CPF é dado sensível pela LGPD?

Não. Pela LGPD o CPF é dado pessoal, porque identifica uma pessoa natural, mas não está na lista de dados pessoais sensíveis do art. 5º, II: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização religiosa, filosófica ou política, dados de saúde ou da vida sexual, dados genéticos e biométricos. A diferença importa, mas não é licença para relaxar: o CPF continua exigindo finalidade, segurança e base legal, e combinado com outros dados pode expor a pessoa.

A LGPD proíbe usar dados reais em ambiente de teste?

Nenhum artigo diz isso com todas as letras. O que existe são princípios que tornam a prática difícil de justificar: finalidade e necessidade (art. 6º), que pedem o mínimo de dados para o objetivo, e segurança (art. 6º, VII, e art. 46), que exige proteger os dados em todos os ambientes. Como dados fictícios entregam o mesmo resultado em teste, copiar a produção dificilmente passa no critério da necessidade. Se for inevitável, anonimize antes: dado anonimizado deixa de ser dado pessoal (art. 12).

Um CPF gerado por ferramenta online é dado pessoal?

Em geral não: um número gerado ao acaso, sem ligação com nome ou outros dados, não identifica ninguém. A ressalva é que ele pode coincidir com o CPF de uma pessoa real, e no momento em que você o associa a dados de alguém de verdade, o conjunto passa a ser tratado como dado pessoal. Por isso, em teste, combine CPFs gerados apenas com nomes e e-mails fictícios. Este texto é informativo e não substitui a orientação do jurídico ou do encarregado de dados (DPO).

Guia para equipes

LGPD e dados de teste

Restaurar um backup de produção no ambiente de homologação é o atalho mais comum e um dos mais arriscados. Existe alternativa que dá o mesmo resultado sem expor ninguém.

Última atualização: 24 de outubro de 2026.

Resposta curta

O CPF é dado pessoal pela Lei Geral de Proteção de Dados (Lei 13.709/2018): identifica uma pessoa natural. Ambientes de teste costumam ter menos controle de acesso, mais gente com permissão e logs mais soltos que a produção, então cópias de dados reais ali ampliam o risco sem entregar nada que dados fictícios não entreguem.

O que a lei pede, em termos práticos

Necessidade (art. 6º, III): tratar só o mínimo indispensável para a finalidade. Testar um formulário não exige o CPF de um cliente de verdade.
Segurança (art. 6º, VII, e art. 46): adotar medidas técnicas para proteger os dados contra acesso indevido. Um banco de homologação espelhado de produção herda a obrigação sem herdar os controles.
Sanções (art. 52): vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, além do dano à reputação e de eventual ação do titular.

Este texto é informativo e não substitui a orientação do jurídico ou do encarregado de dados (DPO) da sua empresa.

Três caminhos, do melhor ao pior

1. Dados sintéticos

Gerar tudo do zero: CPFs válidos e fictícios (basta gerar CPF aleatórioaqui no site), nomes inventados, e-mails em domínios de teste. Nenhum titular existe por trás, então não há o que vazar. É o caminho certo para testes automatizados e para ambientes de desenvolvimento. Os números só precisam passar na validação, o que o módulo 11 garante.

2. Dados reais anonimizados

Quando é preciso preservar a forma e o volume da base real, a cópia passa por um processo que troca os identificadores por valores fictícios de forma irreversível. Pela LGPD (art. 12), dado anonimizado deixa de ser dado pessoal, salvo se o processo puder ser revertido com esforço razoável. Vale conferir também a combinação de campos: data de nascimento, CEP e cargo juntos ainda podem identificar alguém.

3. Dados reais mascarados ou pseudonimizados

Trocar o CPF por um hash ou esconder parte dos dígitos reduz o risco, mas o dado continua ligado à pessoa se a chave de reversão existir em algum lugar. Continua sendo dado pessoal e exige os mesmos controles. Serve como etapa intermediária, não como destino.

Um CPF sintético pode coincidir com um real?

Pode: existem cerca de 10 bilhões de combinações válidas e uma fração está em uso, e nenhum site independente consegue saber quais. A diferença é que um CPF sintético nasce solto, sem nome, endereço ou histórico de ninguém ligado a ele no seu banco. Para reduzir qualquer ambiguidade, não combine o CPF gerado com dados de uma pessoa real, enunca o use fora de teste.

Checklist para a equipe

Nenhum dump de produção restaurado em homologação sem anonimização.
Fixtures e seeds de teste com CPFs gerados, versionados no repositório.
Casos de borda cobertos conforme CPF para teste.
Logs e capturas de tela de teste revisados antes de irem para chamados e chats.
Acesso ao ambiente de teste limitado a quem precisa, como em produção.

FAQ

Perguntas frequentes sobre LGPD e dados de teste

CPF é dado sensível pela LGPD?: Não. Pela LGPD o CPF é dado pessoal, porque identifica uma pessoa natural, mas não está na lista de dados pessoais sensíveis do art. 5º, II: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização religiosa, filosófica ou política, dados de saúde ou da vida sexual, dados genéticos e biométricos. A diferença importa, mas não é licença para relaxar: o CPF continua exigindo finalidade, segurança e base legal, e combinado com outros dados pode expor a pessoa.
A LGPD proíbe usar dados reais em ambiente de teste?: Nenhum artigo diz isso com todas as letras. O que existe são princípios que tornam a prática difícil de justificar: finalidade e necessidade (art. 6º), que pedem o mínimo de dados para o objetivo, e segurança (art. 6º, VII, e art. 46), que exige proteger os dados em todos os ambientes. Como dados fictícios entregam o mesmo resultado em teste, copiar a produção dificilmente passa no critério da necessidade. Se for inevitável, anonimize antes: dado anonimizado deixa de ser dado pessoal (art. 12).
Um CPF gerado por ferramenta online é dado pessoal?: Em geral não: um número gerado ao acaso, sem ligação com nome ou outros dados, não identifica ninguém. A ressalva é que ele pode coincidir com o CPF de uma pessoa real, e no momento em que você o associa a dados de alguém de verdade, o conjunto passa a ser tratado como dado pessoal. Por isso, em teste, combine CPFs gerados apenas com nomes e e-mails fictícios. Este texto é informativo e não substitui a orientação do jurídico ou do encarregado de dados (DPO). Gerar CPFs fictícios.