Dados pessoais sensíveis: é preciso cautela na hora de trata-los 
Na última terça-feira (2), publicamos uma matéria que discutia um pouco da importância do mapeamento de dados (ou data mapping) na etapa de adequação à Lei Geral de Proteção de Dados (LGPD).
Nesta fase de adequação, será o momento que a empresa vai averiguar os riscos do negócio de acordo com os tipos de dados pessoais que ela trata no seu cotidiano. É a partir deste levantamento que se dará início a um programa de governança em privacidade e proteção de dados.
É neste momento que as empresas vão precisar se atentar quanto ao tratamento de dados sensíveis. Depois de levantados e mapeados todos os dados pessoais existentes, é preciso que se discuta a efetiva necessidade de seus tratamentos. Será que é imprescindível o seu tratamento na sua empresa?
A pergunta acima representa uma preocupação em razão do nível de criticidade e a severidade das multas que podem advir em situações de incidentes envolvendo os dados pessoais sensíveis.
Assim como já explicado, os dados sensíveis são aqueles referentes à raça, etnia, convicção religiosa, sindicatos, saúde, vida sexual, genética ou biometria, entre outros.
Por que é um risco alto?
Por envolver uma esfera muito íntima do seu titular e a probabilidade de causar discriminação a ele por meio de um tratamento malicioso, os dados pessoais sensíveis somente poderão ser tratados em casos específicos. Procedimentos que os envolvem recebem, inclusive, diferente tratamento pela LGPD.
As multas em casos de incidentes de segurança podem alcançar valores muito altos, sejam eles financeiros ou reputacionais.
Logo, o que fica de lição é: levante todos os dados que estão presentes na sua rotina empresarial. Feito isso, é o momento de separa-los entre dados pessoais e dados pessoais sensíveis.
Sobre os dados sensíveis, é o momento de questionar a sua necessidade para o negócio. Será que realmente é preciso ter acesso a eles para a continuidade dos serviços? Como seria se não os tivessem?
Em certos casos, ainda é obrigatório para uma organização ter acesso aos dados sensíveis, o que não torna a atividade contrária a LGPD, no entanto, é preciso que esteja bem identificado a base legal para o seu tratamento (art. 11).