Por Pseudonimização é técnica que substitui identificadores diretos por códigos ou outros meios, mantendo separada a informação adicional que permite reassociar os dados a uma pessoa. Como a reidentificação continua possível com informação complementar, os dados pseudonimizados permanecem dados pessoais e continuam sujeitos à LGPD.
Onde esse conceito aparece?
A técnica pode reduzir exposição em análises, testes e relatórios, se a chave ficar protegida e o risco de ligação com outras fontes for considerado. Diferencie-a de anonimização, na qual a identificação não é razoavelmente reversível pelos meios disponíveis. Veja proteção em relatórios, dados nos autos e necessidade.
Por que importa em uma decisão?
Defina ameaça, acesso à chave, controles, segregação de funções, registro e descarte. Teste possibilidade de reidentificação por combinações de atributos e avalie quem pode acessar dados auxiliares. Pseudonimizar não substitui base legal, transparência, retenção limitada ou medidas de segurança.
Limites e cuidados de interpretação
Remover nome ou CPF não garante anonimização; atributos raros e bases externas podem revelar identidade. A LGPD cita pseudonimização em contextos específicos, mas não exige uma técnica única para toda operação. Se a pessoa ainda puder ser identificada razoavelmente, trate o conjunto como dado pessoal.
Critério de sucesso e documentação
Registre qual risco a pseudonimização pretende reduzir e como medirá eficácia: impedir acesso casual, limitar associação entre bases ou proteger compartilhamento. Descreva transformação, separação da chave, teste de reidentificação, limitações e controles remanescentes. Revalide quando dados externos ou destinatários mudarem. A decisão de tratar o material como anônimo deve ter justificativa documentada; na dúvida, conserve salvaguardas de dados pessoais. Essa documentação permite que equipe técnica, encarregado e auditor entendam a escolha e corrijam o método sem confiar apenas no nome dado ao arquivo.
Governança de chave e resposta a incidente
A chave que relaciona códigos a identidades é ativo de alto risco: mantenha-a em cofre separado, com criptografia, autenticação forte, princípio do menor privilégio e logs revisados. Defina quem pode solicitar reversão, motivo permitido e aprovação necessária. Em incidente, preserve registros, suspenda acessos e avalie se houve exposição de dados identificáveis ou da chave; acione controlador e encarregado conforme o processo interno e regras aplicáveis. Faça teste de restauração, rotação de segredos e revogação de credenciais. Pseudonimizar não remove o dever de responder por acesso indevido.
Exemplo prático de risco residual
Trocar nome por código pode impedir identificação direta na tela, mas uma combinação de cargo raro, localidade e data de evento pode apontar para uma única pessoa. Se uma equipe guarda a chave, ou o destinatário cruza a tabela com fonte pública, a reidentificação pode continuar viável. Teste o conjunto com usuários e fontes que o destinatário realmente possui, inclusive campos raros. Generalize ou remova combinações, limite acesso à chave e documente risco residual. Se houver dúvida razoável, mantenha o tratamento sob controles de dado pessoal, em vez de declarar anonimização sem evidência.
Diferença entre pseudonimização e anonimização
Pseudonimização substitui identificadores diretos por códigos ou outro mecanismo, mas a pessoa ainda pode ser identificada com informação adicional mantida separadamente ou por combinação de dados. Portanto, dados pseudonimizados continuam sendo dados pessoais quando a reidentificação é possível nos termos da LGPD. Anonimização exige que a associação não possa ser revertida por meios razoáveis disponíveis, considerando fatores objetivos; não basta remover nome e CPF. Avalie contexto, tecnologia, custo, acesso a chaves e fontes auxiliares antes de classificar um conjunto como anônimo.
Como desenhar controles técnicos e organizacionais
Mantenha chave de correspondência separada, criptografada e acessível a grupo restrito; use identificadores aleatórios ou rotativos quando adequado e evite códigos previsíveis. Defina quem pode reverter, para qual finalidade, com dupla aprovação ou registro quando o risco justificar. Remova campos desnecessários, generalize datas e localizações e teste possibilidade de reidentificação por cruzamento. Faça gestão de acesso, logs, retenção, backup e resposta a incidente. A técnica reduz exposição, mas não substitui base legal, transparência, segurança e limitação de finalidade.
Compartilhamento, análise e publicação
Antes de compartilhar, determine se o destinatário terá acesso à chave ou a bases que permitam inferir identidade. Contrato deve restringir reidentificação e uso secundário, prever segurança, prazo, devolução e notificação de incidentes. Em pesquisa ou relatório público, avalie risco de singularização e associação, especialmente em grupos pequenos ou dados sensíveis. Teste cenários realistas, não apenas a remoção de identificadores óbvios. Se a anonimização não puder ser demonstrada, trate o conjunto como dado pessoal e mantenha salvaguardas proporcionais. Documente método, versão, responsável e data de reavaliação.
Governança e avaliação contínua
O risco de reidentificação muda com novas bases, capacidade computacional e novas divulgações. Reavalie quando conjunto, destinatários, finalidade ou tecnologia mudar e após incidente ou reclamação. Registre categorias, transformações, dados auxiliares, possibilidade de reversão e controles, com participação de privacidade e segurança. Em projetos de maior risco, análise de impacto ajuda a justificar escolhas e salvaguardas. Pseudonimização é medida de proteção, não passe livre para usar qualquer dado nem evidência automática de conformidade. Consulte LGPD, dado pessoal e tratamento de dados pessoais.
O que é pseudonimização
Pseudonimização é uma técnica de tratamento que reduz a associação direta entre um conjunto de dados e uma pessoa ao substituir identificadores por códigos ou separar informações adicionais em ambiente controlado. Se a associação puder ser refeita com informação adicional, o dado continua sendo pessoal e sujeito à LGPD. A técnica diminui exposição, mas não equivale a anonimização. A ANPD descreve seu uso como medida de segurança em contextos adequados; o benefício depende de implementação, gestão de chaves, controle de acesso e risco de reidentificação.
Pseudonimização versus anonimização
Na anonimização, considerados os meios técnicos razoáveis e disponíveis, o titular não deve poder ser identificado; se a reversão for possível com esforços razoáveis, o dado pode permanecer pessoal. Na pseudonimização, a informação adicional que reconecta código e titular é preservada separadamente, portanto a reidentificação continua possível por quem controla essa informação. A distinção afeta base legal, transparência, segurança e avaliação de risco. Rotular uma tabela como “anônima” não basta: avalie dados indiretos, combinações, contexto e capacidade de cruzamento. Veja anonimização, dado pessoal e retenção de dados.
Como projetar a técnica com segurança
Defina finalidade, campos indispensáveis, identificadores substitutos e ambiente separado para a chave de correspondência. Restrinja a chave a pessoas autorizadas, mantenha logs, criptografe quando adequado, segmente sistemas e teste risco de vinculação com outras bases. Não armazene a tabela de correspondência junto dos dados pseudonimizados. Controle cópias, backups, exportações e acessos de fornecedores. Reavalie riscos quando mudar volume, granularidade ou possibilidade de cruzamento. Pseudonimização não corrige coleta excessiva nem legitima finalidade incompatível; é uma salvaguarda dentro de um programa maior de proteção de dados.
Usos e limites em relatórios e pesquisas
A técnica pode permitir análise, testes e compartilhamento limitado reduzindo exposição de identificadores, mas a equipe ainda deve observar finalidade e controles legais. Relatórios devem evitar revelar combinações que permitam reidentificação, sobretudo em grupos pequenos ou dados sensíveis. Se terceiros recebem dados, estabeleça instruções, proibições de reidentificar, segurança, retenção e auditoria. Avalie se o destinatário possui dados auxiliares que revertam a proteção. Em decisões sobre pessoas, não trate um identificador pseudônimo como anonimato para dispensar direitos ou revisão humana.
Perguntas frequentes
Pseudonimizar tira os dados da LGPD? Não, enquanto a reidentificação puder ocorrer mediante informação adicional ou meios razoáveis. Hash sempre anonimiza? Não; reversibilidade, ataques por dicionário e dados auxiliares importam. Quem pode guardar a chave? O acesso deve ser limitado e controlado conforme risco e finalidade. É suficiente para proteger um vazamento? Reduz exposição, mas não elimina risco nem deveres de resposta. Documente método, responsáveis, testes e retenção; escolha a técnica com avaliação de segurança e privacidade.
Fontes e leitura complementar
Consulte o texto institucional e a regra aplicável ao conceito. A interpretação em uma situação concreta depende dos documentos e do contexto.