Pseudonimização

A LGPD trata da pseudonimização no art. 13, §4, ao regular estudos em saúde pública, e o GDPR a define no art. 4(5) e a cita no art. 32 como medida de segurança adequada. Nas duas leis o ponto central é o mesmo: dado pseudonimizado continua sendo dado pessoal, porque quem tem a chave, ou pode obtê-la, consegue reidentificar o titular.

Técnicas comuns incluem a substituição de identificadores por tokens, hash com chave secreta e criptografia com chaves geridas à parte. As diretrizes do EDPB sobre o tema lembram que o benefício depende de quem acessa a informação adicional: a chave deve ficar separada, com acesso restrito e registro.

A pseudonimização reduz riscos e apoia a minimização, a privacidade desde a concepção e o teste de legítimo interesse, mas não afasta obrigações como base legal, transparência e direitos do titular. Exemplo: um time de análise treina um modelo de evasão com registros em que nome e CPF foram trocados por tokens aleatórios, enquanto a tabela de correspondência fica com a equipe de segurança.