensíveis na definição restrita da lei. Confundi-los gera burocracia desnecessária.

Eu próprio já cometi este exato erro no início da minha carreira. Exigi o padrão do artigo 9 do rgpd dados sensíveis para uma base de dados que apenas continha números de identificação fiscal de clientes corporativos. O resultado? Bloqueei o lançamento de uma campanha de marketing durante três semanas devido a avaliações de impacto desnecessárias. Custou-nos tempo e dinheiro. Diferencie o risco.

Exemplos de Dados Pessoais Sensíveis na Prática

Pense num ginásio de bairro. Se o treinador pede o peso, histórico de lesões e altura do cliente para criar um plano de treino, está a processar dados relativos à saúde. Ponto final. Isso requer consentimento explícito.

Ou imagine uma empresa que usa impressões digitais no relógio de ponto. Estão a tratar dados biométricos. Esta é uma prática que as autoridades de proteção de dados europeias restringiram drasticamente em 2023, resultando numa redução significativa no uso destes sistemas em PMEs.

Comparação de Níveis de Proteção de Dados

Dados Pessoais Comuns

Informação que identifica direta ou indiretamente uma pessoa

Nome completo, email, morada, endereço IP ou matrícula do carro

Permitido por defeito, desde que cumpra os princípios básicos de proteção

Moderado - Requer base legal normal (como execução de contrato ou interesse legítimo)

⭐ Dados Sensíveis (Art. 9.º do RGPD)

Categorias especiais com alto risco de discriminação fundamental

Relatórios médicos, reconhecimento facial, filiação sindical, religião

Estritamente proibido por defeito, exigindo exceções muito específicas (como consentimento explícito)

Extremo - Sujeito às coimas mais pesadas do regulamento europeu

Outros Dados Altamente Protegidos

Dados críticos não incluídos no Artigo 9.º mas regulados por leis específicas

Registo criminal, extratos bancários, número do Cartão de Cidadão

Permitido com segurança reforçada, frequentemente exigindo autorizações legais sectoriais

Elevado - O vazamento causa danos financeiros ou reputacionais graves

O Desafio Biométrico da Clínica no Porto

A Clínica Saúde+ no Porto, que atende cerca de 500 pacientes diariamente, enfrentava atrasos constantes na receção. Para inovar e reduzir as filas, a administração investiu num sistema de reconhecimento facial para check-in automático dos pacientes regulares.

A equipa técnica implementou a solução e recolheu as faces de todos os pacientes ativos. O problema? Não pediram consentimento explícito específico para biometria, tratando tudo como uma simples atualização de sistema. Uma semana depois, um paciente irritado apresentou queixa formal à CNPD.

Após consultarem os advogados, a administração entrou em pânico ao perceber o erro fatal. A conveniência operacional não anula as proibições do Artigo 9.º do RGPD. Eles estavam a tratar categorias especiais de dados sem qualquer base legal válida. O sistema foi desligado nessa mesma noite.

Para resolver a situação, substituíram o terminal facial por cartões físicos com código de barras num prazo de 15 dias, apagando a base de dados biométrica sob supervisão legal. A lição foi dura: nem toda a inovação tecnológica justifica o extremo risco jurídico associado.

Este artigo oferece informações jurídicas e de conformidade de caráter geral, não constituindo aconselhamento jurídico para a sua situação específica. As leis e interpretações sobre proteção de dados mudam ao longo do tempo. Consulte sempre um advogado especializado ou um Encarregado da Proteção de Dados (DPO) antes de tomar decisões sobre o tratamento de informações na sua organização.