O que significa o acórdão do Tribunal de Justiça sobre pseudonimização quando usa IA com dados pessoais?

RGPD e IAÚltima atualização 21 de outubro de 20267 min de leitura

Resposta curta

No processo C-413/23 P (EDPS contra SRB, 4 de setembro de 2025), o Tribunal de Justiça da UE decidiu que os dados pseudonimizados não são, em todos os casos, dados pessoais para quem os recebe. Depende de o destinatário conseguir, de forma realista, saber quem são as pessoas. Para a empresa que tem a chave, os dados continuam a ser dados pessoais e continua a ter de informar os titulares de que, por exemplo, um serviço de IA recebe as informações. O acórdão dá mais valor à pseudonimização – mas só se esta for rigorosa, também no texto livre.

Do que tratava o processo?

O banco espanhol Banco Popular foi objeto de resolução em 2017. A autoridade de resolução da UE, o Conselho Único de Resolução (SRB), pediu depois observações a acionistas e credores. O SRB substituiu os nomes por códigos e enviou as observações a uma empresa de auditoria. A chave que liga os códigos às pessoas ficou com o próprio SRB.

Algumas das pessoas apresentaram queixa: não tinham sido informadas de que a empresa de auditoria receberia as suas observações. A Autoridade Europeia para a Proteção de Dados (EDPS) deu-lhes razão. O caso chegou ao Tribunal de Justiça da UE, que proferiu acórdão a 4 de setembro de 2025.

O que disse o Tribunal?

Três coisas são importantes para quem quer usar IA:

As observações e as apreciações são dados pessoais. Um texto em que uma pessoa dá a sua opinião diz respeito a essa pessoa – mesmo que o nome tenha sido trocado por um código.
Se os dados são pessoais depende de quem os tem. Para o SRB, que tinha a chave, as observações eram dados pessoais. Para a empresa de auditoria, talvez não – se esta não conseguisse, de forma realista, descobrir quem tinha escrito o quê, nem com a chave nem de outra forma.
O dever de informação continua a aplicar-se. O SRB devia ter dito às pessoas que a empresa de auditoria receberia as informações. Isto não depende de os dados serem pessoais para o destinatário.

O Tribunal rejeitou assim a ideia de que os dados pseudonimizados são sempre, e para todos, dados pessoais. Mas disse também que a pseudonimização, por si só, não basta: a proteção tem de impedir realmente o destinatário de encontrar as pessoas.

O que significa quando a sua IA lê dados pessoais?

Pense no seu serviço de IA como a empresa de auditoria do processo. Se enviar currículos ou processos de pessoal pseudonimizados à IA e o fornecedor de IA não conseguir, de forma realista, saber quem são as pessoas, os dados podem ficar fora do RGPD junto do fornecedor. Isso torna a transferência e a escolha do fornecedor menos arriscadas.

Mas o acórdão não muda três coisas:

Para a empresa continuam a ser dados pessoais. Precisa de uma base de licitude e o seu próprio tratamento está abrangido pelo RGPD.
Continua a ter de informar. Os trabalhadores e os candidatos têm de saber que um serviço de IA recebe informações sobre eles. Ver dever de informação no uso de IA.
Tem de ser realisticamente impossível encontrar a pessoa. É aqui que a maioria falha.

O difícil é o texto livre

Um nome é fácil de retirar. É mais difícil com tudo o resto: "a nossa única programadora da filial de Braga, que esteve de baixa após uma operação ao joelho". O nome desapareceu, mas a combinação aponta para uma só pessoa. O fornecedor de IA – ou alguém que obtenha acesso aos seus dados – talvez a consiga encontrar com uma pesquisa.

Por isso, uma pseudonimização rigorosa deve também:

tornar a cidade, a idade e as datas menos precisas (região, faixa etária, intervalo),
ocultar ou generalizar palavras sobre saúde, sindicato, religião e condenações,
verificar se uma pessoa é a única com a sua combinação de, por exemplo, departamento, cargo e antiguidade.

Leia mais sobre a diferença em pseudonimização ou anonimização.

Como a GoalCube ajuda

A GoalCube pseudonimiza os dados da empresa na UE antes de a sua IA os receber, e os nomes reais ficam na GoalCube. Além de nomes, e-mails e números, a GoalCube transforma as cidades do texto livre em regiões e assinala palavras que podem apontar para uma pessoa, por exemplo sobre saúde ou "único …". A empresa escolhe, para cada palavra, se fica como está, se é generalizada ou se é ocultada, e vê o que a IA recebe antes de guardar. Nas tabelas sobre pessoas, a GoalCube mostra quem se destaca.

A GoalCube é uma ferramenta, não aconselhamento jurídico. A deteção de palavras aplica-se a texto em dinamarquês, inglês, alemão, francês, neerlandês, italiano, espanhol, sueco, finlandês, polaco, português e checo. Baseia-se em listas e padrões e pode falhar alguma coisa, por isso deve verificar o que a IA vê.

Como fazer

Pseudonimize antes de os dados saírem da empresa.Nomes, números e e-mails passam a códigos e a chave fica na UE.
Retire o que aponta indiretamente para uma pessoa.A cidade, a saúde, um cargo único ou "a única trabalhadora" podem revelar mais do que um nome.
Limite o que o fornecedor de IA pode fazer.Use um contrato empresarial em que os dados da empresa não são usados para treino e em que o fornecedor não pode tentar reconhecer pessoas.
Informe os titulares dos dados.Escreva na política de privacidade que um serviço de IA recebe informações pseudonimizadas.
Documente a avaliação.Escreva em poucas linhas porque é que o destinatário não consegue, de forma realista, encontrar as pessoas.

O que diz a lei

Tribunal de Justiça da UE, processo C-413/23 P (EDPS contra SRB), 4 de setembro de 2025: Saber se os dados pseudonimizados são dados pessoais para o destinatário depende das possibilidades realistas de este os identificar.
RGPD, artigo 4.º, ponto 5 – pseudonimização: Dados que não podem ser atribuídos a uma pessoa sem informações suplementares, conservadas separadamente.
RGPD, considerando 26: Devem ser tidos em conta todos os meios suscetíveis de ser razoavelmente utilizados para identificar uma pessoa.
RGPD, artigos 13.º e 14.º – dever de informação: Os titulares dos dados devem saber quem recebe as suas informações.

Perguntas e respostas

O acórdão significa que podemos enviar livremente dados pseudonimizados para uma IA?

Não. Para a empresa, os dados continuam a ser pessoais, pelo que precisa de uma base de licitude, de informar os titulares e de ter as transferências sob controlo. O acórdão pode significar que os dados não são pessoais para o fornecedor de IA – se este, de forma realista, não conseguir encontrar as pessoas.

Depois do acórdão, a pseudonimização é o mesmo que a anonimização?

Não. Os dados só são anónimos se ninguém – nem mesmo a empresa – conseguir voltar a encontrar a pessoa. Os dados pseudonimizados continuam a ser dados pessoais para quem tem a chave.

Quando é que o fornecedor de IA consegue, apesar de tudo, encontrar a pessoa?

Se o texto tiver informações indiretas suficientes, por exemplo uma cidade, um cargo raro, uma doença e uma data. Por isso, não basta retirar nomes e números.

O que dizem as autoridades de proteção de dados?

O Comité Europeu para a Proteção de Dados (CEPD) aprovou diretrizes sobre pseudonimização. O Comité tem seguido uma linha mais estrita do que o Tribunal, por isso acompanhe a forma como as autoridades aplicam o acórdão.

O que faz a GoalCube?

A GoalCube pseudonimiza na UE antes de a IA da empresa receber dados. Encontra nomes, e-mails e números, transforma cidades em regiões e assinala palavras sobre, por exemplo, saúde e sindicato, para que a empresa escolha o que a IA vê. A deteção aplica-se a texto em dinamarquês, inglês, alemão, francês, neerlandês, italiano, espanhol, sueco, finlandês, polaco, português e checo, baseia-se em listas e padrões e pode falhar alguma coisa.

Fontes

Escrito por Redação da GoalCube. Última atualização 21 de outubro de 2026. A GoalCube ajuda a sua empresa a cumprir o AI Act e o RGPD. Não é aconselhamento jurídico.

Esteja entre os primeiros.

Esperamos entrar no ar em novembro de 2026. Peça acesso e avisamos quando puder começar.