Os dados pseudonimizados ficam fora do RGPD?

Não. Continuam a ser dados pessoais e aplicam-se todas as obrigações, embora a pseudonimização reduza o risco e seja reconhecida como garantia adequada para a investigação.

O número de processo clínico serve de pseudónimo?

Não é recomendável: qualquer pessoa com acesso aos sistemas do hospital pode reverter a ligação. Prefira um código aleatório ou gerado com uma chave secreta guardada fora da equipa de investigação.

A Lei 58/2019 obriga a pseudonimizar?

O artigo 31.º exige anonimização ou pseudonimização sempre que os fins da investigação possam ser atingidos dessa forma, além do respeito pela minimização.

Posso usar uma função de hash sobre o nome como pseudónimo?

Só se for uma função com chave secreta, guardada fora da equipa de investigação. Um hash simples sobre nomes ou datas de nascimento pode ser revertido por quem testar as combinações possíveis, o que anula a proteção.

Pseudonimização na investigação clínica

A investigação clínica vive de dados que identificam pessoas: processos clínicos, notas de alta, resultados laboratoriais, imagiologia. E, cada vez mais, de dados de vida real reutilizados a partir da prestação de cuidados para estudos observacionais, registos ou avaliação de medicamentos e dispositivos. A técnica que permite trabalhar com esta informação sem expor os doentes, mantendo um caminho controlado para voltar a eles quando necessário, é a pseudonimização.

Convém esclarecer desde já: os dados pseudonimizados continuam a ser dados pessoais à luz do RGPD (artigo 4.º, n.º 5, e considerando 26). Muda o nível de risco, não a aplicação da lei. As Diretrizes 01/2025 do Comité Europeu para a Proteção de Dados sobre pseudonimização reforçam esta ideia e ligam a eficácia da técnica a quem consegue aceder à informação adicional.

Pseudonimizar não é anonimizar

Diferenças práticas num projeto de investigação
	Pseudonimização	Anonimização
Continua a ser dado pessoal?	Sim, para quem a pode reverter	Não, se ninguém puder razoavelmente identificar a pessoa
É possível voltar ao doente?	Sim, com a chave ou a tabela de correspondência	Não
Utilização típica	Ensaios, coortes, seguimento longitudinal, registos	Publicação de resultados, dados abertos, ensino
Obrigações do RGPD	Todas, com risco reduzido	Deixam de se aplicar ao conjunto resultante

Ensaios e estudos de coorte exigem normalmente pseudonimização: é preciso ligar visitas, comunicar acontecimentos adversos ao centro e informar o doente de um achado relevante. Explicamos o conceito na entrada de glossário sobre pseudonimização.

O enquadramento português

Artigo 31.º da Lei n.º 58/2019: o tratamento para fins de investigação científica deve respeitar o princípio da minimização e incluir a anonimização ou a pseudonimização dos dados sempre que os fins visados possam ser atingidos por uma destas vias.
Lei n.º 21/2014 (Lei da Investigação Clínica): regula os estudos clínicos e o papel das comissões de ética, incluindo a Comissão de Ética para a Investigação Clínica (CEIC) nos ensaios com medicamentos.
Regulamento (UE) 536/2014 sobre ensaios clínicos de medicamentos e, para a utilização secundária à escala europeia, o Regulamento (UE) 2025/327 relativo ao Espaço Europeu de Dados de Saúde, aplicável de forma faseada.
A supervisão cabe à CNPD, e o artigo 89.º do RGPD exige garantias adequadas, entre as quais a pseudonimização é expressamente referida.

A chave de codificação e a separação de funções

Na prática, pseudonimizar é dividir os dados em duas partes: o conjunto de investigação, com um código no lugar da identidade, e a informação adicional (tabela de correspondência ou chave criptográfica) que permite reverter. A segurança depende de quem guarda esta segunda parte.

Custódio da chave separado da equipa de análise: centro de investigação, unidade de gestão de dados do hospital, terceiro de confiança.
Códigos sem significado: aleatórios ou gerados com uma função criptográfica com chave secreta. Nada de iniciais mais data de nascimento ou número de processo truncado.
Pseudónimos diferentes por estudo, para impedir a ligação entre conjuntos sem passar pelo custódio.
Acesso restrito, cifragem e registo de cada reidentificação e do seu motivo.
Procedimento documentado para voltar ao doente quando legítimo, por exemplo perante um achado acidental clinicamente relevante.

Onde a reidentificação regressa

Trocar o nome por um código é a parte fácil. O verdadeiro risco está nos quase-identificadores e, sobretudo, no texto livre.

Fontes frequentes de reidentificação em dados clínicos
Fonte	Exemplo (fictício)	Medida
Datas exatas	Internamento a 14 de março, cirurgia a 16 de março	Deslocação de datas por doente ou intervalos relativos
Doenças raras, casos únicos	A única doente com aquela mutação no centro	Agregação, limiares mínimos de casos
Texto livre de relatórios	«Farmacêutica da aldeia, o irmão é presidente da junta»	Deteção de entidades e substituição coerente no texto
Código postal, centros pequenos	Freguesia com poucas centenas de habitantes	Generalizar ao concelho ou à região
Metadados e cabeçalhos	Nome do doente no cabeçalho DICOM ou nas propriedades do PDF	Remover metadados antes de partilhar

O risco avalia-se sobre o conjunto entregue e sobre o que o destinatário pode razoavelmente cruzar, e não documento a documento. Veja a entrada sobre reidentificação.

Lista de verificação para o protocolo

Antes de entregar dados pseudonimizados à equipa de investigação

Fundamento de licitude identificado e parecer da comissão de ética competente.
Avaliação de impacto que analisa expressamente o risco de reidentificação.
Custódio da chave separado técnica e organizacionalmente da equipa de análise.
Pseudónimos aleatórios ou com chave, distintos por estudo sempre que possível.
Datas, localizações e texto livre tratados, não apenas os identificadores diretos.
Compromissos de confidencialidade e de não reidentificação assinados.

Pseudonimizar documentos clínicos com o Anonimatum

Muitos dados de vida real chegam em documentos: notas de alta, processos digitalizados, cartas de referenciação, cadernos de recolha de dados. O Anonimatum permite uma pseudonimização coerente: cada doente, profissional ou instituição recebe o mesmo substituto em todo o documento e, com o mesmo identificador de projeto, em todos os documentos do estudo. As datas podem ser deslocadas o mesmo número de dias em todo o projeto para preservar os intervalos, e a tabela de correspondência é guardada cifrada, pelo que só quem a custodia pode reverter a substituição. É a separação de funções aplicada: quem pseudonimiza guarda a tabela e a equipa de investigação recebe apenas os documentos transformados.

A deteção combina IA própria (nomes, moradas, datas, organizações) com padrões para emails, telefones e outros identificadores, e pode acrescentar expressões regulares para o número de processo ou o identificador local do doente. Os documentos digitalizados passam por OCR e tudo é processado em servidores na União Europeia, sem envio do texto a APIs externas de modelos de linguagem. Saiba mais sobre como anonimizar processos clínicos.

Pseudonimização na investigação clínica e em dados de vida real: chave, funções e riscos