Definição de dados pessoais
Dados pessoais são informações relacionadas a uma pessoa identificada ou identificável. Em geral, “identificável” inclui situações em que os dados podem ser vinculados a alguém por meio de meios razoáveis (por exemplo, por um identificador ou por combinações de informações). O ponto central é a ligação entre a informação e a pessoa, direta ou indiretamente.
Como funcionam na prática (um modelo simples)
Pense em dados pessoais passando por um ciclo básico:
- Coleta: obter informações do titular (por formulários, registros, logs, cadastros ou interações).
- Uso para finalidade: aplicar essas informações para objetivos específicos (como autenticação, atendimento, estatísticas ou gestão de conta).
- Armazenamento e acesso: manter os dados por um período determinado e permitir que pessoas/sistemas autorizados os consultem.
- Compartilhamento: trocar dados com terceiros quando isso é necessário ao serviço ou exigido por obrigações legais.
- Retenção e exclusão: manter apenas o que for pertinente ao propósito e depois remover quando não for mais necessário.
Mesmo sem “venda” explícita, esse ciclo costuma envolver decisões técnicas (quais campos coletar, por quanto tempo guardar e quem pode acessar). Por isso, entender dados pessoais é, também, entender o contexto de uso, não apenas a lista de campos.
Limitações e diferenças importantes
Nem todo dado “numérico” ou “técnico” vira dado pessoal automaticamente. A qualificação depende de fatores como:
- Possibilidade real de identificação: se, no contexto, existe uma forma plausível de vincular a informação a uma pessoa. Se a vinculação for impossível ou impraticável, pode não haver dado pessoal.
- Contexto e combinação: um único dado pode ser pouco informativo, mas uma combinação (por exemplo, identificadores + horários + comportamento) pode tornar a pessoa identificável.
- Pseudonimização: quando há identificação substituída por um identificador, ainda pode ser dado pessoal se houver meios para reverter ou vincular o pseudônimo ao titular.
- Anônimos de forma efetiva: quando não restam caminhos razoáveis para identificar alguém, a informação deixa de se tratar como dado pessoal. Contudo, “anonimização” exige avaliação cuidadosa.
- Finalidade e proporcionalidade: tratar dados além do necessário para a finalidade pretendida tende a aumentar o risco e a complexidade do enquadramento.
Verificações práticas para o leitor
Você pode checar se algo é “dado pessoal” com perguntas objetivas:
- Identifica alguém? A informação aponta diretamente para uma pessoa (nome, e-mail, identificador de conta etc.)?
- Identifica indiretamente? Dá para vincular a informação a um titular usando meios disponíveis no contexto?
- Faz sentido combinar? A pessoa se torna identificável quando você junta esta informação com outras que também estão sendo tratadas?
- Quem tem as chaves? Se existe pseudonimização, quem consegue ligar de volta ao titular e por quais meios?
- Que finalidade orienta o uso? A coleta e o tratamento têm um objetivo específico e compatível com o que é necessário?
Como limite importante, vale lembrar que definições e regras podem variar conforme a legislação aplicável e o enquadramento do controlador/operador. Se você precisa de certeza para um caso específico, a interpretação jurídica pode mudar conforme o contexto, a jurisdição e os detalhes do tratamento.
Conceitos relacionados que ajudam a enquadrar
Para não confundir termos parecidos, observe três conceitos que costumam aparecer junto:
- Titular: a pessoa a quem os dados se referem.
- Controlador e operador (ou equivalentes): quem decide as finalidades e meios do tratamento, e quem executa o tratamento por conta de outra parte.
- Tratamento: qualquer operação ligada aos dados, como coletar, registrar, organizar, armazenar, consultar, usar, compartilhar, excluir ou restringir.
Esses conceitos ajudam a entender responsabilidades e “quem faz o quê”. Na prática, a mesma informação pode ter efeitos diferentes dependendo de quem decide o tratamento e de como ela é usada.