Guia completo sobre pseudonimização de dados: o que é e como aplicar

A pseudonimização é uma das técnicas mais recomendadas pelo Regulamento Geral sobre a Proteção de Dados (RGPD) para reduzir o risco associado ao tratamento de dados pessoais. No entanto, é frequentemente confundida com a anonimização — e essa confusão pode acabar em coimas. Neste guia verá o que é, em que se distingue, como aplicá-la e quando convém ir mais além.

O que é a pseudonimização?

O artigo 4.º, n.º 5 do RGPD define pseudonimização como o tratamento de dados pessoais de forma que deixem de poder ser atribuídos a um titular sem recorrer a informações suplementares, desde que essas informações sejam mantidas separadamente e sujeitas a medidas técnicas e organizativas que impeçam a reidentificação.

Na prática: substituem-se identificadores diretos (nome, número de identificação, email, matrícula) por um token, código ou hash, e guarda-se a tabela de correspondências num local seguro e separado.

Pseudonimização vs. anonimização

• Pseudonimização: reversível. Continua a ser dado pessoal. Continua sujeita ao RGPD.
• Anonimização: irreversível. Deixa de ser dado pessoal. Fica fora do RGPD (Considerando 26).

Esta distinção é crítica: muitas organizações julgam estar a anonimizar quando na verdade estão a pseudonimizar, e continuam por isso obrigadas a cumprir todo o regulamento.

Porque o RGPD considera os dados pseudonimizados como dados pessoais?

Porque existe uma chave que permite voltar a associar o token à pessoa. Ainda que a chave seja guardada por outra entidade, o risco de reidentificação não desaparece. Por isso o RGPD trata a pseudonimização como uma medida de segurança, não como uma via para deixar de aplicar a norma.

Ainda assim é uma medida muito valorizada: surge explicitamente nos artigos 25.º, 32.º e 89.º.

Técnicas habituais de pseudonimização

1. Tokenização

Cada identificador é substituído por um token aleatório sem significado. A tabela token↔valor real é guardada cifrada num armazenamento separado com controlo de acesso.

2. Hashing com chave (HMAC)

Aplica-se uma função hash com uma chave secreta. Sem a chave, não é possível recalcular o hash. Útil para comparar registos sem expor o original.

3. Cifra reversível

O identificador é cifrado com AES ou outro algoritmo simétrico. Requer gestão rigorosa de chaves.

4. Mascaramento parcial

Preserva-se parte do dado (por exemplo, últimos 4 dígitos) para rastreabilidade interna, ocultando o resto.

Quando usar pseudonimização e quando anonimizar

• Ambientes de desenvolvimento e teste: pseudonimização.
• Análise interna com necessidade de reidentificar: pseudonimização.
• Publicação em portal de transparência ou open data: anonimização.
• Partilha com terceiros sem contrato de tratamento: anonimização.
• Treino de modelos de IA com dados sensíveis: pseudonimização com avaliação de risco, ou anonimização.

Boas práticas

1. Separe a chave dos dados tratados.
2. Cifre o repositório de chaves e limite o acesso com MFA.
3. Rode as chaves periodicamente e após qualquer incidente.
4. Documente no registo de atividades (art. 30.º RGPD).
5. Avalie os quase-identificadores: data de nascimento, código postal, sexo podem reidentificar.
6. Reveja periodicamente se a pseudonimização continua a ser suficiente.

Erros frequentes

• Guardar a tabela token↔dado na mesma base de dados que os dados pseudonimizados.
• Usar hashes sem sal ou sem chave.
• Publicar dados "pseudonimizados" num portal público julgando cumprir sem risco.
• Esquecer quase-identificadores e metadados.
• Não informar o titular por acreditar que "já não há dados pessoais".

Como o anonimIA aborda esta questão

O anonimIA gere tanto a pseudonimização como a anonimização de documentos. Pode escolher substituir identificadores por tokens reversíveis quando precisa de rastreabilidade interna, e aplicar anonimização irreversível quando o documento for publicado ou partilhado externamente. A transição entre ambos os estados fica registada com rastreabilidade completa e cifra em trânsito e em repouso.

Perguntas frequentes

Os dados pseudonimizados podem ser publicados livremente?

Não. Continuam a ser dados pessoais e a sua publicação exige base legal e medidas de segurança.

A pseudonimização elimina a obrigação de notificar violações?

Não, mas reduz o risco. Uma violação que afete apenas dados pseudonimizados e cuja chave não seja comprometida pode não exigir comunicação ao titular (art. 34.º, n.º 3, al. a do RGPD).

Posso usar pseudonimização para treinar modelos de IA?

Sim, mas com avaliação de impacto se o tratamento for em larga escala ou afetar categorias especiais de dados.

Conclusão

A pseudonimização é essencial para reduzir risco sem perder utilidade interna do dado, mas não liberta do cumprimento do RGPD. Combine-a com anonimização onde a reidentificação deva ficar excluída.