Questão:

Estamos realizando mapeamento de campos pessoais e sensíveis em nossa ferramenta e com isto surgiram as seguintes dúvidas: 

• 1)Existem campos nas nossas rotinas que o tipo e o número de inscrição podem ser CNPJ, CPF, CAEPF ou CNO, porém os cadastros onde existem estes campos são para identificar a empresa, o estabelecimento, a lotação ou a obra que o trabalhador se encontra. Nestes casos estes campos são consideráveis sensíveis ou pessoais?

• Existe outro cadastro em nosso ambiente que é o cadastro da empresa, neste cadastro temos campos de dados dos responsáveis pelos eventos do E-Social e Reinf (campos: nome, cpf, telefone e e-mail). Neste cadastro temos também a parte de informações sobre a empresa de software house (campos: nome, telefone e e-mail). Por fim, neste mesmo cadastro temos informações do produtor rural se a mesma assim for (campos: CPF). Estes campos citados se encaixam como pessoais ou sensíveis?

• Em vários outros cadastros temos campos referentes ao país, estado e cidade. Gostaria de saber se estes também se encaixam como pessoais ou sensíveis, visto que se eu apagar outros dados como o nome da rua, número da casa e o CEP, estes perdem o seu propósito?

Resposta:

• Existem campos nas nossas rotinas que o tipo e o número de inscrição podem ser CNPJ, CPF, CAEPF ou CNO, porém os cadastros onde existem estes campos são para identificar a empresa, o estabelecimento, a lotação ou a obra que o trabalhador se encontra. Nestes casos estes campos são consideráveis sensíveis ou pessoais?

• Existe outro cadastro em nosso ambiente que é o cadastro da empresa, neste cadastro temos campos de dados dos responsáveis pelos eventos do E-Social e Reinf (campos: nome, cpf, telefone e e-mail). Neste cadastro temos também a parte de informações sobre a empresa de software house (campos: nome, telefone e e-mail). Por fim, neste mesmo cadastro temos informações do produtor rural se a mesma assim for (campos: CPF). Estes campos citados se encaixam como pessoais ou sensíveis?

Em ambos os casos trata-se de um dado pessoal por ser uma informação que permite identificar, direta ou indiretamente, um indivíduo que esteja vivo(Exemplo: Trabalhador João de CPF ........ se encontra na obra X), então ela é considerada um dado pessoal: nome, RG, CPF, gênero, data e local de nascimento, telefone, endereço residencial, localização via GPS, retrato em fotografia, prontuário de saúde, cartão bancário, renda, histórico de pagamentos, hábitos de consumo, preferências de lazer; endereço de IP (Protocolo da Internet) e cookies, entre outros.

• Em vários outros cadastros temos campos referentes ao país, estado e cidade. Gostaria de saber se estes também se encaixam como pessoais ou sensíveis, visto que se eu apagar outros dados como o nome da rua, número da casa e o CEP, estes perdem o seu propósito?

Neste caso será tratado como dado pessoal desde que tenha relação com os dados de endereço de um indivíduo que esteja vivo. 

• Atenção - Ressaltamos que nos casos de dados sensíveis são os que revelam origem racial ou étnica, convicções religiosas ou filosóficas, opiniões políticas, filiação sindical, questões genéticas, biométricas e sobre a saúde ou a vida sexual de uma pessoa, a Lei Geral de Proteção de Dados tem como objetivo – Regulamentar a forma como as empresas realizam esta coleta e a forma como utilizam esses dados pessoais, a Lei é direcionada para a pessoa física e a ela vem tratar tanto a pessoa identificada como pessoa identificável.

LEI Nº 13.709, DE 14 DE AGOSTO DE 2018. - CAPÍTULO I - DISPOSIÇÕES PRELIMINARES

Art. 5º Para os fins desta Lei, considera-se:

I - dado pessoal: informação relacionada a pessoa natural identificada ou identificável;

II - dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

Referente aos dados Anonimizados: 

Um dado anonimizado é um dado pessoal ou sensível que foi tratado para que suas informações não possam ser vinculadas ao seu titular original.

Pela própria definição da lei, um dado anonimizado “perde a possibilidade de associação, direta ou indireta, a um indivíduo”.

Art 5º - III – dado anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento.

A Lei sobre a LGPD fixa ainda a anonimização de dados pessoais do titular como um direito quando esses são desnecessários ou excessivos, conforme descreve seu artigo 18, IV.

Art 18 - IV - anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto nesta Lei.

Desta forma concluímos que a efetividade de anonimização deve ser analisada de acordo com cada contexto. Exemplo: Caso tenhamos dados de endereço que fazem parte de um dado cadastral que é obrigatório na entrega de uma obrigação não precisamos anonimizar essas informações. 

Chamado/Ticket:

PSCONSEG-2420, PSCONSEG-3947

LEI Nº 13.709, DE 14 DE AGOSTO DE 2018 - Lei Geral de Proteção de Dados Pessoais

O que são dados sensíveis, de acordo com a LGPD - GOV.BR

https://www.cge.pr.gov.br/Pagina/Cartilhas-da-Lei-Geral-de-Protecao-de-Dados-LGPD