Anonimização e pseudonimização: a diferença na LGPD, com exemplos em documentos
A pseudonimização substitui os dados que identificam uma pessoa por marcadores ([Pessoa 1], um código, um token), enquanto uma informação guardada à parte permite religá-los ao titular. A anonimização corta esse vínculo de vez: ninguém consegue saber de quem é o dado usando meios técnicos razoáveis. Pela LGPD, dados anonimizados deixam de ser dados pessoais (art. 12); dados pseudonimizados continuam sendo.
Anonimização e pseudonimização em uma tabela
| Pseudonimização | Anonimização | |
|---|---|---|
| O que acontece | Identificadores trocados por marcadores ou códigos | Identificadores removidos ou generalizados até ninguém poder ser individualizado |
| É reversível? | Sim, com a informação adicional guardada à parte | Não, por meios técnicos razoáveis |
| Na LGPD | Continua dado pessoal (art. 13, § 4º) | Não é dado pessoal (art. 5º, III, e art. 12) |
| Uso típico | Enviar um processo a um perito ou a uma IA, pesquisa, análises internas | Publicação, dados abertos, estatísticas |
| Exemplo em documento | "[Pessoa 1] vendeu o veículo a [Pessoa 2]" | "Uma pessoa física vendeu um veículo a outra" |
O que a LGPD diz sobre anonimização
A LGPD (Lei 13.709/2018) define dois conceitos no art. 5º:
- Dado anonimizado (inciso III): dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento.
- Anonimização (inciso XI): utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo.
O art. 12 tira os dados anonimizados do alcance da lei, com uma ressalva importante: eles voltam a ser dados pessoais quando o processo de anonimização pode ser revertido com meios próprios ou com esforços razoáveis. O § 1º diz como medir o que é razoável: custo e tempo necessários para reverter, tecnologias disponíveis e uso exclusivo de meios próprios. O § 3º permite à ANPD definir padrões e técnicas de anonimização.
A anonimização também aparece como direito do titular: ele pode pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários ou excessivos (art. 18, IV).
O que a LGPD diz sobre pseudonimização
A única definição de pseudonimização está no art. 13, § 4º: é o tratamento por meio do qual um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo, senão pelo uso de informação adicional mantida separadamente pelo controlador em ambiente controlado e seguro.
Dois detalhes:
- O parágrafo começa com "para os efeitos deste artigo", e o art. 13 trata de estudos em saúde pública. Mesmo assim, é a definição que o mercado, os DPOs e a própria ANPD usam como referência.
- A definição traz a condição que separa as duas técnicas: a informação adicional (no nosso caso, a tabela de correspondência) existe. Quem a tem consegue reidentificar. Por isso dados pseudonimizados continuam sendo dados pessoais para o controlador, e a pseudonimização é uma medida de segurança (no espírito do art. 46), não uma saída da LGPD.
Em janeiro de 2024, a ANPD abriu consulta pública sobre uma minuta de Guia de Anonimização e Pseudonimização, de caráter orientativo, com técnicas como substituição, mascaramento e tokenização. Confira no site da ANPD a versão mais recente antes de citá-la em um parecer.
E o RGPD europeu?
Se o seu escritório atende clientes na Europa, a lógica é parecida. O art. 4(5) do RGPD define a pseudonimização quase com as mesmas palavras da LGPD, e o considerando 26 diz que dados pseudonimizados continuam pessoais e dados anônimos ficam fora do regulamento. Em 2025, no processo C-413/23 P, o Tribunal de Justiça da UE admitiu que o caráter pessoal de dados pseudonimizados pode depender de quem os detém: para um destinatário sem meios razoáveis de reidentificação, eles podem não ser pessoais. Para você, que tem a chave, sempre são.
Como cada técnica aparece em um documento
Uma frase de um processo de compra e venda:
Ana Ribeiro, residente na Rua das Flores, 120, Curitiba, vendeu o veículo a Beatriz Lima em 3 de março de 2026.
Tarjado (tarja preta):
████████, residente na ████████████, vendeu o veículo a ████████ em ███████.
Nada identifica ninguém, mas nada ajuda: o leitor não sabe se duas tarjas são a mesma pessoa.
Pseudonimizado:
[Pessoa 1], residente na [Endereço 1], vendeu o veículo a [Pessoa 2] em [Data 1].
Cada marcador é o mesmo em todo o documento, então a história continua legível. Quem tem a tabela pode restaurar os nomes.
Anonimizado:
Uma pessoa física vendeu um veículo a outra no início de 2026.
Generalizado até ninguém poder ser individualizado, nem com informação externa. É o formato de estatísticas e ementas publicadas, raramente o de um documento de trabalho.
Anonimização ou pseudonimização: de qual você precisa?
- Enviar um processo a uma IA, a um perito, a um tradutor ou a outro escritório: pseudonimize. O leitor precisa da estrutura; você fica com a chave. Veja como anonimizar um documento antes do ChatGPT e como pseudonimizar documentos jurídicos.
- Juntar documentos a um processo, responder a um titular ou a um pedido da Lei de Acesso à Informação: tarje os dados de terceiros. Veja como ocultar dados pessoais em um PDF conforme a LGPD.
- Publicar dados ou uma decisão: anonimize, o que normalmente significa pseudonimizar e retirar os detalhes descritivos que permitiriam individualizar alguém.
Erros comuns
- Chamar de "anônimos" dados pseudonimizados na política de privacidade. Se você tem a chave, não são.
- Guardar a chave junto com os dados. A LGPD fala em informação mantida separadamente, em ambiente controlado e seguro. Com a tabela no mesmo e-mail, a pseudonimização não protege nada.
- Marcadores inconsistentes. Trocar a mesma pessoa por
[Pessoa 1]na página 1 e[Pessoa 3]na página 5 estraga o documento sem proteger mais. - Esquecer os identificadores indiretos. Cargo, evento raro, cidade pequena: tirar os nomes é necessário, não suficiente.
- Tarjas que não são tarjas. Um retângulo desenhado em um editor de PDF deixa o texto embaixo; o arquivo não está nem pseudonimizado nem anonimizado.
Perguntas frequentes
Dados pseudonimizados são dados pessoais pela LGPD? Sim, para quem consegue reidentificá-los, a começar por quem guarda a informação adicional. Só dados anonimizados, cuja anonimização não pode ser revertida com esforços razoáveis, saem da lei (art. 12).
Trocar nomes por iniciais é pseudonimização? É, mas fraca: as iniciais revelam parte do nome e duas pessoas podem ter as mesmas. Marcadores numerados como [Pessoa 1] são mais seguros e mais claros.
Tarjar é o mesmo que anonimizar? Tarjar retira informação de um documento. Se você retira o bastante para ninguém ser identificável, o resultado é anonimizado; se retira só os nomes e o resto identifica a pessoa, não é.
Criptografar ou gerar hash de um CPF anonimiza o dado? Não. Um hash de um valor conhecido pode ser recalculado e comparado, e uma cifra tem chave: no máximo, é pseudonimização.
Qual a diferença entre anonimização e dados anonimizados? Anonimização é o processo (art. 5º, XI); dado anonimizado é o resultado (art. 5º, III).
Teste em um PDF
O modo pseudonimização do Tarjar PDF AI troca pessoas, empresas e endereços por marcadores consistentes em todas as páginas e entrega a tabela de correspondência para você guardar. Experimente com o seu primeiro documento, que é grátis, ou leia o guia completo sobre como tarjar um PDF.