Substituir nomes por marcadores de posição é um bom primeiro passo. Ao abrigo do RGPD, isso não torna, por si só, os dados anónimos. Este artigo explica o que diz o regulamento, o que decidiu o Tribunal de Justiça da União Europeia em setembro de 2025 e o que fazer a esse respeito.
A resposta curta
Sim, em geral. O RGPD afirma que os dados pessoais que tenham sido objeto de pseudonimização e que possam ser atribuídos a uma pessoa mediante informações adicionais são informações sobre uma pessoa identificável. Se tiver a chave que permite associar «Person_1» a um nome verdadeiro, o texto que substituiu continua a ser dado pessoal na sua posse, e o tratamento que faz desse texto está sujeito ao RGPD.
A resposta mais ponderada é que depende de quem detém os dados e dos meios que essa pessoa poderia razoavelmente utilizar para identificar a pessoa em causa. É aqui que a decisão judicial de 2025 é relevante.
O que diz o RGPD
O artigo 4.º, n.º 5, define a pseudonimização como:
«o tratamento de dados pessoais de forma que deixem de poder ser atribuídos a um titular de dados específico sem recorrer a informações suplementares, desde que essas informações suplementares sejam mantidas separadamente e sujeitas a medidas técnicas e organizativas para assegurar que os dados pessoais não possam ser atribuídos a uma pessoa singular identificada ou identificável»
O considerando 26 afirma que os dados pessoais que tenham sido objeto de pseudonimização e que possam ser atribuídos a uma pessoa singular mediante informações adicionais devem ser considerados informações sobre uma pessoa singular identificável. Para determinar se uma pessoa é identificável, devem ser tidos em conta todos os meios razoavelmente suscetíveis de ser utilizados, como a individualização, quer pelo responsável pelo tratamento quer por outra pessoa, incluindo os custos e o tempo necessários e a tecnologia disponível.
Da redação decorrem dois aspetos práticos. A chave tem de ser mantida separadamente, com medidas técnicas e organizativas. E a «identificabilidade» é avaliada com base em meios realistas, não na possibilidade teórica de identificação.
O que o Tribunal de Justiça acrescentou em 2025
Em 4 de setembro de 2025, o Tribunal de Justiça da União Europeia decidiu o processo EDPS v SRB (Processo C-413/23 P). Estava em causa um conjunto de comentários que uma autoridade bancária transmitiu a uma empresa de consultoria após substituir as identidades dos autores por códigos. O processo foi decidido ao abrigo do Regulamento 2018/1725, aplicável às instituições da UE, mas as respetivas definições de dados pessoais e pseudonimização correspondem às do RGPD.
O Tribunal decidiu que os dados pseudonimizados não devem ser considerados dados pessoais «em todos os casos e para todas as pessoas». A questão de saber se os dados são pessoais para um determinado destinatário depende das circunstâncias, incluindo se esse destinatário dispõe de meios razoavelmente suscetíveis de reidentificar as pessoas envolvidas. A entidade que efetuou a pseudonimização e detém as informações adicionais encontra-se numa situação diferente da de um destinatário sem qualquer forma de associar os códigos a alguém.
Este é um desenvolvimento jurídico que os especialistas continuam a analisar. Não o interprete como uma autorização para enviar dados pseudonimizados de clientes para qualquer lado. A decisão diz que a questão é avaliada do ponto de vista do destinatário, não que deixe de existir.
O que isto significa para um chatbot de IA
- Continua a ser o responsável pelo tratamento dos dados originais e da chave. As obrigações que lhe incumbem ao abrigo do RGPD aplicam-se ao que faz com o documento, incluindo a substituição.
- A questão de saber se o prestador de IA recebe dados pessoais depende dos factos concretos. O contexto pode identificar uma pessoa mesmo sem um nome: uma profissão rara, uma cidade pequena, um acontecimento invulgar. Se alguém conseguir determinar de forma realista a quem diz respeito o texto, trate-o como dado pessoal.
- Não baseie a sua posição em matéria de conformidade na ideia de que os marcadores de posição tornam o texto anónimo. Planeie como se ainda pudesse tratar-se de dados pessoais e considere os marcadores de posição uma salvaguarda entre várias.
Continua a valer a pena recorrer à pseudonimização, e o RGPD confirma-o. O artigo 32.º, n.º 1, alínea a), inclui a pseudonimização entre as medidas de segurança que um responsável pelo tratamento pode utilizar. Os considerandos 28 e 78 afirmam que esta pode reduzir os riscos para os titulares dos dados e apoiar a proteção de dados desde a conceção e por defeito. O regulamento trata-a como uma salvaguarda, não como uma forma de deixar de estar sujeito ao regulamento.
O que fazer na prática
- Comece por minimizar os dados. Envie apenas o excerto necessário para a tarefa. Consulte como usar ferramentas de IA com documentos de clientes.
- Substitua todos os identificadores, não apenas os nomes. Os números de conta, os números de identificação e as datas de nascimento também são identificadores. A lista de verificação enumera-os.
- Mantenha a chave do seu lado, separada do texto que envia, e elimine-a quando o processo terminar.
- Verifique os termos do prestador e o seu plano. Um plano empresarial com um acordo de tratamento de dados oferece condições diferentes das de uma conta pessoal gratuita. Consulte o que dizem as definições de dados.
- Peça aconselhamento para os casos de alto risco: dados de saúde, dados de crianças, categorias especiais de dados ou qualquer situação em que uma violação possa ter consequências graves.
Na linguagem corrente, os termos são usados de forma pouco rigorosa. Anonimização, pseudonimização e redação faz a comparação.
Perguntas frequentes
Os dados pseudonimizados são o mesmo que dados anónimos?
Não. O considerando 26 afirma que os princípios da proteção de dados não se aplicam às informações anónimas, ou seja, às informações que não dizem respeito a uma pessoa identificável, nem aos dados tornados anónimos de modo que a pessoa deixe de ser identificável. Os dados pseudonimizados que podem voltar a ser associados a uma pessoa pertencem a uma categoria diferente.
O RGPD proíbe a utilização de ferramentas de IA com dados pessoais?
Não. Exige uma base legal, minimização, segurança e, quando se utiliza um fornecedor, um contrato adequado. A utilização de marcadores ajuda na minimização.
Isto aplica-se fora da UE?
O Reino Unido tem a sua própria versão, e muitos países têm regras semelhantes. O RGPD também pode aplicar-se a empresas fora da UE que prestem serviços a pessoas na UE.
ClientSafe mantém no seu PC a tabela que associa os marcadores aos nomes reais. O texto que copia para uma ferramenta de IA contém apenas os marcadores. Primeiro, reveja o que foi encontrado, porque nenhuma ferramenta deteta tudo.
Informação geral, não aconselhamento jurídico. Consulte um consultor qualificado em proteção de dados sobre a sua situação específica.