O que é a anonimização de documentos | Guia 2026

Anonimizar um documento significa eliminar ou transformar os dados pessoais que contém de forma que nenhuma pessoa, com os meios razoavelmente disponíveis, consiga voltar a identificar quem aparece nele. Não é sinónimo de "riscar" um nome a preto nem de apagar alguns campos: é um processo técnico com um critério jurídico por detrás, definido pela legislação europeia de proteção de dados.

Definição legal de anonimização

Segundo o Regulamento Geral sobre a Proteção de Dados (RGPD), um dado considera-se anonimizado quando deixa de estar sujeito à norma porque já não é um "dato pessoal": não identifica, direta ou indiretamente, um indivíduo. A Agência Espanhola de Proteção de Dados (AEPD) resume-o assim no seu próprio guia sobre anonimização e pseudonimização: os dados consideram-se anonimizados quando não existe uma probabilidade razoável de que alguém consiga reidentificar a pessoa, tendo em conta os custos, o tempo e os meios tecnológicos necessários para o fazer, tanto atuais como previsíveis no futuro (AEPD, blog "Anonimización y seudonimización").

Esta última parte é a que se costuma passar por alto: um documento pode parecer "anonimizado" hoje e deixar de o estar amanhã, se aparecerem novas formas de cruzar dados ou de desfazer a ofuscação.

Anonimizar não é riscar

Cobrir um nome com um retângulo preto num PDF, ou substituí-lo por asteriscos no Word, não é anonimização: é ocultação visual. O texto original costuma continuar a existir por baixo da camada gráfica, nos metadados do ficheiro, no histórico de revisões ou na camada de texto selecionável do PDF. A AEPD já sancionou organismos e empresas precisamente por publicar documentos em que o dado "riscado" continuava a ser recuperável copiando e colando o texto ou abrindo o ficheiro com outro programa (pode ver casos reais no nosso artigo sobre sanções da AEPD por não anonimizar documentos).

Anonimizar de verdade implica:

• Eliminar o dado da camada de texto, não apenas tapá-lo visualmente.
• Limpar os metadados do ficheiro (autor, revisões, comentários, coordenadas GPS em imagens, etc.).
• Aplicar o mesmo tratamento de forma consistente em todo o documento e em todos os formatos derivados (se gera um PDF a partir de um Word, é preciso anonimizar antes de exportar, não depois).

Que dados é preciso anonimizar?

Não se trata apenas de nomes e apelidos. Os tipos de dados que normalmente exigem anonimização em documentos administrativos, sanitários ou jurídicos incluem:

• Nome, apelidos e assinatura.
• DNI/NIE, números da Segurança Social.
• Moradas postais e de correio eletrónico.
• Telefones.
• IBAN e dados bancários.
• Matrículas de veículos.
• Dados de saúde, origem étnica, filiação sindical ou crenças religiosas (categorias especiais, com um nível de proteção superior nos termos do artigo 9.º do RGPD).
• Dados de menores.

Quando é obrigatório anonimizar um documento?

Na prática, a obrigação surge sempre que um documento com dados pessoais vai:

1. Ser publicado (portais de transparência, boletins, resoluções, atas de pleno).
2. Ser partilhado com terceiros que não têm base legal para tratar esses dados concretos (fornecedores, outras administrações, escritórios colaboradores).
3. Ser utilizado para treinar ou alimentar sistemas de IA, onde o risco de o dado "vazar" para respostas futuras do modelo é um motivo adicional de precaução.
4. Ser conservado além do prazo para o qual o dado foi recolhido, quando a finalidade original já não se aplica mas o documento tem valor histórico ou estatístico.

Para as administrações públicas, isto liga-se diretamente à Lei 19/2013 de Transparência e ao Esquema Nacional de Segurança (ENS): quanto maior a categoria de segurança do sistema que gere a informação, mais se exige que o tratamento —incluída a anonimização antes de publicar ou partilhar— esteja documentado e seja auditável. Desenvolvemos isto com detalhe em anonimização de documentos na Administração Pública.

Anonimização vs. pseudonimização: a confusão mais habitual

São conceitos distintos e com consequências jurídicas distintas: a pseudonimização substitui o dado por uma referência (um código, um hash) mas permite recuperar a identidade se se tiver a chave ou informação adicional, pelo que continua a estar abrangida pelo RGPD. A anonimização, se bem feita, retira o documento do âmbito da norma porque já não é reversível. Explicamo-lo com detalhe em anonimização vs. pseudonimização segundo a AEPD.

Perguntas frequentes

Basta apagar o nome e deixar o resto do texto igual?

Nem sempre. Se o resto do documento contiver contexto suficiente (cargo, datas, localização, um caso muito específico), pode ser possível reidentificar a pessoa combinando esses dados, mesmo que o nome não apareça. Isto é conhecido como risco de reidentificação por inferência.

A anonimização é reversível?

Não deveria ser. Se o processo permitir recuperar o dado original com uma chave ou registo adicional, não é anonimização: é pseudonimização, e continua sujeita ao RGPD.

Anonimizar manualmente no Word ou no Acrobat é suficiente?

Pode ser para documentos pontuais se for feito corretamente (eliminando o texto real, não apenas tapando-o, e limpando metadados), mas torna-se inviável e propenso a erros quando se trata de volume: processos, notificações ou resoluções recorrentes. É aí que a automatização faz sentido. Se precisar de um guia prático, consulte como anonimizar um PDF passo a passo.

Fontes e referências

• AEPD — Anonimización y seudonimización
• AEPD — Orientaciones y garantías en los procedimientos de anonimización
• Regulamento (UE) 2016/679 (RGPD)
• Lei 19/2013 de transparência, acesso à informação pública e bom governo