Dados pessoais

Dado pessoal é o conceito que define o alcance da LGPD: se a informação não se relaciona a uma pessoa natural identificada ou identificável, a lei não se aplica. A LGPD (art. 5º, I) adota a mesma lógica ampla do GDPR europeu (art. 4(1)). Uma pessoa é identificável quando pode ser individualizada por meios razoáveis, inclusive pela combinação de vários dados que, isolados, pareceriam inofensivos.

A categoria é mais ampla do que parece. Endereço IP, identificador de dispositivo, cookies, gravação de voz, fotografia, avaliação de desempenho de um empregado e inferências que um modelo faz sobre alguém podem ser dados pessoais. Dado pseudonimizado continua sendo dado pessoal; só o dado efetivamente anonimizado sai do escopo da lei, nos termos do art. 12.

Em projetos de IA, dados pessoais aparecem nos conjuntos de treinamento, nos prompts digitados pelos usuários e nas respostas do modelo. Um chatbot de atendimento que guarda conversas vinculadas ao CPF do cliente trata dados pessoais e precisa de base legal, finalidade definida e prazo de retenção.