O que é pseudonimização na LGPD

A diferença central em relação à anonimização

Na anonimização, a reversão deixa de ser tecnicamente viável, e o dado sai do alcance da LGPD, conforme o art. 12. Na pseudonimização, a reversão continua possível — só que restrita a quem detém a chave de reidentificação. Por isso o dado pseudonimizado continua sendo dado pessoal, sujeito a todas as obrigações da lei, embora reduza o risco em caso de vazamento, já que quem obtiver apenas a base pseudonimizada não consegue, sozinho, identificar as pessoas.

Onde a lei menciona essa técnica

O art. 13 trata da pseudonimização no contexto de estudos em saúde pública, recomendando seu uso, junto com a anonimização, sempre que possível, para reduzir o risco aos titulares nesse tipo de pesquisa. A técnica também aparece como boa prática de segurança em outros contextos, mesmo fora da pesquisa, como medida técnica para reduzir o impacto de um eventual incidente de segurança.

Pseudonimização não substitui a base legal

Aplicar pseudonimização é medida de segurança, não hipótese de dispensa de consentimento ou de qualquer outra base legal do art. 7º. A empresa continua precisando justificar o tratamento; a técnica apenas reduz o dano potencial caso o dado seja acessado indevidamente, funcionando como camada extra de proteção, não como substituto das exigências da lei.

Quem controla a chave que permite reverter a pseudonimização assume responsabilidade redobrada: se essa chave vazar junto com a base pseudonimizada, o efeito prático se aproxima de um vazamento de dado pessoal completo, sujeito ao dever de comunicação do art. 48.