Dados pessoais

Explicando de forma simples

Dado pessoal é qualquer informação ligada a uma pessoa que pode ser reconhecida por ela. A lei fala em “pessoa natural”, que é só um jeito formal de dizer um ser humano de carne e osso — você, eu, o seu vizinho. Não é empresa, não é loja: é gente.

O ponto mais importante é este: o dado é pessoal quando aponta para uma pessoa identificada ou identificável. “Identificada” é fácil de entender — é quando a informação já vem com nome e sobrenome. Mas a lei vai além e também protege quando a pessoa é apenas identificável, ou seja, quando dá para chegar até ela juntando informações.

Por isso, dado pessoal não é só o seu nome. Também são o seu CPF, o seu e-mail, o seu telefone, o seu endereço, a sua foto, a placa do seu carro. E, dependendo do contexto, podem ser também coisas que parecem “técnicas”, como o número de IP do seu computador, a sua localização no mapa ou os cookies que seguem você na internet — sempre que essas informações permitirem chegar a você.

Exemplo do dia a dia

Imagine uma planilha que não tem o seu nome. Tem só: “morador da rua tal, número 30, casa azul, que dirige um carro vermelho e trabalha na padaria da esquina”.

Repare que nenhuma dessas informações, sozinha, diz quem você é. Mas, juntando todas elas, qualquer pessoa do bairro consegue apontar para você sem errar. Isso é a identificação indireta: pedaços que, combinados, levam até uma pessoa.

E é exatamente por isso que tirar o nome de uma lista nem sempre “protege” os dados. Se o resto das informações ainda permite descobrir de quem se trata, continua sendo dado pessoal — e continua protegido pela lei.

Quando um dado deixa de ser pessoal

Existe uma forma de um dado deixar de ser pessoal: a anonimização. É quando se usam meios técnicos para que a informação perca a ligação com a pessoa, de modo que não dá mais para saber de quem ela é. Um dado realmente anonimizado não é considerado dado pessoal.

Mas atenção, porque aqui mora um engano comum: isso só vale enquanto a anonimização não puder ser desfeita. A lei diz que, se o processo puder ser revertido com esforços razoáveis — usando os meios técnicos disponíveis na época —, o dado volta a ser considerado dado pessoal. Ou seja, “anonimizar mal” não tira a proteção.

E há um outro termo que costuma ser confundido com anonimização, mas é diferente: a pseudonimização. Nela, troca-se a sua identificação por um código, mas existe uma “chave” guardada à parte que permite ligar o dado de volta a você. Justamente porque ainda é possível chegar à pessoa, o dado pseudonimizado continua sendo dado pessoal e segue protegido pela lei. Resumindo: anonimizado de verdade sai da proteção; pseudonimizado, não.

O que você pode fazer?

• Encare como dado pessoal não só o seu nome, mas tudo o que possa levar até você: CPF, e-mail, telefone, endereço, foto, placa e, conforme o caso, IP, localização e cookies.
• Lembre que juntar informações soltas pode identificar uma pessoa. Por isso, cuidado ao espalhar pedaços de informação que, somados, apontem para você ou para alguém.
• Desconfie da promessa de que “tiramos o seu nome, então está tudo anônimo”. Só é anônimo de verdade se não houver como descobrir de quem é o dado.
• Saiba que dado apenas “codificado”, com uma chave guardada que permite voltar a você (pseudonimizado), ainda é dado pessoal e tem proteção.
• Como titular desses dados, você tem direitos sobre eles — e pode questionar quem os usa de forma indevida.

Resumo

Dado pessoal é qualquer informação ligada a uma pessoa que possa ser identificada, direta ou indiretamente — inclusive quando se chega a ela juntando pedaços de informação. Um dado só deixa de ser pessoal se for de fato anonimizado e isso não puder ser revertido; se a “anonimização” puder ser desfeita, ou se for apenas pseudonimização (com uma chave guardada à parte), o dado continua sendo pessoal e continua protegido.