Na LGPD, só conta como anonimizado o dado que ninguém consegue mais ligar ao titular com meios razoáveis. Se existe uma chave ou uma tabela que leva de volta ao titular, o dado está pseudonimizado e continua sujeito à lei.
Uma palavra que ninguém confere
O registro das operações de tratamento, exigido pelo art. 37, quase sempre tem uma coluna onde alguém escreve “anonimizado”. A palavra também aparece no relatório de impacto do art. 38 e em questionários de clientes, e ninguém pede prova. Muitas vezes ela vem da página de vendas de uma ferramenta, que trata a palavra como o resultado de um clique. Na lei, é uma afirmação sobre o que deixou de ser possível para qualquer pessoa.
O que a LGPD diz
O art. 5º, XI e o art. 5º, III definem anonimização e dado anonimizado pela possibilidade de identificar o titular. Nenhum dos dois menciona software.
Pelo art. 12, dado anonimizado não é dado pessoal, salvo se a anonimização puder ser revertida com meios próprios ou esforços razoáveis. O § 1º mede o razoável por custo, tempo e tecnologia disponível. O § 3º permite à ANPD fixar padrões, e o critério pode ficar mais exigente sem mudar a lei.
No GDPR europeu, essa regra fica no considerando 26, no preâmbulo. A LGPD colocou a regra no corpo da lei, como condição para o dado deixar de ser pessoal. O teste também muda com o tempo: um arquivo que passava há três anos pode não passar hoje.
O teste aplicado a um arquivo
O Parecer 05/2014 do Grupo de Trabalho do Artigo 29, das autoridades europeias, não vincula a ANPD, mas influenciou a leitura de “esforços razoáveis”. Seu critério: ninguém consegue reidentificar o titular por meios que alguém provavelmente usaria. O critério é exigente, mas não absoluto, e se resume em cinco perguntas.
- Existe uma chave? Se uma tabela liga cada código ao original, com você, um fornecedor ou num backup, o dado está pseudonimizado.
- Dá para distinguir uma pessoa das demais? Um cargo, uma data de admissão e a cidade podem bastar.
- Dá para ligar dois registros da mesma pessoa? O mesmo código em vários documentos permite montar um perfil (art. 12, § 2º).
- Dá para inferir algo? Uma doença rara num município de oito mil habitantes identifica alguém sem nome.
- Quem é esse “alguém”? Você, o destinatário, quem receber depois e quem tiver outras bases para cruzar.
A primeira pergunta decide quase todos os casos e é a menos feita. O que define a pseudonimização é a existência da chave, não a aparência do resultado.
Pseudonimizado continua sendo pessoal
A LGPD define pseudonimização uma única vez, no § 4º do art. 13, sobre estudos em saúde pública. É o tratamento que só permite chegar ao indivíduo com uma informação adicional mantida à parte pelo controlador. Essa informação é a chave, e pelo art. 12 o dado continua sendo pessoal. O Comitê Europeu de Proteção de Dados reafirmou isso em 2025, e o ICO britânico segue a mesma linha.
Pseudonimizar é uma boa medida de segurança (art. 46), mas não suspende a lei. Você continua precisando de base legal, atendendo aos direitos do art. 18, comunicando incidentes à ANPD e registrando a operação.
E o nosso produto?
A regra vale também para a nossa ferramenta. Com Codificar, cada valor vira um código curto e reversível, e o mapa fica no Registro de códigos, no seu computador. Esse mapa permite Decodificar a resposta de um modelo de linguagem, como explica este artigo. Pela LGPD, o arquivo codificado está pseudonimizado.
- O Registro é um arquivo SQLite local, sem criptografia, de propósito: quem o abre já tem os originais no mesmo disco. Um mapa criptografado continuaria sendo um mapa.
- A exportação do Registro gera um JSON legível. Um arquivo codificado enviado junto com ela volta a ser o original.
- O código vale dentro da pasta. Pastas diferentes recebem códigos diferentes, e só um código fixado manualmente vale para a Biblioteca inteira.
- Decodificar acontece no próprio aplicativo, sem serviço externo.
O caminho que pode chegar à anonimização é Ocultar, que remove o conteúdo também das camadas ocultas do PDF e descarta miniaturas antigas. Mesmo assim, só chega lá se o resto passar nas cinco perguntas e se nenhuma exportação do mapa circular. Para documentos sob sigilo, veja este texto sobre PDFs jurídicos.
Nenhum modelo local encontra todos os identificadores, e por isso o aplicativo exige revisão antes do download. No desktop, tudo é 100% offline; o app web gratuito mantém o documento no computador, mas envia uma contagem anônima de inicializações.
Perguntas frequentes
Dado pseudonimizado pode ser compartilhado livremente?
Não, porque dado pseudonimizado é dado pessoal. Compartilhá-lo exige base legal, finalidade compatível e, se o destinatário agir em seu nome, contrato de operador.
Devo anonimizar ou pseudonimizar?
Depende do uso. Se o documento precisa voltar com os nomes reais, você precisa da chave e está pseudonimizando. Se vai sair para não voltar, como uma decisão publicada, use a remoção definitiva e aplique o teste de razoabilidade.
Criptografar o mapa basta para chamar o dado de anonimizado?
Não basta, porque a criptografia protege a chave, e a chave continua existindo. Enquanto alguém, inclusive você, puder decifrar o mapa, o dado é reversível por meios próprios. Para mudar o estado jurídico do dado, a chave precisa deixar de existir para todo mundo.
A palavra que vai para o registro
Dificilmente alguém será punido só por uma palavra numa planilha. O risco é deixar de registrar a base legal, atender a pedidos ou comunicar incidentes por achar que a lei não se aplica. As sanções do art. 52 chegam a 2% do faturamento no Brasil, até R$ 50 milhões por infração.
Antes de escrever “anonimizado”, anote quem conseguiria reverter o dado e com quê. Se a resposta for “nós mesmos, com o Registro de códigos”, escreva “pseudonimizado” e trate o dado como pessoal.