Os dados sensíveis — que o RGPD designa por categorias especiais de dados — são os que revelam origem racial ou étnica, opiniões políticas, convicções religiosas ou filosóficas, filiação sindical, dados genéticos, dados biométricos usados para identificar uma pessoa, dados de saúde e dados relativos à vida ou orientação sexual (art. 9.º, n.º 1). O seu tratamento é, em princípio, proibido, salvo se se aplicar uma das dez exceções do artigo 9.º, n.º 2. Tratá-los exige, cumulativamente, uma base do artigo 6.º e uma condição do artigo 9.º, n.º 2. Em Portugal, acrescem regras específicas: o regime da informação de saúde da Lei 12/2005 e os limites à biometria de trabalhadores do artigo 28.º da Lei 58/2019. Este guia sistematiza tudo.
Principais conclusões
- Os dados sensíveis são as categorias especiais do art. 9.º, n.º 1 — o seu tratamento é proibido por defeito.
- Só se pode tratar ao abrigo de uma das 10 exceções do art. 9.º, n.º 2.
- É preciso base do art. 6.º e condição do art. 9.º, cumulativamente.
- Em Portugal, a biometria de trabalhadores só é lícita para controlo de assiduidade e de acessos (art. 28.º da Lei 58/2019).
- Violações de acesso a dados de saúde já custaram 400.000 € a um hospital português.
O que são categorias especiais de dados
O artigo 9.º, n.º 1, do RGPD enumera exaustivamente as categorias especiais. Nem todos os dados «pessoais e importantes» são sensíveis no sentido jurídico — os dados financeiros, por exemplo, são pessoais mas não são categoria especial. São sensíveis:
- Origem racial ou étnica;
- Opiniões políticas;
- Convicções religiosas ou filosóficas;
- Filiação sindical;
- Dados genéticos;
- Dados biométricos para identificação inequívoca;
- Dados relativos à saúde;
- Dados relativos à vida sexual ou orientação sexual.
Um ponto subtil: os dados só são «sensíveis» quando revelam uma destas características. Uma fotografia é dado pessoal comum, mas passa a categoria especial se for tratada por meios técnicos para identificar biometricamente uma pessoa. É a finalidade, e não apenas o dado em si, que determina o enquadramento.
Este critério da «revelação» estende-se a inferências. O Tribunal de Justiça da União Europeia esclareceu, no acórdão OT contra Vyriausioji tarnybinės etikos komisija (processo C-184/20, 2022), que dados aparentemente neutros passam a ser sensíveis quando permitem, por dedução, revelar informação de categoria especial — por exemplo, o nome do cônjuge que revela indiretamente a orientação sexual. Para as organizações, a consequência prática é que não basta olhar para o rótulo do campo: é preciso perguntar o que o conjunto dos dados permite deduzir. Um tratamento que, isoladamente, parecia comum pode cair no artigo 9.º por via daquilo que revela, com todas as obrigações reforçadas que daí decorrem.
As dez exceções do artigo 9.º, n.º 2
A proibição do n.º 1 cede perante uma das dez condições do n.º 2. As mais relevantes na prática empresarial são:
| Alínea | Exceção | Exemplo típico |
|---|---|---|
| a) | Consentimento explícito | Dados de saúde num ginásio ou clínica |
| b) | Direito do trabalho e segurança social | Baixas médicas, medicina do trabalho |
| c) | Interesses vitais | Emergência médica com titular incapaz |
| h) | Medicina, diagnóstico, gestão de cuidados | Processos clínicos num hospital |
| f) | Declaração/exercício/defesa de direito em processo | Prova em litígio judicial |
O consentimento exigido pela alínea a) é explícito — um patamar mais elevado do que o consentimento comum, que exige uma declaração inequívoca e específica quanto aos dados sensíveis em causa (ver consentimento RGPD).
Dados de saúde: o regime português
Em Portugal, o tratamento de informação de saúde é enquadrado, além do RGPD, pela Lei 12/2005, relativa à informação genética pessoal e de saúde. A informação de saúde é propriedade da pessoa e o seu acesso está sujeito a regras estritas de controlo. Para o setor, isto traduz-se em obrigações reforçadas de gestão de acessos, registo de quem acede a cada processo e minimização.
O caso de referência é a coima de 400.000 euros aplicada pela CNPD ao Centro Hospitalar Barreiro Montijo em 2018: existiam perfis de acesso indevidos e um número de utilizadores com perfil «médico» muito superior ao número real de médicos, permitindo acessos não justificados a dados de saúde. A decisão sancionou a violação dos princípios de integridade e confidencialidade e do próprio artigo 9.º. O guia setorial de RGPD na saúde aprofunda estas obrigações.
Biometria de trabalhadores: os limites do art. 28.º
A biometria é um dos pontos onde Portugal impôs limites próprios. O artigo 28.º da Lei 58/2019 restringe o tratamento de dados biométricos de trabalhadores: só é admissível para controlo de assiduidade e de acessos às instalações. Está vedado, por exemplo, usar biometria para avaliar o desempenho ou para finalidades de vigilância genérica. Do mesmo modo, a videovigilância no local de trabalho não pode ser usada para avaliar o desempenho do trabalhador. Estas regras são desenvolvidas no guia de RGPD nos recursos humanos.
Obrigações reforçadas para dados sensíveis
Tratar categorias especiais desencadeia obrigações acrescidas em cadeia:
- Avaliação de impacto (art. 35.º) — o tratamento em grande escala de dados sensíveis exige, em regra, uma AIPD, para a qual pode usar o nosso modelo de AIPD preenchível.
- Encarregado de proteção de dados — o tratamento em grande escala de categorias especiais obriga à designação de um EPD (art. 37.º, n.º 1, al. c).
- Medidas de segurança reforçadas — controlo de acessos granular, cifragem, registos de acesso.
- Contratos de subcontratação rigorosos com quem trate estes dados (software clínico, laboratórios) — ver contrato de subcontratação.
Perguntas frequentes
Os dados financeiros são dados sensíveis no RGPD?
Não. As categorias especiais estão enumeradas de forma exaustiva no artigo 9.º, n.º 1, e não incluem dados financeiros. Estes são dados pessoais que exigem proteção, mas não estão sujeitos ao regime reforçado do artigo 9.º.
Preciso de consentimento explícito para tratar dados de saúde?
Nem sempre. O consentimento explícito (art. 9.º, n.º 2, al. a) é uma das dez exceções, mas há outras — medicina do trabalho, prestação de cuidados de saúde (al. h), interesses vitais. Um hospital trata dados de saúde ao abrigo da alínea h), não do consentimento.
Posso usar impressão digital para controlo de ponto em Portugal?
Sim, mas apenas para controlo de assiduidade e de acessos, nos termos do artigo 28.º da Lei 58/2019, e desde que se justifique a necessidade e proporcionalidade face a alternativas menos intrusivas. Não pode ser usada para outras finalidades.
Uma fotografia é sempre dado sensível?
Não. Uma fotografia é, em regra, dado pessoal comum. Só se torna categoria especial quando tratada por meios técnicos específicos para identificar biometricamente uma pessoa (Considerando 51 do RGPD).
Conclusão
Os dados sensíveis exigem uma dupla verificação: uma base do artigo 6.º e uma condição do artigo 9.º, n.º 2. Em Portugal, some-se o regime da saúde da Lei 12/2005 e os limites à biometria de trabalhadores do artigo 28.º da Lei 58/2019. O tratamento destas categorias desencadeia obrigações reforçadas — AIPD, EPD, segurança acrescida — cujo incumprimento é dos mais penalizados, como mostra a coima ao Centro Hospitalar Barreiro Montijo. Identifique cedo que tratamentos envolvem dados sensíveis: é o que determina metade das suas obrigações.