Saber o que é um dado pessoal é o primeiro passo para compreender a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018). É esse conceito que define quando a lei se aplica — e ele costuma ser mais amplo do que se imagina.
Identificada ou identificável
O art. 5º, I, da LGPD define dado pessoal como a informação relacionada a pessoa natural identificada ou identificável. O ponto central está na segunda palavra: não é necessário que a informação revele, sozinha, quem é a pessoa. Basta que, combinada com outras informações disponíveis, ela permita essa identificação.
Por isso, além de nome, CPF ou e-mail, podem ser dados pessoais, a depender do contexto, informações como endereço IP, identificadores de dispositivos, dados de localização, registros de compras ou imagens captadas por câmeras.
Dados pessoais sensíveis
A lei reserva proteção reforçada aos dados pessoais sensíveis (art. 5º, II): dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dados referentes à saúde ou à vida sexual e dados genéticos ou biométricos, quando vinculados a uma pessoa natural. O tratamento desses dados só pode ocorrer nas hipóteses mais restritas do art. 11.
Quando o dado deixa de ser pessoal
Dados anonimizados — aqueles relativos a titular que não possa ser identificado, considerando os meios técnicos razoáveis disponíveis (art. 5º, III) — não são considerados dados pessoais. A exceção está no art. 12: se o processo de anonimização puder ser revertido com esforços razoáveis, os dados voltam a ser tratados como pessoais.
A pseudonimização, por sua vez, não equivale à anonimização: o dado pseudonimizado ainda pode ser associado a uma pessoa por meio de informação adicional mantida separadamente (art. 13, § 4º).
Situações em que a LGPD não se aplica
O art. 4º afasta a aplicação da lei em algumas hipóteses, entre elas:
- tratamento realizado por pessoa natural para fins exclusivamente particulares e não econômicos;
- tratamento para fins exclusivamente jornalísticos e artísticos;
- tratamento para fins acadêmicos, aplicando-se, nesse caso, os arts. 7º e 11;
- tratamento para fins exclusivos de segurança pública, defesa nacional, segurança do Estado ou atividades de investigação e repressão de infrações penais, que devem ser regidos por legislação específica.
Por que o conceito importa
Identificar corretamente os dados pessoais envolvidos em uma atividade é o que permite definir as bases legais aplicáveis, os direitos que os titulares podem exercer e as medidas de segurança necessárias. Este texto tem caráter informativo e não substitui a análise individualizada de cada tratamento.