Exemplo: substituir o nome do servidor por um código e guardar a tabela de códigos em sistema separado, com acesso restrito. Quem vê apenas a base codificada não identifica pessoas, mas o controlador pode reidentificar. É uma técnica de segurança e de minimização de riscos, não uma forma de tirar o dado do alcance da LGPD.
O que é pseudonimização
A LGPD define a pseudonimização no art. 13, §4º: é o tratamento por meio do qual um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo, senão pelo uso de informação adicional mantida separadamente pelo controlador em ambiente controlado e seguro. A diferença para a anonimização é essencial: na pseudonimização, a reidentificação é possível para quem tem a “chave” (a informação adicional); na anonimização, não.
Onde a lei fala em pseudonimização
A pseudonimização é citada no art. 13 da Lei nº 13.709/2018, que trata dos estudos em saúde pública realizados por órgãos de pesquisa: os dados pessoais devem ser tratados exclusivamente dentro do órgão, estritamente para a finalidade de estudos e pesquisas, e mantidos em ambiente controlado e seguro, conforme práticas de segurança previstas em regulamento específico, incluindo, sempre que possível, a anonimização ou pseudonimização dos dados. A divulgação dos resultados não pode, em hipótese alguma, revelar dados pessoais (§1º), e não é permitida a transferência dos dados a terceiro (§2º). Fora desse contexto, a lei não detalha o instituto, mas a técnica é reconhecida como medida de segurança e de boas práticas.
Como funciona
- Escolha do identificador artificial: código, número aleatório ou “hash” que substitua o dado identificador.
- Separação da chave: a tabela que liga o código à pessoa fica em outro sistema ou ambiente, com acesso restrito e registro de consultas.
- Uso da base pseudonimizada: analistas e fornecedores trabalham só com os códigos.
- Reidentificação controlada: apenas pessoas autorizadas, em situações definidas, podem usar a chave.
- Governança: política que define quem pode pedir a reidentificação, como e com qual registro.
Imagine uma prefeitura de pequeno porte que contrata uma consultoria para analisar a rotatividade de servidores. Em vez de enviar a folha com nomes e CPFs, entrega uma base em que cada servidor tem um código. A tabela de códigos fica com o setor de pessoal. A consultoria produz as análises sem acesso à identidade. Se, ao final, for preciso identificar um caso (por exemplo, para corrigir um erro de cadastro), o setor de pessoal usa a chave, com registro.
Vantagens e limites
| Aspecto | Pseudonimização | Anonimização |
|---|---|---|
| Reidentificação | Possível, com a informação adicional | Não, por meios razoáveis |
| É dado pessoal? | Sim, a LGPD continua se aplicando | Em regra, não |
| Utilidade | Reduz riscos em análises, testes e terceirização | Permite divulgação e uso mais amplo |
| Exige | Base legal, segurança e governança da chave | Teste de reidentificação |
Como o dado pseudonimizado continua sendo pessoal, o município precisa de base legal para tratá-lo, continuar atendendo aos direitos dos titulares e proteger a chave com rigor. Se a chave vazar, a pseudonimização perde o efeito. Veja dado pessoal e base legal da LGPD.
Usos recomendados no setor público
- Análises estatísticas internas de folha, saúde e assistência.
- Ambientes de teste e treinamento de sistemas, que não devem usar dados reais.
- Cruzamentos de bases para fiscalização, com acesso à chave restrito a quem precisa.
- Terceirização de análise de dados.
- Estudos em saúde pública realizados por órgãos de pesquisa.
Erros comuns
- Achar que pseudonimizar equivale a anonimizar e divulgar a base.
- Guardar a chave no mesmo local ou planilha da base codificada.
- Deixar a chave sem controle de acesso e sem registro de uso.
- Usar códigos previsíveis (como o CPF sem os últimos dígitos), que permitem reidentificação fácil.
- Esquecer que a base pseudonimizada continua sujeita à LGPD, inclusive a incidentes.
Cuidados com a chave de reidentificação
A segurança da pseudonimização depende quase inteiramente da chave. Boas práticas incluem guardá-la em sistema separado e criptografado, restringir o acesso a poucas pessoas, registrar cada consulta, prever backup protegido e definir um procedimento formal para autorizar a reidentificação. Se a chave for armazenada junto com a base, ou compartilhada com o fornecedor que analisa os dados, a proteção desaparece. Em contratos com terceiros, vale proibir expressamente tentativas de reidentificação.
Pseudonimização em ambientes de teste
Um uso frequente e prudente é nos ambientes de teste e treinamento de sistemas. Em vez de copiar a base real para testar uma nova versão, o município usa dados fictícios ou pseudonimizados, reduzindo o risco de vazamento em ambientes menos protegidos. Essa prática é simples de adotar e costuma ser exigida em boas políticas de segurança da informação.
Pseudonimização e incidentes de segurança
Se uma base pseudonimizada vazar sem a chave, o risco para os titulares é bem menor do que o de uma base com nomes e documentos, o que pode influenciar a avaliação de gravidade do incidente. Mesmo assim, o vazamento deve ser registrado e avaliado conforme o plano de resposta, porque a possibilidade de reidentificação por outros meios continua existindo. Por isso a pseudonimização é um complemento, e não substituto, de outras medidas de segurança.