Um documento anonimizado continua sujeito ao RGPD?

Se a anonimização for efetiva e o titular deixar de ser identificável por meios razoáveis, não. Dados apenas pseudonimizados, por exemplo nomes substituídos por códigos com uma tabela de correspondência, continuam a ser dados pessoais.

É preciso uma avaliação de impacto para anonimizar?

Nem sempre. Depende do tratamento no seu conjunto: publicar dados sensíveis ou tratar dados de saúde em grande escala exige-a muitas vezes. O artigo 35.º do RGPD e o regulamento da CNPD com a lista de tratamentos sujeitos a AIPD ajudam a decidir.

Basta usar as iniciais em vez do nome?

Normalmente não. As iniciais, juntamente com o cargo, a data ou a freguesia, permitem muitas vezes reconhecer a pessoa. É mais seguro ocultar ou usar um pseudónimo neutro e rever o contexto.

Quem deve rever a anonimização?

Uma pessoa diferente de quem a fez, pelo menos numa amostra. Em publicações ou dados sensíveis, é preferível rever o documento completo.

Checklist de anonimização RGPD de documentos

Antes: finalidade, fundamento de licitude e riscos

A anonimização é, ela própria, um tratamento de dados pessoais. Antes de abrir o primeiro ficheiro, deixe por escrito para que serve, quem vai receber o resultado e que nível de risco de reidentificação é aceitável nesse contexto. Entregar um relatório a um auditor sujeito a sigilo é muito diferente de o publicar no sítio da entidade.

Antes de começar

A finalidade está escrita (publicação, partilha com terceiros, investigação, formação…).
O fundamento de licitude do tratamento original está identificado e a compatibilidade da anonimização verificada.
Avaliou-se se o tratamento no seu conjunto exige uma avaliação de impacto sobre a proteção de dados nos termos do artigo 35.º, por exemplo com categorias especiais em grande escala.
Decidiu-se se basta pseudonimizar (reversível, os dados continuam pessoais) ou se é necessária uma anonimização irreversível.
Existe um inventário de identificadores diretos e indiretos para este tipo de documento.
Aplicou-se o princípio da minimização dos dados: o que não é necessário para a finalidade sai, mesmo que não seja um nome.
Há um responsável pela tarefa e um segundo revisor designados.

Identificadores indiretos que costumam escapar

Cargos únicos («a diretora da única escola básica da freguesia»), relações de parentesco, alcunhas.
Datas exatas de nascimento, internamento, acidente ou despedimento combinadas com o local.
Moradas, artigos matriciais, matrículas, números de processo ou de apólice.
Montantes muito concretos, como uma indemnização fora do comum.
Assinaturas manuscritas, carimbos, códigos QR e códigos de validação que remetem para o original.
Texto em cabeçalhos, rodapés, comentários, controlo de alterações e propriedades do ficheiro.

Durante: método, lista branca e coerência

Regra prática: tratar da mesma forma o que é igual. Se «João Silva» (fictício) aparece na página 2 como «Sr. Silva» e na página 14 como «J. S.», as três menções devem ser ocultadas ou substituídas pelo mesmo pseudónimo. O processo deve ficar documentado e ser repetível, sem depender de quem estiver a expurgar nesse dia.

Durante o processo

A técnica está escolhida e fundamentada: supressão (rasura irreversível), generalização (ano em vez da data completa) ou substituição coerente.
Uma lista branca define os termos que ficam visíveis (nome da entidade, titulares de cargos no exercício de funções, legislação citada).
Todas as variantes de um nome recebem o mesmo tratamento no documento e nos documentos do mesmo processo.
Categorias especiais (saúde, origem étnica, orientação sexual, convicções, dados genéticos ou biométricos) e dados relativos a condenações penais são revistos com especial cuidado.
Os documentos digitalizados passam por OCR antes da pesquisa; o que o OCR não lê (manuscritos, carimbos) é ocultado por zonas.
Imagens, gráficos e tabelas incorporadas são verificados além do texto.
A rasura elimina o conteúdo subjacente: nada de retângulos pretos por cima nem texto branco.

Depois: verificação e responsabilidade

O artigo 5.º, n.º 2, do RGPD obriga o responsável pelo tratamento a cumprir e a poder comprová-lo. Na prática, a versão final é verificada com testes simples mas sistemáticos, e as decisões discutíveis ficam anotadas com o respetivo motivo.

Verificação final

Teste de pesquisa: nomes, NIF e endereços de correio eletrónico do inventário são pesquisados no ficheiro final sem resultados.
Teste de cópia: o texto sob cada rasura é selecionado e colado num editor; não deve aparecer nada.
Metadados eliminados: autor, título, histórico, comentários e versões anteriores (veja como eliminar metadados de um PDF).
O nome do ficheiro não contém dados pessoais («Recurso_Silva_Joao.pdf» denuncia o que o conteúdo esconde).
Um segundo revisor verificou uma amostra ou a totalidade, consoante o risco.
Avaliou-se o risco residual de reidentificação face à informação já pública.
As decisões estão registadas; o original é conservado com acesso restrito ou eliminado no fim do prazo de conservação.

Modelo de registo de decisões

Imprima esta tabela ou copie-a para a sua folha de controlo. Os exemplos são fictícios; o importante é que cada linha diga o que foi feito, porquê e quem verificou.

Registo de decisões de anonimização (exemplo fictício)
Data	Documento ou lote	Dado ou categoria	Decisão	Motivo	Responsável / revisor
03/11/2026	Despacho n.º 45/2026	Nome do requerente	Ocultar	Particular sem relevância pública	A. M. / L. R.
03/11/2026	Despacho n.º 45/2026	Nome do dirigente signatário	Manter	Atua no exercício de funções	A. M. / L. R.
04/11/2026	Lote de relatórios clínicos	Data de internamento	Generalizar para mês e ano	Necessária para o estudo; a data exata identifica	P. S. / L. R.
04/11/2026	Lote de relatórios clínicos	Diagnóstico	Manter	Finalidade de investigação; restante anonimizado	P. S. / EPD

Como o Anonimatum ajuda a cumprir esta checklist

O Anonimatum combina uma IA própria executada em servidores na UE com padrões para NIF, IBAN ou telefones, lista branca e zonas manuais, e mostra uma pré-visualização para que uma pessoa reveja antes de aplicar a rasura irreversível. Aplica também OCR a digitalizações, elimina metadados, pseudonimiza de forma coerente e mantém um registo de auditoria por grupo. Não substitui a revisão humana nem o registo de decisões: torna ambos mais rápidos. Conheça o anonimizador de PDF.

Checklist para anonimizar documentos em conformidade com o RGPD