Dados pessoais: o teste da «pessoa identificável»

Nos termos do GDPR, os dados pessoais não se limitam a elementos óbvios, como o nome completo ou o número de identificação nacional. Abrangem qualquer informação que permita identificar uma pessoa viva, direta ou indiretamente. Por exemplo, o cargo profissional de uma pessoa, combinado com o seu código postal, pode ser suficiente para a individualizar, mesmo que nunca tenha sabido o seu nome. A distinção essencial é entre os dados que identificam alguém por si só (identificador direto) e os dados que apenas o fazem quando combinados com outros elementos (identificador indireto). Ambos estão abrangidos pelo regulamento.

Um truque frequente nos exames consiste em apresentar um conjunto de dados do qual o nome foi removido, mas que continua a conter um número de trabalhador único ou uma localização GPS precisa. Lembre-se de que qualquer identificador em linha, como um endereço IP ou um ID de cookie, também é abrangido se puder ser associado a uma pessoa. Para não cair numa opção enganadora, pergunte a si próprio: uma pessoa razoável, utilizando as informações disponíveis, conseguiria associar estes dados a uma pessoa singular específica? Se a resposta for sim, são dados pessoais. Tenha também atenção aos dados pseudonimizados — continuam a ser dados pessoais se existir, em algum lugar, a chave que permite a reidentificação.

Um teste mental rápido: imagine que encontra uma folha de cálculo apenas com «Cliente 123» e um histórico de compras. Se também possuir uma lista separada que associe «Cliente 123» a «Jane Smith», então ambos os conjuntos contêm dados pessoais. A partir do momento em que qualquer informação possa ser associada a uma pessoa real, mesmo através de um código ou de uma combinação de elementos, o GDPR é aplicável. Este é o cerne do teste da «pessoa identificável» — concentre-se na associação, não apenas na designação.