Glossário · Glossário · Conceitos RGPD
Dados pessoais: o que são e onde se escondem nos documentos
Equipa Anonimatum
Em resumo
Dado pessoal é qualquer informação relativa a uma pessoa singular identificada ou identificável, direta ou indiretamente: um nome, um NIF, uma matrícula, uma assinatura ou um conjunto de pormenores que, juntos, revelam de quem se fala.
Todo o RGPD assenta num conceito: o dado pessoal. Se uma informação o é, aplicam-se o RGPD e a Lei n.º 58/2019; se não, ficam de fora. Por isso, antes de publicar, partilhar ou anonimizar um documento, a primeira pergunta é sempre que dados pessoais contém.
A definição legal é propositadamente ampla. Não se limita ao nome e ao número de identificação: abrange qualquer informação que permita identificar alguém, mesmo combinando peças que isoladas parecem inofensivas.
A definição do artigo 4.º do RGPD
O RGPD define dados pessoais como a informação relativa a uma pessoa singular identificada ou identificável. É identificável quem possa ser identificado, direta ou indiretamente, em especial por referência a um identificador como um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da sua identidade física, fisiológica, genética, mental, económica, cultural ou social.
Como decidir se alguém é identificável explica-o o considerando 26 do RGPD: devem ter-se em conta todos os meios suscetíveis de ser razoavelmente utilizados, atendendo a custos, tempo e tecnologia disponível.
Identificadores diretos e indiretos
Os identificadores diretos apontam para uma pessoa por si sós: nome completo, número do cartão de cidadão, NIF, número de utente do SNS, fotografia do rosto. Os identificadores indiretos não bastam isolados, mas combinados denunciam: data de nascimento, código postal, profissão, cargo, entidade empregadora, datas de um facto concreto. Um relatório fictício que refere «a enfermeira-chefe da pediatria do hospital distrital em 2024» identifica uma pessoa sem a nomear.
Exemplos de dados pessoais em documentos
| Dado | Onde costuma aparecer | Tipo |
|---|---|---|
| Nome completo | Cabeçalhos, corpo do texto, assinaturas, ofícios | Direto |
| NIF, cartão de cidadão ou passaporte | Contratos, requerimentos, formulários | Direto |
| Morada | Notificações, atas, faturas | Direto ou indireto |
| Matrícula de veículo | Autos, sentenças de acidentes, coimas | Indireto |
| Assinatura manuscrita ou digital | Final de contratos e decisões | Direto |
| Número de processo ou de processo clínico | Decisões, relatórios médicos | Indireto |
| Telefone, e-mail, IBAN | Faturas, recibos de vencimento, e-mails | Direto ou indireto |
| Autor e entidade nos metadados | Propriedades do PDF ou Word | Direto |
Algumas categorias têm proteção reforçada: saúde, origem racial ou étnica, opiniões políticas, convicções religiosas, filiação sindical, dados genéticos e biométricos, vida ou orientação sexual. São as categorias especiais de dados do artigo 9.º.
O que não é dado pessoal
- A informação sobre pessoas coletivas, como a denominação ou o NIPC de uma sociedade (considerando 14). O nome e o e-mail de um trabalhador ou de um empresário em nome individual são, porém, dados pessoais.
- A informação anónima ou os dados anonimizados de forma que a pessoa já não é identificável.
- Os dados de pessoas falecidas ficam fora do RGPD (considerando 27), mas a Lei n.º 58/2019 tem regras próprias sobre a sua proteção.
- As estatísticas agregadas das quais não é possível isolar nenhum indivíduo.
Os dados pseudonimizados, pelo contrário, continuam a ser pessoais: trocar um nome por um código não basta se alguém guarda a tabela de correspondência. A diferença explica-se em anonimização.
Localizar dados pessoais antes de partilhar um documento
Procurar à mão os dados pessoais de um processo com cem páginas é lento e dado a esquecimentos, sobretudo com digitalizações, carimbos e anexos. O Anonimatum deteta nomes, organizações, datas, moradas, montantes, matrículas, códigos QR e assinaturas com IA própria em servidores na UE, além de padrões como NIF, IBAN, telefone ou e-mail. Tudo é revisto antes de aplicar; pode começar por algo concreto, como ocultar um número de identificação num PDF.
Perguntas frequentes
Um endereço IP é um dado pessoal?
Pode ser. No acórdão Breyer (C-582/14), o Tribunal de Justiça considerou dado pessoal um IP dinâmico quando quem o detém dispõe de meios legais para identificar o utilizador.
Um e-mail nome.apelido@empresa.pt é dado pessoal?
Sim, porque identifica uma pessoa singular concreta, mesmo em contexto profissional. Um endereço genérico como geral@ normalmente não é.
As iniciais são dados pessoais?
Sim, se o contexto permitir saber a quem se referem, o que é frequente em documentos com datas, locais ou cargos.
Os metadados de um PDF podem conter dados pessoais?
Sim. O autor, a entidade ou o último utilizador que editou o ficheiro ficam muitas vezes nas propriedades do documento.
Encontre os dados pessoais nos seus documentos
Veja os planos e comece a detetar e remover dados pessoais em PDF, Word, Excel e e-mails, com revisão humana antes de aplicar.