O que é um dado pessoal (e o que não é)? Uma explicação prática
Existe muita teoria sobre o que é um dado pessoal. Neste artigo queremos responder a uma pergunta mais concreta: na prática, o que é um dado pessoal?
Porque, no fim, a conformidade com as leis de proteção de dados depende justamente disso: saber quando estamos tratando dados pessoais e quando não.
Não existe uma definição universal
Pode parecer surpreendente, mas não existe uma definição exatamente igual em todas as leis de proteção de dados.
Isso acontece porque os dados são uma representação da realidade, e o que pode identificar uma pessoa muitas vezes depende do contexto.
Ainda assim, quase todas as normas concordam em um ponto central: um dado pessoal é uma informação que diz algo sobre uma pessoa.
O debate aparece quando tentamos responder a outra pergunta:
quando um dado se refere a uma pessoa? A resposta muda conforme a legislação.
O que diz a nova lei chilena
No Chile, a definição será atualizada com a entrada em vigor da Lei 21.719, que estabelece:
“Dado pessoal: qualquer informação vinculada ou referida a uma pessoa natural identificada ou identificável.
Será considerada identificável toda pessoa cuja identidade possa ser determinada, direta ou indiretamente, em particular por meio de um ou mais identificadores, tais como o nome,
o número da cédula de identidade, a análise de elementos próprios da identidade física, fisiológica, genética, psíquica, econômica, cultural ou social dessa pessoa.
Para determinar se uma pessoa é identificável, deverão ser considerados todos os meios e fatores objetivos que razoavelmente poderiam ser usados para tal identificação no momento do tratamento”
Vamos analisar a definição por partes
Analisando os componentes dessa definição:
Refere-se a pessoas naturais: isso exclui as pessoas jurídicas e abrange todas as pessoas naturais. Muitas organizações consideram apenas os clientes como titulares dos dados; com isso fica claro que não é assim, é preciso considerar toda pessoa natural. Atenção: não são só os clientes, é qualquer pessoa.
Informação vinculada ou referida: é qualquer informação, não se limita a algum tipo de informação (a lei apenas estabelece categorias, que analisaremos em outro artigo) que possa ser vinculada a uma pessoa natural. E o que vem a seguir é o ponto central:
Pessoa identificada ou identificável: a lei fala extensamente sobre isso e indica que não é apenas a informação que pode ser associada diretamente a uma pessoa, mas também aquela em que a identidade pode ser determinada indiretamente. Isso não é tão óbvio, já que os dados são contextuais e os dados necessários para identificar alguém dependem desse contexto. Mas a lei diz, sim, que devem ser considerados todos os meios objetivos que razoavelmente poderiam ser usados para tal identificação. E aqui aparece o fator imprescindível no mundo dos dados: o contexto.
Um exemplo da importância do contexto
É evidente que nome e RUT são dados pessoais. Mas vejamos outro caso, mostrado nesta imagem:
Nem o nome nem o RUT foram mencionados.
Mas todas as pessoas presentes sabem exatamente quem é.
Para quem está naquela sala, a pessoa é perfeitamente identificável, porque viram a pessoa. Já quem não está ali não conseguiria identificá-la.
Este exemplo mostra que os dados serem identificáveis ou não depende do contexto em que são usados, ou em que se realiza o tratamento. Ou, dito de outro modo, depende dos dados adicionais disponíveis para saber a que pessoa os dados se referem.
Vejamos um caso real no Chile
Quando apareceu o primeiro caso de COVID no Chile, muitos veículos informaram que era um homem que viajou de Santiago a Talca, sua profissão, onde trabalhava e outras informações adicionais. Nunca disseram o nome dele.
Mas deram elementos suficientes para que muitas pessoas soubessem quem era.
Isso demonstra que mesmo sem nomear alguém, essa pessoa pode ser identificável.
O que é PII? É o mesmo que dado pessoal?
Na literatura — especialmente a norte-americana — o conceito de PII (Personally Identifiable Information) aparece com frequência.
Esse conceito não é exatamente igual ao de dado pessoal.
O PII costuma se referir ao dado que identifica diretamente uma pessoa, por exemplo:
número do seguro social
RUT
número do passaporte
Ou seja, o identificador.
Já na legislação chilena (e também no GDPR europeu), o conceito é mais amplo.
Um dado pessoal pode ser qualquer informação sobre uma pessoa identificada.
Por exemplo:
“Pedro tem uma deficiência.”
A deficiência, por si só, não identifica ninguém.
Mas se sabemos que a deficiência é uma característica do Pedro, ela passa a ser dado pessoal (e sensível).
Vejamos com um exemplo prático
Então, um exemplo prático (com dados fictícios):
Nesta tabela:
O RUT é o identificador (PII).
Esse identificador faz com que todos os demais campos se tornem dados pessoais.
Porque agora sabemos exatamente de quem são a idade, a comuna e a condição de deficiência (e este último é um dado pessoal sensível)
Então, quando você estiver diante de dados pessoais, precisa obrigatoriamente cumprir a lei vigente e deve buscar diminuir o risco (para o titular dos dados e para a organização)
Uma das formas mais eficazes de diminuir o risco é EVITANDO usar dados pessoais. Para isso, é imprescindível perguntar qual é a finalidade do uso do dado pessoal. Se o objetivo é análise estatística, uma boa maneira de baixar o risco é eliminar o identificador.
Por exemplo, excluir a coluna RUT.
Isso reduz o risco de identificar as pessoas.
Mas o risco diminui ainda mais (e chega a desaparecer) se o identificador nunca for coletado (neste caso, o RUT). Então, se não é necessário, é melhor não coletar, e assim o risco diminui na origem.
Então, o que não é dado pessoal?
Se o objetivo é reduzir riscos regulatórios, uma boa prática é trabalhar com dados que não permitam identificar pessoas.
Duas formas comuns são:
Dados anônimos
São dados que não podem ser relacionados a uma pessoa específica.
Exemplo:
“Pessoa de 84 anos mora em Lo Espejo.”
Se não existe forma razoável de identificá-la, não é um dado pessoal.
Dados agregados
São dados que resultam de agrupar múltiplos registros individuais.
Exemplo:
“Em Lo Espejo moram 40.000 pessoas com mais de 80 anos.”
Esse tipo de informação costuma aparecer em censos, estudos estatísticos ou relatórios públicos.
Aqui não é possível identificar ninguém em particular.
A chave: pensar sempre na identificabilidade
O principal aprendizado deste artigo é este:
Não importa apenas o dado em si. Importa se esse dado, ou um conjunto de dados, permite identificar uma pessoa.
Por isso, ao desenhar processos ou sistemas em que usaremos dados pessoais, devemos sempre nos perguntar:
preciso identificar a pessoa?
poderia trabalhar com dados anonimizados?
posso usar dados agregados?
Quanto menos dados forem utilizados, menor será o risco de que possam ser relacionados a uma pessoa e, portanto, menor o risco regulatório e de privacidade.
