O que conta como dado pessoal para a LGPD
Um número de telefone salvo numa agenda, o endereço IP de um computador, uma foto de rosto ou um padrão de cliques dentro de um site: nenhum desses exemplos parece, à primeira vista, uma informação sigilosa, mas todos podem se encaixar no conceito de dado pessoal que a Lei Geral de Proteção de Dados usa como ponto de partida. A abrangência surpreende quem espera uma lista fechada de itens "sensíveis" — a lei trabalha com um critério funcional, não com um catálogo fixo. Segundo o inciso I do art. 5º da Lei 13.709/2018, dado pessoal é toda informação relacionada a pessoa natural identificada ou identificável. O centro do conceito não está no tipo de dado, mas na capacidade de, direta ou indiretamente, apontar para uma pessoa específica.
Identificado ou identificável: a diferença que amplia o conceito
É aí que mora a parte menos intuitiva do inciso I: mesmo sem nome, sobrenome ou CPF, um conjunto de informações pode reconstruir a identidade de alguém, e a lei já trata esse resultado como dado pessoal. Um CEP, uma data de nascimento e um cargo, somados, costumam bastar para apontar para uma única pessoa dentro de uma empresa pequena, ainda que nenhum dos três dados isoladamente identifique ninguém.
Exemplos que a lei não separa por grau de sensibilidade
A definição do art. 5º, I, não distingue informação trivial de informação delicada — essa separação aparece só depois, no rol de dado sensível de outro inciso do mesmo artigo. Por isso, entram no conceito geral:
- Endereço IP e registros de conexão à internet, também tratados pelo art. 5º do Marco Civil da Internet;
- Geolocalização captada por aplicativo de celular;
- Placa de veículo associada a um condutor identificável;
- Histórico de compras vinculado a um cadastro de cliente;
- Voz gravada em atendimento telefônico que permita reconhecer o falante.
Quando o dado deixa de ser pessoal
O contraponto do conceito amplo é o dado anonimizado: quando a técnica usada torna irreversível a ligação entre a informação e a pessoa, a LGPD deixa de incidir sobre aquele dado. Essa fronteira entre o que ainda identifica e o que já não identifica mais é tratada com mais profundidade no verbete deste portal sobre anonimização e pseudonimização.
Perguntas frequentes
Um endereço IP sozinho já identifica uma pessoa?
Raramente sozinho, mas combinado aos registros de conexão que o provedor guarda, normalmente sim — por isso a prática consolidada trata o IP como dado pessoal na maior parte dos casos.
Proveniência
Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso.
Onde buscar este serviço
O caminho descrito nesta página é público e não depende de contratação particular. Estes são os canais oficiais de atendimento:
- Defensoria Pública do seu estado ou da União, para orientação e representação jurídica gratuitas a quem não pode pagar advogado.
- O encarregado de dados (DPO) da própria empresa e, se não houver resposta, a ANPD pelos canais oficiais de petição.
Conteúdos relacionados
Links internos
Conteúdo informativo. Não substitui a análise individual de um advogado ou da Defensoria Pública sobre o seu caso.