LGPD é a Lei Geral de Proteção de Dados Pessoais, que disciplina o tratamento de dados de pessoas naturais, nos termos do art. 1º da Lei 13.709/2018. No caso Klara Castanho, ela orienta a análise sobre vazamento de dados sensíveis, responsabilidade e prevenção.
Em junho de 2022, a atriz Klara Castanho relatou publicamente que sofreu violência sexual, engravidou em decorrência do crime, deu à luz e entregou a criança para adoção conforme procedimento legal. A exposição pública desses fatos acendeu debates sobre sigilo médico, proteção de dados pessoais, liberdade de imprensa, ética profissional e limites da divulgação de informações privadas.
O episódio mostra que a violação de privacidade não ocorre apenas por ataques cibernéticos. Ela também pode surgir de conversas indevidas, acesso sem justificativa a prontuários, compartilhamento informal de informações, falhas de governança e ausência de controles internos. Em áreas como saúde, jurídico e comunicação, esse risco exige protocolos claros.
Navegue por este conteúdo:
O que é o caso Klara Castanho?
O caso Klara Castanho envolve a divulgação não autorizada de fatos íntimos ligados à saúde, à vida sexual e à maternidade da atriz. Pela ótica jurídica, o episódio ilustra como dados sensíveis podem circular indevidamente quando profissionais, instituições ou veículos de comunicação ignoram sigilo, finalidade, necessidade e responsabilidade no tratamento de informações.
No dia 24 de junho de 2022, o colunista Léo Dias e a influenciadora Antonia Fontenelle comentaram publicamente, em live e publicações, o caso de uma atriz que teria dado à luz uma criança fruto de violência sexual e encaminhado a criança para adoção. As características divulgadas levaram usuários da internet a associar o relato à atriz Klara Castanho.
Diante da repercussão, a atriz publicou manifestação em seu perfil no Instagram. No texto, afirmou que sofreu estupro, descobriu a gestação em estágio avançado, buscou atendimento médico e seguiu os procedimentos legais para entrega voluntária da criança à adoção. Também relatou ter ouvido, em ambiente hospitalar, insinuação sobre possível vazamento para colunistas.
A entrega legal para adoção tem previsão no Estatuto da Criança e do Adolescente, especialmente no art. 19-A da Lei 8.069/1990, incluído pela Lei 13.509/2017. A norma permite que a gestante ou mãe manifeste interesse em entregar a criança à adoção antes ou logo após o nascimento, com encaminhamento à Justiça da Infância e Juventude.
Esse procedimento busca proteger a mulher, a criança e a própria regularidade da adoção. A publicidade indevida de uma situação como essa pode gerar revitimização, exposição de histórico de violência sexual e danos psíquicos. Também pode desencorajar outras mulheres a procurar atendimento médico ou orientação jurídica em situações de vulnerabilidade.
O caso revisitou temas centrais para empresas, hospitais, escritórios de advocacia e departamentos jurídicos: quem pode acessar dados sensíveis, com qual base legal, por quanto tempo, em quais sistemas, com quais logs e sob quais deveres de confidencialidade. A ausência dessas respostas aumenta o risco de incidente de segurança.
Após a repercussão, o Conselho Federal de Enfermagem manifestou solidariedade à atriz e indicou apuração sobre eventual violação ética. No setor de saúde, além da LGPD, profissionais observam códigos de ética, normas sanitárias e deveres de sigilo. O acesso a prontuários exige finalidade assistencial, administrativa ou legal compatível com a atividade exercida.
- Vazamento de dados: cuidados para escritórios de advocacia com a LGPD
- Ferramentas para captar clientes na advocacia de maneira ética
- Site para escritórios de advocacia X LGPD: o que preciso saber
O que diz a LGPD?
A LGPD define regras para coleta, uso, armazenamento, compartilhamento e eliminação de dados pessoais, inclusive dados sensíveis. A lei exige base legal, finalidade legítima, transparência, segurança e prestação de contas. Em situações que envolvem saúde e vida sexual, o tratamento recebe proteção reforçada pelo art. 11 da Lei 13.709/2018.
A Lei 13.709/2018 foi sancionada em 2018, entrou em vigor em 2020 e teve suas sanções administrativas aplicáveis a partir de 1º de agosto de 2021, conforme a Lei 14.010/2020. A Lei 13.853/2019 criou a Autoridade Nacional de Proteção de Dados, posteriormente transformada em autarquia de natureza especial pela Lei 14.460/2022.
A Constituição Federal também passou a proteger expressamente os dados pessoais. A Emenda Constitucional 115/2022 incluiu o inciso LXXIX no art. 5º da Constituição de 1988, garantindo o direito à proteção dos dados pessoais, inclusive nos meios digitais. Essa mudança reforça a relevância constitucional da privacidade informacional.
O art. 6º da LGPD reúne princípios que servem como checklist para qualquer organização. Finalidade exige propósito legítimo e informado. Necessidade limita o tratamento ao mínimo indispensável. Segurança impõe medidas técnicas e administrativas. Prevenção exige ações anteriores ao dano. Responsabilização e prestação de contas exigem prova das medidas adotadas.
Art. 6º da Lei 13.709/2018. As atividades de tratamento de dados pessoais deverão observar a boa-fé e princípios como finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação, responsabilização e prestação de contas.
Em um hospital, por exemplo, a finalidade assistencial permite que médicos e equipes diretamente envolvidas acessem informações clínicas do paciente. Essa mesma finalidade não autoriza curiosidade, comentários em aplicativos de mensagem, consultas sem relação com o atendimento ou compartilhamento com imprensa. O contexto define a licitude do tratamento.
A LGPD também impõe deveres ao controlador e ao operador. Controlador é quem toma decisões sobre o tratamento, conforme art. 5º, VI, da Lei 13.709/2018. Operador trata dados em nome do controlador, conforme art. 5º, VII. Ambos devem documentar processos, orientar colaboradores e responder por falhas conforme sua participação.
Dado sensível x dado pessoal: qual é a diferença?
Dado pessoal é qualquer informação relacionada a pessoa natural identificada ou identificável. Dado pessoal sensível é uma categoria com maior risco discriminatório ou lesivo, como informação sobre saúde, vida sexual, origem racial, convicção religiosa, opinião política, dado genético ou biométrico, conforme art. 5º, II, da Lei 13.709/2018.
Art. 5º da Lei 13.709/2018. Para os fins desta Lei, considera-se dado pessoal a informação relacionada a pessoa natural identificada ou identificável; e dado pessoal sensível o dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, dado genético ou biométrico.
No caso Klara Castanho, as informações divulgadas envolviam saúde, vida sexual, gestação, parto, violência sexual e entrega legal para adoção. Esses elementos permitem enquadramento como dados sensíveis. A proteção reforçada existe porque a exposição pode causar discriminação, assédio, estigmatização, danos emocionais e violação da dignidade.
O tratamento de dados sensíveis exige hipóteses específicas do art. 11 da LGPD. Pode ocorrer, por exemplo, com consentimento específico e destacado, para cumprimento de obrigação legal, tutela da saúde, proteção da vida ou exercício regular de direitos. Mesmo com base legal, a organização deve limitar acesso e registrar justificativas.
Quando o vazamento de dados sensíveis caracteriza incidente de segurança?
Incidente de segurança ocorre quando há acesso, perda, alteração, comunicação ou difusão não autorizada de dados pessoais, de forma acidental ou ilícita. O art. 48 da Lei 13.709/2018 exige que o controlador comunique à Autoridade Nacional de Proteção de Dados e ao titular incidente capaz de acarretar risco ou dano relevante.
A Resolução CD/ANPD 15/2024 aprovou o Regulamento de Comunicação de Incidente de Segurança. A norma prevê comunicação à ANPD em até três dias úteis, contados do conhecimento pelo controlador, quando o incidente puder gerar risco ou dano relevante aos titulares. O prazo reforça a necessidade de fluxos internos rápidos.
Na prática, organizações devem identificar o incidente, conter o vazamento, preservar evidências, mapear titulares afetados, avaliar riscos, comunicar a ANPD quando exigido, informar titulares de forma clara e adotar medidas corretivas. Em dados sensíveis de saúde, o nível de risco costuma ser elevado, o que demanda reação documentada.
Quais são os limites entre liberdade de imprensa e proteção de dados?
A liberdade de imprensa protege a circulação de informações de interesse público, mas não autoriza exposição desnecessária de intimidade, saúde, violência sexual ou dados sensíveis. A Constituição de 1988 protege a comunicação no art. 5º, IX e XIV, e também assegura intimidade, vida privada, honra e imagem no art. 5º, X.
A Constituição veda censura prévia e protege a atividade jornalística. O Supremo Tribunal Federal, na ADPF 130/DF, decidiu em 2009 que a antiga Lei de Imprensa não foi recepcionada pela Constituição de 1988. A decisão reforçou a liberdade de expressão, sem eliminar responsabilidade civil posterior por abuso ou violação de direitos da personalidade.
No caso de informações envolvendo violência sexual e saúde, a pergunta jurídica relevante não é apenas se a informação é verdadeira. Também se avalia interesse público, necessidade da identificação da pessoa, forma de obtenção, proporcionalidade da divulgação e potencial de dano. Celebridade ou pessoa pública não perde automaticamente seus direitos de personalidade.
Art. 5º, IX, da Constituição Federal de 1988. É livre a expressão da atividade intelectual, artística, científica e de comunicação, independentemente de censura ou licença.
Art. 5º, XIV, da Constituição Federal de 1988. Todos têm acesso à informação, resguardado o sigilo da fonte, quando necessário ao exercício profissional.
Art. 5º, X, da Constituição Federal de 1988. São invioláveis a intimidade, a vida privada, a honra e a imagem das pessoas, com direito a indenização por dano material ou moral decorrente de sua violação.
A LGPD contém regra específica para fins jornalísticos no art. 4º, II, “a”, da Lei 13.709/2018, ao afastar a aplicação de determinadas disposições da lei para tratamento realizado exclusivamente para fins jornalísticos, artísticos ou acadêmicos. Essa exceção não transforma dados sensíveis em conteúdo livre de responsabilidade.
A exceção jornalística convive com a Constituição, o Código Civil e o dever de reparar danos. O art. 186 do Código Civil, Lei 10.406/2002, define ato ilícito quando alguém viola direito e causa dano, ainda que moral. O art. 927 prevê obrigação de indenizar. Portanto, liberdade editorial não elimina análise de abuso.
Quais penalidades cabem em caso de violação da LGPD?
As penalidades por violação da LGPD podem incluir advertência, multa, publicização da infração, bloqueio ou eliminação de dados, suspensão de banco de dados e proibição de atividades de tratamento. A ANPD aplica sanções administrativas conforme o art. 52 da Lei 13.709/2018, observando gravidade, boa-fé, reincidência e cooperação.
O art. 52 da LGPD prevê multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil, limitada a R$ 50 milhões por infração. Também prevê multa diária, bloqueio de dados, eliminação de dados e publicização da infração após apuração e confirmação.
Art. 52 da Lei 13.709/2018. Os agentes de tratamento de dados, em razão das infrações cometidas às normas previstas nesta Lei, ficam sujeitos a sanções administrativas aplicáveis pela autoridade nacional, incluindo advertência, multa, publicização, bloqueio, eliminação, suspensão e proibição parcial ou total de atividades de tratamento.
A Lei 13.853/2019 incluiu sanções como suspensão parcial do funcionamento do banco de dados, suspensão do exercício da atividade de tratamento e proibição parcial ou total de atividades relacionadas a tratamento de dados. A aplicação prática depende de processo administrativo, contraditório e critérios do Regulamento de Dosimetria da ANPD.
A Resolução CD/ANPD 4/2023 aprovou o Regulamento de Dosimetria e Aplicação de Sanções Administrativas. Ela orienta a autoridade na classificação da infração, cálculo de multa, fatores agravantes e atenuantes. Entre os elementos analisados estão vantagem auferida, condição econômica, grau do dano, cooperação e adoção de políticas de governança.
Além das sanções da ANPD, o vazamento pode gerar responsabilidade civil. A pessoa afetada pode pleitear indenização por dano moral e material, com base no art. 5º, X, da Constituição de 1988 e nos arts. 186, 187 e 927 do Código Civil. Em relações de consumo, o Código de Defesa do Consumidor também pode incidir.
No campo trabalhista e profissional, a instituição pode aplicar medidas disciplinares a colaboradores que acessam ou divulgam dados sem autorização, observando contrato, regulamento interno, proporcionalidade e direito de defesa quando aplicável. Conselhos profissionais também podem instaurar procedimentos ético-disciplinares, conforme normas próprias de cada categoria.
Como organizações devem prevenir vazamento de dados sensíveis?
Organizações previnem vazamento de dados sensíveis com governança, mapeamento de dados, controle de acesso, treinamento, registros de operação, resposta a incidentes e revisão de contratos. A LGPD exige medidas técnicas e administrativas compatíveis com o risco, e não apenas políticas formais sem aplicação prática.
O primeiro passo é mapear os dados tratados. Hospitais, clínicas, escritórios de advocacia e departamentos jurídicos devem identificar quais dados coletam, onde armazenam, quem acessa, por qual base legal, por quanto tempo conservam e com quem compartilham. Esse inventário permite corrigir excessos e definir controles por criticidade.
O segundo passo é restringir acessos. Sistemas devem operar com perfis mínimos, autenticação forte, logs de acesso e revisão periódica de permissões. Um colaborador não deve consultar prontuário, processo ou contrato por curiosidade. Se o acesso não se relaciona com a função, a organização deve bloquear tecnicamente essa possibilidade.
O terceiro passo é treinar equipes com exemplos reais. Treinamentos devem explicar que dados de saúde, vida sexual, violência, adoção e processos familiares não podem circular em mensagens informais, grupos de aplicativos ou conversas públicas. Cláusulas de confidencialidade ajudam, mas não substituem cultura, supervisão e resposta rápida a desvios.
O quarto passo é criar plano de resposta a incidentes. O plano deve indicar responsáveis, canais de comunicação, critérios de severidade, fluxo de investigação, modelo de comunicação à ANPD, comunicação aos titulares e medidas de contenção. Sem esse roteiro, a organização tende a perder prazo e evidências.
O quinto passo é revisar contratos com operadores. Prestadores de tecnologia, marketing, atendimento, arquivo, cobrança e jurídico podem tratar dados pessoais em nome do controlador. Contratos devem prever finalidade, confidencialidade, segurança, subcontratação, cooperação em incidentes, eliminação ou devolução dos dados e auditoria quando necessário.
Perguntas frequentes sobre LGPD
LGPD é a Lei Geral de Proteção de Dados Pessoais, Lei 13.709/2018, que regula coleta, uso, armazenamento, compartilhamento e eliminação de dados de pessoas naturais. Ela protege titulares, impõe deveres a controladores e operadores e exige base legal para qualquer tratamento de dados pessoais.
LGPD serve para proteger a privacidade, a liberdade e o desenvolvimento da personalidade da pessoa natural. Na prática, a lei obriga empresas, órgãos públicos e profissionais a justificar o uso de dados, reduzir coletas excessivas, proteger informações e responder por incidentes de segurança.
LGPD considera sensíveis os dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, dado genético e dado biométrico, quando vinculados a uma pessoa natural. Esses dados exigem proteção reforçada por seu potencial discriminatório.
LGPD pode fundamentar pedido de indenização quando o vazamento de dados de saúde causa dano material ou moral. A análise também envolve Constituição Federal, Código Civil e, em algumas relações, Código de Defesa do Consumidor. O resultado depende de prova do dano, nexo e responsabilidade.
LGPD prevê exceção para fins jornalísticos, mas isso não autoriza exposição abusiva de intimidade, saúde ou vida sexual. Pessoas públicas mantêm direitos de personalidade. A divulgação deve observar interesse público, proporcionalidade, forma de obtenção da informação e responsabilidade civil por eventual dano.
LGPD exige comunicação à ANPD e ao titular quando o incidente puder acarretar risco ou dano relevante. Pela Resolução CD/ANPD 15/2024, o controlador deve comunicar a autoridade em até três dias úteis contados do conhecimento do incidente, quando presentes os requisitos da norma.
LGPD prevê advertência, multa simples, multa diária, publicização da infração, bloqueio, eliminação de dados, suspensão de banco de dados e proibição de atividades de tratamento. A ANPD aplica as sanções conforme art. 52 da Lei 13.709/2018 e Resolução CD/ANPD 4/2023.
Como o caso Klara Castanho resume os cuidados exigidos pela LGPD?
O caso Klara Castanho demonstra que proteção de dados sensíveis exige mais do que sistemas seguros: requer ética, controle de acesso, sigilo profissional, treinamento e responsabilização. A LGPD oferece a base jurídica para avaliar a exposição, mas a prevenção depende de decisões diárias dentro de organizações e equipes.
Para escritórios de advocacia e departamentos jurídicos, a principal lição é tratar dados sensíveis como informação de alto risco. Relatos de violência, saúde, filiação, biometria, vida sexual e dados de crianças ou adolescentes exigem acesso restrito, registro de finalidade, armazenamento seguro e orientação clara a todos os profissionais envolvidos.
Quer acompanhar conteúdos sobre LGPD, gestão jurídica e proteção de dados? Faça seu cadastro e receba novidades por e-mail.
![[Guia completo] Transação penal: o que é, quando vale a pena e como funciona na prática](https://www.projuris.com.br/wp-content/uploads/2026/10/transacao-penal-150x150.jpg)
