LGPD aplicada a sistemas, privacy by design, minimização, anonimização e pseudonimização

Do zero

A Lei Geral de Proteção de Dados Pessoais (LGPD, Lei nº 13.709/2018) trata dos dados ligados a uma pessoa identificada ou que pode ser identificada: nome, CPF, endereço, salário, saúde. Ela não proíbe usar esses dados; exige que o uso tenha motivo legítimo, seja o mínimo necessário e seja protegido.

Para quem constrói sistemas, a lei vira quatro hábitos de projeto:

• Privacidade desde a concepção (privacy by design): pensar na proteção dos dados quando o sistema ainda está no papel, e não remendar depois. É como projetar a casa já com a tubulação, em vez de quebrar a parede para passar o cano.
• Privacidade por padrão (privacy by default): a configuração de fábrica é a mais protetora. O campo opcional vem desmarcado; o dado sensível fica escondido até que alguém com permissão peça para ver.
• Minimização: coletar e guardar só o que a finalidade exige. Se o sistema de inscrição num curso não precisa do estado civil, não pergunte.
• Anonimizar ou pseudonimizar: quando o nome não importa (numa estatística, num ambiente de testes), tirar ou esconder o que identifica a pessoa.

A diferença entre as duas últimas é o ponto mais cobrado. Anonimizar é apagar o caminho de volta: com os meios técnicos razoáveis, ninguém consegue mais descobrir quem é a pessoa. Pseudonimizar é trocar o nome por um código e guardar a tabela de tradução num cofre: quem tem a chave volta à pessoa.

Frase para guardar: dado anonimizado deixa de ser dado pessoal; dado pseudonimizado continua sendo, porque ainda dá para voltar à pessoa.

Em 1 minuto

As regras abaixo vêm do texto vigente da LGPD (fontes/leis/lei-13709-2018-lgpd.txt).

• Conceitos (art. 5º): dado pessoal (I), dado sensível (II: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, saúde, vida sexual, dado genético ou biométrico), dado anonimizado (III), titular (V), controlador (VI, quem decide), operador (VII, quem trata em nome do controlador), encarregado (VIII, canal entre o controlador, os titulares e a ANPD), tratamento (X), anonimização (XI), bloqueio (XIII), eliminação (XIV), relatório de impacto (XVII).
• ANPD (art. 55-A, redação da Lei nº 15.352/2026): hoje é a Agência Nacional de Proteção de Dados, autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública. A lei continua a chamá-la de “autoridade nacional” (art. 5º, XIX).
• Princípios (art. 6º): finalidade, adequação, necessidade (o mínimo necessário, base da minimização), livre acesso, qualidade, transparência, segurança, prevenção, não discriminação, responsabilização e prestação de contas.
• Bases legais (art. 7º): o tratamento só ocorre em uma das hipóteses da lei, como consentimento, obrigação legal e execução de políticas públicas pela administração. Para dados sensíveis, as hipóteses são mais restritas (art. 11).
• Anonimizados (art. 12): não são dados pessoais, salvo se a anonimização for revertida com meios próprios ou puder ser revertida com esforços razoáveis.
• Pseudonimização (art. 13, § 4º): o dado perde a associação a um indivíduo, “senão pelo uso de informação adicional mantida separadamente pelo controlador em ambiente controlado e seguro”. A definição fica no artigo dos estudos em saúde pública (“para os efeitos deste artigo”), mas é a única que a lei dá.
• Eliminação (art. 16): terminado o tratamento, os dados são eliminados, salvo para obrigação legal (I), estudo por órgão de pesquisa, anonimizado sempre que possível (II), transferência a terceiro que respeite a lei (III) ou uso exclusivo do controlador, sem acesso de terceiro e com dados anonimizados (IV).
• Direitos do titular (arts. 18 e 19): o sistema precisa permitir confirmar o tratamento, dar acesso, corrigir e anonimizar, bloquear ou eliminar dados desnecessários ou excessivos (art. 18, I a IV); os dados devem ficar em formato que favoreça o acesso (art. 19, § 1º).
• Segurança desde a concepção (art. 46, § 2º): as medidas de segurança devem ser observadas “desde a fase de concepção do produto ou do serviço até a sua execução”. É a base legal do privacy by design. O dever de segurança continua mesmo após o término do tratamento (art. 47).
• Privacy by design e by default: a LGPD não usa esses nomes. O apoio legal está na segurança desde a concepção (art. 46, § 2º), no princípio da necessidade (art. 6º, III) e na estrutura dos sistemas (art. 49).
• Incidentes (art. 48): o controlador comunica à ANPD e ao titular o incidente que possa causar risco ou dano relevante; na avaliação da gravidade, conta se os dados estavam ininteligíveis para terceiros, cifrados, por exemplo (§ 3º).
• Sistemas (art. 49): devem ser estruturados para atender aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios da lei.
• Registro (art. 37): controlador e operador mantêm registro das operações de tratamento.
• Relatório de impacto (art. 5º, XVII, e art. 38): a ANPD pode determinar ao controlador que o elabore; no mínimo, descreve os dados coletados, a metodologia de coleta e de segurança e as medidas de mitigação de risco.

Exemplo concreto: o painel de remunerações e o ambiente de testes

O Tribunal vai publicar um painel estatístico sobre a remuneração dos servidores municipais (médias e faixas, não a lista nominal) e, ao mesmo tempo, criar um ambiente de testes para o sistema de folha.

No painel (dados para estatística):

O cuidado: mesmo sem nome, uma combinação rara (único procurador do município, 62 anos) reidentifica a pessoa. Se for possível reverter com esforço razoável, o dado continua pessoal (art. 12).

No ambiente de testes (dados que precisam manter a ligação):

Produção:  CPF 123.456.789-09  →  Teste:  PESSOA-8F3A21
Tabela de correspondência guardada à parte, com acesso restrito (pseudonimização)

Os testes funcionam com registros coerentes, e só quem tem acesso à tabela volta à pessoa. É pseudonimização (art. 13, § 4º): o dado continua pessoal e protegido pela lei.

A armadilha do hash: trocar o CPF por um SHA-256 simples parece anonimizar, mas não anonimiza. O CPF tem 11 dígitos, mas só os 9 primeiros variam livremente (os dois últimos são verificadores, calculados a partir deles): cerca de um bilhão de combinações. Um computador comum calcula o hash de todas elas em pouco tempo e desfaz a troca. Para pseudonimizar com segurança, usa-se um HMAC com chave secreta guardada à parte, ou tokenização com uma tabela protegida.

Privacy by design e by default no sistema: o formulário só pede o que a finalidade exige (necessidade); os campos de saúde ficam cifrados no banco e mascarados na tela; o perfil padrão de um usuário novo não vê dados pessoais; os logs registram o acesso sem gravar o dado; e há uma rotina de eliminação quando o prazo de guarda acaba (art. 16).

Comparação: anonimização × pseudonimização e as técnicas

Como a FCC cobra

• Controlador, operador e encarregado (art. 5º).
• Dados sensíveis (art. 5º, II, e art. 11).
• Comunicação de incidentes (art. 48).
• Técnicas de anonimização e por que hash simples não anonimiza.
• Eliminação dos dados ao fim do tratamento (art. 16).

Pegadinhas

Explique com suas palavras

Explique a um colega desenvolvedor a diferença entre anonimizar e pseudonimizar, e por que trocar o CPF por um hash SHA-256 não resolve.

1. Escreva sem olhar a lição, com frases curtas e um exemplo seu.
2. Onde travar ou precisar de jargão, há uma lacuna: releia só essa parte.
3. Compare com a explicação-modelo e reescreva o que faltou.

Sua explicação

Fica salva neste navegador.

Comparar com uma explicação-modelo

Anonimizar é tirar dos dados qualquer jeito razoável de descobrir quem é a pessoa: tirar o nome e o CPF, trocar a idade por uma faixa, juntar grupos pequenos. Feito direito, o dado deixa de ser pessoal. Pseudonimizar é trocar o que identifica por um código e guardar, num lugar protegido, a tabela que liga o código à pessoa. Serve para testes e análises que precisam reconhecer a mesma pessoa em vários registros, mas o dado continua pessoal, porque quem tem a tabela volta ao nome.

O hash do CPF engana porque parece embaralhado, mas não há segredo nenhum: qualquer um pode calcular o hash de todos os CPFs possíveis, que são cerca de um bilhão, e comparar. Em pouco tempo descobre de quem é cada hash. Para pseudonimizar de verdade, é preciso uma chave secreta guardada à parte, como num HMAC, ou uma tabela de tokens protegida.

Teste-se

Mais duas questões deste tópico estão em Questões.

Flashcards gerados

Ligação com o estudo de caso

O guia aposta num caso de sistema ou API para jurisdicionados com LGPD; a questão-modelo pede medidas para os dados da folha que as prefeituras enviam ao Tribunal. Responda com medidas concretas e cite a lei: minimização dos campos (art. 6º, III), base legal de obrigação legal ou de política pública (art. 7º, II e III), tratamento para a finalidade pública e as competências legais do Tribunal (art. 23), dados pseudonimizados nos ambientes de teste (art. 13, § 4º), anonimização nos dados abertos (arts. 5º, XI, e 12), cifragem e controle de acesso desde a concepção (art. 46, § 2º), registro das operações (art. 37), eliminação ao fim do prazo (art. 16) e plano de resposta a incidentes com comunicação à ANPD (art. 48).

Fontes da lição

• Edital nº 01/2026, Anexo II, Legislação Aplicada à Tecnologia da Informação (fontes/edital-01-2026.txt).
• Lei nº 13.709, de 14 de agosto de 2018 (LGPD), texto compilado vigente, arts. 5º, 6º, 7º, 11, 12, 13, 16, 18, 19, 23, 37, 38, 39, 46 a 49 e 55-A (fontes/leis/lei-13709-2018-lgpd.txt, obtido no normas.leg.br em 04/11/2026).
• Ann Cavoukian, “Privacy by Design: The 7 Foundational Principles” (2009).