O que é Pseudonimização?
Pseudonimização, em inglês pseudonymization, é o tratamento que troca identificadores diretos de uma pessoa por códigos, mantendo em local separado a informação que permite a reversão. A LGPD cita o termo ao tratar de estudos em saúde pública, e o conceito se espalhou por toda a prática de proteção de dados.
O mecanismo é simples de enxergar. Em vez de guardar “Ana Souza, ana@email.com.br”, a base guarda “usuário 8f3c2a”, e um sistema à parte, com acesso restrito, sabe que 8f3c2a corresponde à Ana. Quem acessa apenas a primeira base não chega à pessoa. Essa reversibilidade define a consequência jurídica: dado pseudonimizado continua sendo dado pessoal e segue exigindo base legal, finalidade, prazo de retenção e resposta a titulares.
Como funciona na prática?
As abordagens variam em força. A tokenização substitui o identificador por um código aleatório e guarda a correspondência em um cofre separado: como o token não tem relação matemática com o valor original, quem obtém a base sem o cofre não reverte nada. O hash aplica uma função matemática sobre o valor e é o mais usado no marketing, já que e-mails em SHA-256 alimentam listas de público e as conversões aprimoradas.
O hash puro tem uma fragilidade conhecida: como a função é sempre a mesma, quem suspeita de um e-mail pode calcular o hash e comparar. Adicionar um valor secreto antes do cálculo, prática chamada de salt, dificulta esse ataque. Três cuidados sustentam qualquer técnica: a chave fica em ambiente separado, a base é revisada em busca de campos que reidentifiquem, e o processo tem registro.
Pseudonimização vs anonimização: qual a diferença?
| Aspecto | Pseudonimização | Anonimização |
|---|---|---|
| Reversão | Possível com a chave | Inviável por meios razoáveis |
| Alcance da LGPD | Dado continua pessoal | Sai do escopo, em regra |
| Utilidade | Permite ativação e análise individual | Só análise agregada |
| Papel | Medida de segurança | Encerramento do ciclo do dado pessoal |
Veredito: a pseudonimização protege o dado mantendo sua utilidade operacional, e a anonimização abre mão da utilidade individual para encerrar a obrigação legal.
Exemplos de uso
- Uma loja envia lista de compradores para uma plataforma de mídia usando e-mails em hash SHA-256. A plataforma cruza os hashes com sua base e monta o público sem receber os endereços em texto aberto.
- Uma rede de clínicas conduz um estudo sobre adesão a tratamento. Os prontuários entram na análise com código de paciente, e a tabela de correspondência fica sob controle do encarregado.
Erros comuns
- Chamar pseudonimização de anonimização e concluir, por engano, que a base saiu do alcance da LGPD.
- Guardar a chave de correspondência no mesmo banco da base pseudonimizada, o que anula a proteção.
- Usar hash sem salt em campos previsíveis, como telefone, permitindo reversão por tentativa.
- Deixar campos indiretos na base, como CEP completo e data exata de nascimento, que reidentificam por combinação.
Perguntas frequentes sobre Pseudonimização
Dado pseudonimizado ainda é dado pessoal?
Sim. Como a reversão continua possível para quem detém a chave, o dado permanece pessoal e sujeito à LGPD. Isso mantém a exigência de base legal, finalidade declarada, prazo de retenção e atendimento a pedidos de acesso, correção e exclusão feitos pelos titulares.
Pseudonimização protege em caso de vazamento?
Ela reduz bastante o dano. Se o invasor obtém apenas a base pseudonimizada e a chave está em outro ambiente, os registros expostos não apontam para pessoas. A avaliação de risco do incidente muda, e a comunicação à autoridade continua sendo analisada caso a caso.
Hash com salt é mais seguro que hash simples?
O salt adiciona um valor secreto ao dado antes do cálculo, o que impede a comparação direta com hashes de listas conhecidas, e torna a reversão bem mais difícil. O detalhe operacional: plataformas de mídia esperam hash sem salt para conseguir cruzar bases, o que limita o uso nesse cenário.