Pseudonimização no RGPD: chega para colar dados numa IA?

Pseudonimizar, no RGPD, é trocar o que identifica uma pessoa por um código e guardar a ligação noutro sítio, protegida. Muita gente chama-lhe anonimizar quando limpa o pedido de um cliente para o pôr no ChatGPT. O nome conta, porque cada palavra tem um regime diferente.

Fico aqui no lado jurídico: a definição, o acórdão de 2025, o CEPD e a CNPD. O que cada assistente faz depois com o texto está noutros guias, como o do Copilot.

O que é a pseudonimização: o artigo 4.º, n.º 5, em três condições

A definição é uma frase só, mas traz três exigências encadeadas. Os dados deixam de poder ser atribuídos a alguém sem «informações suplementares»; essas informações ficam «separadamente»; e estão sujeitas a medidas técnicas e organizativas que impeçam a ligação.

Falhando uma, há uma troca de nomes, não uma pseudonimização. Numa folha de cálculo, separar quer dizer um livro à parte com a lista de códigos, e não uma folha oculta no mesmo ficheiro.

Uma lista de códigos guardada na mesma pasta partilhada que o texto não me parece separação nenhuma. Numa exportação de clientes, a regra aplica-se coluna a coluna, como no guia para limpar um CSV antes da IA.

Anonimizar ou pseudonimizar: em que lado fica o seu texto

O considerando 26 traça a fronteira. Para saber se alguém é identificável, contam todos os meios «suscetíveis de ser razoavelmente utilizados», pelo responsável ou «por outra pessoa», com custos, tempo e tecnologia disponível. Só o que passa esse teste é anónimo e sai do Regulamento.

A Lei n.º 58/2019 usa a mesma fronteira no artigo 21.º, n.º 4: quando cessa a finalidade, o responsável destrói ou anonimiza os dados. Trocar nomes por códigos e manter a lista não cumpre essa regra, porque a lista continua a abrir tudo.

Chamar «anónimo» a um texto com códigos e a lista guardada é um erro de vocabulário com consequências. A palavra que fica escrita pesa, por exemplo, quando se decide se é preciso avisar a CNPD depois de um envio.

Dados pseudonimizados são dados pessoais? O acórdão C-413/23 P

A 4 de setembro de 2025, o Tribunal de Justiça decidiu o recurso da Autoridade Europeia para a Proteção de Dados contra o Conselho Único de Resolução. O Conselho enviara à Deloitte comentários de acionistas e credores, cada um com um código aleatório de 33 dígitos no lugar do autor.

O Tribunal anulou o acórdão do Tribunal Geral e devolveu-lhe o processo. Para quem pseudonimizou e tem as informações suplementares, os comentários mantêm «o seu caráter pessoal» (n.º 76). Para quem recebe, podem não o ter (n.º 86).

Esse «podem» tem duas condições, no n.º 77. O destinatário não consegue levantar as medidas. E estas impedem-no de identificar a pessoa por outros meios, «como um cruzamento com outros elementos».

Vejo no acórdão uma boa notícia para quem recebe e quase nenhuma para quem envia. O processo aplicava o regulamento das instituições da União, mas o n.º 52 lembra que a definição de dados pessoais é, em substância, a mesma do artigo 4.º, n.º 1, do RGPD.

O que a CNPD já escreveu sobre identificação direta

A frase mais clara do regulador português está num parecer sobre a mobilidade elétrica. No Parecer/2026/6, aprovado a 27 de janeiro de 2026, a CNPD escreveu que «a exclusão de identificação direta não equivale a anonimização», ficando os dados frequentemente pseudonimizados.

Acho notável que essa frase viva num texto sobre faturas de carregamento e sirva tão bem a quem tira o NIF de um pedido e o chama anónimo. No n.º 22, o mesmo parecer pede «pseudonimização reversível e controlo de acessos».

Não era a primeira vez. A Diretriz/2023/1 já punha os métodos de pseudonimização e anonimização entre as medidas a considerar no desenvolvimento de software, mesmo com subcontratantes. É o que um cliente costuma perguntar no questionário de segurança.

Tirar o nome e o NIF: o que o contexto continua a dizer

O que tem formato fixo apanha-se depressa: NIF, NISS, IBAN, telemóvel, email. É a identificação direta de que fala a CNPD. O resto, a profissão, a terra pequena, o mês, entra na conta dos meios razoáveis do considerando 26, como explica a lista do que retirar de um documento.

No exemplo abaixo, o nome é o que menos me preocupa. A profissão e a terra, juntas, dizem mais do que ele a qualquer vizinho. E quando o que sobra é uma baixa ou uma quota sindical, a categoria especial não sai com o nome.

Numa venda mediada o problema dobra: o mesmo texto junta os cartões de cidadão e os IBAN do comprador e do vendedor. Esse caso tem página própria, a da IA na mediação imobiliária, e não se resolve com códigos sem cortar contexto.

Diretrizes 01/2025 do CEPD: tabela, chave ou hash

O Comité Europeu adotou as Diretrizes 01/2025 a 16 de janeiro de 2025 e recebeu comentários até 14 de março. A versão publicada continua a ser a de consulta. O resumo diz logo que o RGPD não impõe um dever geral de pseudonimizar.

As diretrizes introduzem o «domínio de pseudonimização»: o círculo de quem recebe os dados com códigos, de onde a informação suplementar tem de ficar de fora. Numa aplicação que chama uma API, esse círculo desenha-se no AI gateway que encaminha os pedidos.

O n.º 22 acrescenta que os dados com códigos são pessoais mesmo quando estão em mãos diferentes da informação suplementar, se puderem juntar-se com meios razoáveis. É a lógica que o Tribunal seguiu meses depois.

Um hash sem chave de um NIF, a meu ver, não protege nada: são nove algarismos e uma lista de contribuintes chega para os reencontrar. Quando é o software da empresa a chamar a IA, o Nonimo Gateway troca os dados antes da chamada e repõe-nos na resposta.

Quando um texto passa a anónimo: os três critérios do CEPD

As Diretrizes 02/2026, sobre anonimização, foram adotadas a 7 de julho de 2026 e estiveram em consulta até 30 de outubro. Propõem três critérios: não isolar registos, não ligar a outras fontes, não inferir. Passando os três, os dados podem considerar-se anónimos.

O n.º 38 diz que anonimizar também é tratar dados e precisa de fundamento no artigo 6.º. Em regra, presume-se que é o mesmo do trabalho de onde o texto saiu, se a finalidade se mantiver.

O n.º 82 leva o terceiro critério aos modelos de IA: interrogados com informação adicional, podem revelar algo novo sobre uma pessoa concreta. Do lado do assistente, o que fica guardado das conversas é outra questão, que o guia sobre o Gemini explica.

Um texto de trabalho só é anónimo, para mim, depois de passar os três com a análise por escrito. Num pedido de cliente, o valor ou o cargo de que a pergunta precisa costuma chumbar logo o primeiro.

Pseudonimização obrigatória? Artigos 25.º e 32.º e o segredo profissional

Em geral, não é obrigatória. O artigo 25.º, n.º 1, dá-a como exemplo de proteção desde a conceção; a alínea a) do n.º 1 do artigo 32.º, como medida de segurança. O considerando 78 fala em pseudonimizar «o mais cedo possível», e o CEPD admite que a minimização pode exigi-la.

Para quem tem segredo profissional, o RGPD é metade da resposta. No Estatuto da Ordem dos Advogados, o artigo 92.º cobre os factos conhecidos no exercício da profissão, sejam ou não dados pessoais, e o n.º 3 alarga-o aos documentos.

Num escritório de advogados, a pergunta do segredo passa à frente da do RGPD: o assunto do cliente pode sair? Um texto com códigos ainda revela uma doença ou um divórcio. O detalhe está no guia para advogados.

Antes de colar numa IA: a tabela fica, o contexto sai

Se tivesse de deixar uma única regra a uma equipa, seria esta: a lista que desfaz os códigos não sai do posto de trabalho, e o pormenor de que a pergunta não precisa também não. Cabe numa linha da política de IA do gabinete.

O Nonimo troca nomes, NIF, NISS e IBAN por etiquetas no seu computador e guarda lá a correspondência; passando o rato por uma etiqueta, vê o original. O Nonimo tira os identificadores do pedido do cliente antes de ele seguir para a IA; cortar o contexto continua a ser decisão sua.

Com essa lista à mão, do seu lado o RGPD continua a aplicar-se ao texto inteiro. Para vários postos com a mesma tabela fora da conversa, a instalação vem na página das organizações.

Esta página explica conceitos; qualificar um tratamento concreto cabe ao seu EPD ou ao seu advogado.

Fontes

• Regulamento (UE) 2016/679, versão portuguesa no EUR-Lex: definição do 4.º, n.º 5; considerandos 26 e 78; artigos 25.º e 32.º.
• Tribunal de Justiça, acórdão de 4 de setembro de 2025, processo C-413/23 P, EUR-Lex: n.os 52, 76, 77, 85, 86, 100, 111 e 112.
• CEPD, Guidelines 01/2025 on Pseudonymisation: adotadas a 16 de janeiro de 2025, versão para consulta; resumo, n.os 22 e 89 a 93.
• CEPD, Guidelines 02/2026 on Anonymisation: versão 1.0, adotada a 7 de julho de 2026; três critérios, n.os 38 e 82.
• CNPD, Parecer/2026/6: n.os 20 e 22, aprovado a 27 de janeiro de 2026.
• CNPD, Diretriz/2023/1: métodos de pseudonimização e anonimização no desenvolvimento de software.
• Diário da República, Lei n.º 58/2019: artigos 21.º, n.º 4, e 31.º, n.os 1 e 5.
• Lei n.º 145/2015, Estatuto da Ordem dos Advogados, Diário da República: artigo 92.º, segredo profissional.
• SPMS, «RGPD I Dados pseudonimizados podem não ser considerados dados pessoais»: leitura do acórdão e dever de informar que se mantém.

Consultadas em 10/11/2026.