O que é Dado Pessoal?
Dado pessoal, em inglês personal data, é toda informação relacionada a uma pessoa natural identificada ou identificável. A definição vem do artigo 5º da LGPD e é propositalmente ampla: ela não lista o que conta como dado pessoal, ela descreve um efeito.
A palavra-chave é identificável. Nome e CPF identificam de forma direta. Endereço IP, cookie, ID de dispositivo e histórico de compras identificam de forma indireta, porque permitem chegar a alguém quando combinados com outras informações. O impacto prático é grande: se um dado é pessoal, todo tratamento dele precisa de base legal, finalidade declarada e transparência. E tratamento inclui quase tudo, de coletar e armazenar a compartilhar e apagar.
Como funciona na prática?
O marketing lida com dados pessoais em quatro pontos. Formulários captam nome, e-mail e telefone. Tags e pixels gravam identificadores de navegador. Plataformas de mídia recebem listas de público, muitas vezes com e-mail em hash. Ferramentas de análise armazenam ID de usuário junto de comportamento.
Para cada fluxo, três perguntas orientam a decisão: qual a finalidade concreta do uso, qual base legal sustenta o tratamento e por quanto tempo o dado fica guardado. A LGPD prevê dez bases legais, e no marketing as mais comuns são o consentimento, a execução de contrato e o legítimo interesse. Dois conceitos aliviam a carga: a anonimização remove de forma irreversível a identificação e tira o dado do alcance da lei, enquanto a pseudonimização troca identificadores por códigos, reduz risco e mantém o dado no escopo.
Dados pessoais vs dados anonimizados: qual a diferença?
| Aspecto | Dados pessoais | Dados anonimizados |
|---|---|---|
| Identificação | Direta ou indireta, possível | Inviável por meios razoáveis |
| Alcance da LGPD | Tratamento regulado | Fora do escopo, em regra |
| Exemplo típico | E-mail, CPF, IP, ID de cookie | Total de vendas por região |
| Direitos do titular | Acesso, correção, exclusão | Não se aplicam |
Veredito: o que separa as duas categorias é a possibilidade de chegar a uma pessoa, e não o formato do dado.
Exemplos de uso
- Uma loja monta lista de remarketing com e-mails em hash. O hash dificulta a leitura e não elimina a natureza pessoal do dado, já que a plataforma usa aquele valor para reencontrar a pessoa. A base legal segue necessária.
- Uma empresa de eventos guarda 20 mil cadastros de uma feira de 2019, sem contato desde então. A finalidade original se esgotou, e a retenção sem propósito atual vira risco.
Erros comuns
- Achar que só nome e CPF contam como dado pessoal, deixando IP e cookie fora do inventário.
- Tratar hash de e-mail como anonimização: ele é pseudonimização, e o dado continua pessoal.
- Guardar dados sem prazo definido, mantendo bases antigas sem finalidade atual.
- Compartilhar dados com fornecedores sem contrato que defina papéis e responsabilidades.
Perguntas frequentes sobre Dados Pessoais
E-mail corporativo é dado pessoal?
Um e-mail no formato nome.sobrenome@empresa.com.br identifica uma pessoa e é dado pessoal. Já um endereço genérico como contato@empresa.com.br aponta para a organização. O critério é sempre a possibilidade de chegar a uma pessoa natural a partir da informação.
Cookie é dado pessoal?
Depende do que ele guarda. Um cookie com identificador único que permite reconhecer um visitante entre sessões ou sites é dado pessoal, mesmo sem nome ou e-mail. Um cookie de preferência de idioma, sem identificador, tende a ficar fora. Por isso o inventário classifica cookie a cookie.
Preciso de consentimento para todo dado pessoal?
Não. O consentimento é uma das dez bases legais da LGPD. Processar um pedido usa execução de contrato, emitir nota fiscal cumpre obrigação legal, prevenir fraude costuma se apoiar em legítimo interesse. O consentimento fica reservado para usos que a pessoa não esperaria, como publicidade.