O que é pseudonimização segundo a LGPD

A LGPD define pseudonimização no Art. 13, §4º como o tratamento pelo qual um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo, salvo pelo uso de informação adicional mantida separadamente pelo controlador em ambiente controlado e seguro.

A definição é deliberadamente técnica: o dado continua existindo, continua sendo processado, mas o vínculo com o titular fica oculto atrás de uma chave ou mapeamento externo. A consequência jurídica central é que dado pseudonimizado permanece dado pessoal para fins da lei.

O GDPR europeu, no Art. 4(5), segue lógica semelhante, tratando pseudonimização como processamento que impede a atribuição a um titular específico sem uso de informação adicional. A convergência é relevante para empresas com operações transatlânticas, mas há uma diferença de ênfase: o regulador europeu incentiva a pseudonimização de forma mais explícita ao longo do texto, enquanto a LGPD a menciona pontualmente, sobretudo no contexto de pesquisas e estudos (Art. 13).

Essa menção pontual não é descuido do legislador. A escolha reflete a intenção de não criar uma categoria intermediária de dado que pudesse ser explorada para reduzir obrigações sem reduzir riscos de fato. O resultado prático é que pseudonimização no Brasil funciona como boa prática e fator atenuante, não como saída legal autônoma.

Pseudonimização versus anonimização: distinções práticas

A diferença não é apenas semântica. Anonimização efetiva retira o dado do escopo da LGPD: se o processo for tecnicamente irreversível, o titular deixa de existir juridicamente naquele conjunto de dados. Pseudonimização não produz esse efeito. Todas as obrigações legais permanecem.

O critério central é a reversibilidade. Um dado pseudonimizado pode ser reidentificado por quem detém a chave ou o mapeamento correspondente. O risco ao titular não foi eliminado, apenas controlado. A anonimização adequada, por sua vez, deve tornar a reidentificação tecnicamente inviável, mesmo com recursos extraordinários.

A ANPD ainda não publicou regulamentação específica sobre os critérios técnicos de anonimização, mas referências internacionais, como o parecer 05/2014 do antigo Grupo de Trabalho do Art. 29 da União Europeia, orientam a avaliação considerando três vetores: singularização (isolar um indivíduo no conjunto), vinculação (cruzar registros de bases distintas) e inferência (deduzir atributos sobre um indivíduo).

A armadilha mais comum em projetos de dados é tratar pseudonimização como se fosse anonimização. Equipes técnicas aplicam tokenização ou hashing e passam a operar o dado como se ele tivesse saído do escopo da lei, reduzindo controles de acesso, eliminando registros de tratamento e deixando de atender requisições de titulares. Esse erro pode ser caracterizado como infração à LGPD.

Técnicas de pseudonimização mais utilizadas

Tokenização

Substitui um identificador real, como CPF, e-mail ou número de contrato, por um token sem valor intrínseco, gerado aleatoriamente. O mapeamento entre token e identificador original fica armazenado em um vault separado. É amplamente usada em ambientes de pagamento (padrão PCI-DSS) e tem aplicação natural em pipelines de dados analíticos.

Hashing com salt

Aplica uma função de hash criptográfico (SHA-256, SHA-3, por exemplo) sobre o identificador, adicionando um valor aleatório (salt) para dificultar ataques de dicionário e rainbow tables. O resultado é um valor de tamanho fixo que não permite reverter ao original sem o salt. A limitação é que o mesmo dado com o mesmo salt sempre produz o mesmo hash, o que pode ser explorado em ataques de correlação.

Cifragem simétrica e assimétrica

Cifrar campos identificadores com AES-256 (simétrica) ou com par de chaves pública/privada (assimétrica) permite pseudonimização reversível controlada. A reidentificação exige explicitamente a chave. O risco está na gestão dessa chave: vazamento ou má configuração de permissões desfaz toda a proteção.

Separação de datasets

Armazenar a tabela de mapeamento (chave ↔ identificador real) em um ambiente completamente isolado do dado principal, com rede separada, controles de acesso distintos e logs independentes, impede a reidentificação mesmo que o dataset principal vaze. Essa abordagem é frequentemente combinada com as técnicas anteriores.

Nenhuma dessas técnicas elimina o risco de reidentificação por cruzamento de bases. Um conjunto pseudonimizado que contenha atributos como CEP, faixa etária, gênero e condição de saúde pode ser reidentificado com relativa facilidade quando confrontado com bases públicas, conforme demonstrado em estudos clássicos de privacidade diferencial.

Obrigações e benefícios previstos na LGPD para dados pseudonimizados

Dado pseudonimizado exige base legal. Consentimento, legítimo interesse, execução de contrato, cumprimento de obrigação legal: todas as hipóteses do Art. 7º continuam aplicáveis. A pseudonimização não cria uma base legal própria.

Os princípios do Art. 6º também permanecem integralmente exigíveis: finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização. Reduzir controles com base na pseudonimização, sem fundamento adicional, é um erro de interpretação jurídica.

O benefício mais concreto está no Art. 13, que autoriza o uso de dados para fins de estudos e pesquisas com a possibilidade de dispensa de consentimento, desde que os dados sejam pseudonimizados sempre que possível. Isso abre espaço legítimo para uso analítico em contextos de saúde, ciência e políticas públicas.

No campo sancionatório, a LGPD prevê, entre as circunstâncias atenuantes, a adoção de boas práticas e mecanismos internos de segurança. Pseudonimização bem documentada e implementada pode influenciar a dosimetria de sanções aplicadas pela ANPD. Também fortalece o balancing test exigido quando a base legal é o legítimo interesse, demonstrando que o controlador tomou medidas para reduzir o impacto sobre o titular.

Riscos de reidentificação e limites da pseudonimização

Ataques de linkage são o principal vetor de risco. Cruzar um dataset pseudonimizado com bases públicas, como registros da Receita Federal, bases eleitorais, dados do INSS e publicações em redes sociais, pode revelar a identidade do titular com surpreendente precisão, mesmo sem acesso à chave de reidentificação original.

O avanço de modelos de aprendizado de máquina amplifica esse risco. Técnicas de inferência conseguem reconstruir atributos sensíveis ou identificar indivíduos a partir de padrões comportamentais presentes no dado pseudonimizado, sem necessidade de quebrar a camada criptográfica diretamente.

O contexto brasileiro apresenta risco relativo mais elevado do que em outras jurisdições. A ampla disponibilidade de CPFs em bases comerciais, o histórico de vazamentos massivos de dados cadastrais e a penetração de redes sociais criam um ambiente propício para ataques de correlação. O que seria pseudonimização suficiente em outro contexto pode ser insuficiente no Brasil.

Pseudonimização não é uma configuração permanente. O que é tecnicamente sólido hoje pode ser insuficiente em dois anos, dado o avanço das capacidades computacionais e das técnicas de ataque. Organizações precisam avaliar periodicamente a eficácia do processo, com metodologia documentada e revisões em ciclos regulares.

Como implementar pseudonimização na prática

Mapeamento de identificadores

O ponto de partida é o inventário de dados. É necessário identificar, campo a campo, quais são identificadores diretos (CPF, nome completo, e-mail, telefone) e quais são identificadores indiretos que, combinados, podem singularizar um indivíduo (CEP + data de nascimento + gênero, por exemplo). Sem esse mapeamento, a pseudonimização será incompleta por definição.

Gestão da chave de reidentificação

Definir quem controla a chave é uma decisão de governança, não apenas técnica. O acesso deve ser restrito ao menor número possível de pessoas, com justificativa documentada para cada perfil autorizado. Essa definição precisa constar no ROPA (Registro de Operações de Tratamento), com descrição das medidas de segurança aplicadas à chave.

Controles de acesso e auditoria

O ambiente que armazena a chave ou a tabela de mapeamento deve ter autenticação multifator, segregação de rede e log de auditoria imutável de todos os acessos. Cada consulta à chave deve gerar um registro rastreável, com identificação do usuário, timestamp e justificativa quando aplicável. Esses logs são evidência crítica em caso de incidente ou fiscalização.

Testes de resistência

Implementar pseudonimização sem testá-la é equivalente a instalar um alarme sem verificar se os sensores funcionam. Testes periódicos de reidentificação, tentando cruzar o dataset pseudonimizado com bases externas disponíveis, permitem avaliar a eficácia real do processo e ajustar as técnicas conforme necessário.

Documentação no programa de governança

Todo o processo deve ser documentado como parte do programa de privacidade da organização: a técnica adotada, os campos cobertos, os responsáveis pela gestão da chave, a periodicidade das revisões e os resultados dos testes de resistência. Essa documentação é a evidência de accountability exigida pelo Art. 6º, inciso X, da LGPD e o principal argumento de defesa em caso de questionamento pela ANPD.

Como avaliar se sua implementação é adequada

Antes de considerar um processo de pseudonimização como suficiente, responda às seguintes perguntas de forma objetiva e documente as respostas:

• Todos os identificadores diretos e indiretos foram mapeados e estão cobertos pela técnica adotada?
• A chave de reidentificação está armazenada em ambiente isolado, com controles de acesso auditáveis?
• O processo foi testado contra cruzamento com bases externas relevantes para o contexto brasileiro?
• Há uma periodicidade definida para revisão da eficácia técnica, com responsável designado?
• O ROPA reflete com precisão a técnica, os campos cobertos e as salvaguardas aplicadas à chave?
• A equipe jurídica e de privacidade confirmou que as bases legais e os princípios do Art. 6º continuam sendo respeitados mesmo com a pseudonimização em vigor?

Se alguma resposta for negativa ou imprecisa, o processo tem uma lacuna que pode expor a organização a riscos regulatórios e operacionais. Corrija os pontos abertos antes de reduzir qualquer controle com base na pseudonimização implementada.