Definição de dados pessoais: o que Breyer e EDPS v SRB realmente mudaram

O mesmo ficheiro pode ser dado pessoal para si e não para o seu subcontratante

O Tribunal de Justiça afirmou-o em 2016 e confirmou-o em 2025. A maioria dos mapas de dados, dos contratos com subcontratantes e das alegações de anonimização foi construída com base no pressuposto contrário. Eis o que a jurisprudência efectivamente estabelece e o que isso implica para o seu âmbito de aplicação.

Índice

1. O que exige efectivamente o artigo 4.º, n.º 1, do GDPR?
2. O que decidiu o TJUE no acórdão Breyer, C-582/14?
3. Significa Breyer que qualquer pessoa pode identificar, logo tudo são dados pessoais?
4. O que mudou entre 2016 e 2025?
5. O que ficou definido em EDPS v SRB, C-413/23 P, em setembro de 2025?
6. Os dados pseudonimizados são sempre dados pessoais?
7. Por que razão o Digital Omnibus torna a jurisprudência mais importante, e não menos
8. O que muda isto no seu registo das atividades de tratamento?
9. Ainda é necessário um DPA com um subcontratante que não consegue identificar ninguém?
10. Os endereços IP e os registos de segurança são dados pessoais?
11. O teste das quatro perguntas a aplicar a cada fluxo de dados
12. Por que razão defendo um âmbito mais restrito ao mesmo tempo que argumento por um mais alargado
13. O que permanece em aberto

Os pontos essenciais

• Dados pessoais não são uma propriedade de um conjunto de dados. São uma propriedade da relação entre um conjunto de dados e quem o detém. O TJUE confirmou-o expressamente em EDPS v SRB (C-413/23 P, 4 de setembro de 2025). Dados suficientemente pseudonimizados podem ser dados pessoais para o responsável pelo tratamento que os originou e dados não pessoais para um destinatário que não os consegue reverter. Os mesmos bytes, dois titulares, dois estatutos jurídicos.
• Breyer (C-582/14, 19 de outubro de 2016) não diz o que a maioria das pessoas pensa que diz. Não estabelece que a identificação por qualquer pessoa, em qualquer lugar, torna os dados pessoais. Estabelece que a peça em falta pode estar na posse de um terceiro, desde que o titular dos dados disponha de um meio "razoavelmente suscetível de ser utilizado" para a obter. O Tribunal excluiu expressamente a identificação proibida por lei ou que exija um esforço desproporcionado em termos de tempo, custo e recursos humanos.
• Em Breyer, o que fez a diferença foi a existência de uma via legal concreta. O operador do sítio web registava endereços IP precisamente para poder perseguir atacantes, e existiam canais legais para obter os dados do assinante junto do fornecedor de serviços de internet. O propósito criou a via. A via criou o âmbito.
• Isto rompe com uma década de prática das autoridades de supervisão. As autoridades de proteção de dados tratavam os dados pseudonimizados como invariavelmente pessoais. Essa posição já não reflete o entendimento do Tribunal.
• O legislador tentou codificar a abordagem relativa e não o conseguiu. O Digital Omnibus propôs um novo parágrafo ao artigo 4.º, n.º 1, em novembro de 2025. O EDPB e o EDPS opuseram-se no Parecer Conjunto 2/2026. O texto de compromisso do Conselho, de 20 de fevereiro de 2026, suprimiu-o. A presidência cipriota retirou o seu texto do COREPER II no final de junho de 2026 por falta de maioria qualificada. A jurisprudência é o único padrão operativo.

Uma organização que auditei no ano passado mantinha uma única linha no seu registo de atividades de tratamento para toda a sua cadeia de telemetria do produto. Categoria: dados técnicos. Dados pessoais: não.

A cadeia recolhia identificadores de dispositivos, tokens de sessão e endereços IP. Enviava-os para um fornecedor de análise. O fornecedor não conseguia identificar ninguém, e essa era a razão declarada para o «não».

Dois problemas, em sentidos opostos.

O primeiro: a própria empresa conseguia identificar quase todas essas sessões, porque detinha a base de dados de contas à qual o token de sessão estava mapeado. Nas suas próprias mãos, esses dados eram claramente pessoais. O registo estava errado.

O segundo, e o mais interessante: o registo estava também errado relativamente ao fornecedor, e errado na direção contrária. Ninguém tinha alguma vez avaliado se esse fornecedor conseguia chegar a uma pessoa. Ninguém tinha registado por que razão não. A empresa chegou à conclusão certa sobre o fornecedor por acidente e não conseguia defendê-la.

Uma linha numa folha de cálculo, dois erros, a apontar em sentidos opostos. É o que acontece quando se trata «dados pessoais» como uma propriedade do ficheiro em vez de uma propriedade do titular.

O Tribunal de Justiça resolveu esta questão. Duas vezes. Quase ninguém fora da comunidade jurídica da privacidade leu qualquer dos dois acórdãos.

O que exige efectivamente o artigo 4.º, n.º 1, do GDPR?

Dados pessoais designam qualquer informação relativa a uma pessoa singular identificada ou identificável.

Toda a gente para em «identificada». Toda a dificuldade está em «identificável».

O considerando 26 fornece o teste. Devem ser tidos em conta todos os meios razoavelmente suscetíveis de ser utilizados, pelo responsável pelo tratamento ou por outra pessoa, para identificar o titular dos dados, direta ou indiretamente.

Duas expressões nessa frase fazem todo o trabalho, e puxam em sentidos opostos.

«Ou por outra pessoa» alarga o âmbito. A identificação não tem de ser algo que se consiga realizar sozinho.

«Razoavelmente suscetíveis de ser utilizados» restringe-o de novo. A mera possibilidade teórica não é suficiente.

Todos os acórdãos da última década são o Tribunal a calibrar entre essas duas expressões. Citar uma sem a outra levará a uma resposta errada, em qualquer das direções que seja conveniente.

O que decidiu o TJUE no acórdão Breyer, C-582/14?

Patrick Breyer, político alemão e ativista da privacidade, visitou sítios web geridos por instituições federais alemãs. Esses sítios registavam os endereços IP dos visitantes, juntamente com as páginas acedidas, os termos de pesquisa introduzidos, os registos temporais e os volumes de dados. O objetivo declarado era a defesa contra ciberataques e a possibilidade de instaurar procedimentos criminais ulteriores.

Breyer pretendia que o registo fosse interrompido. O processo chegou ao Bundesgerichtshof, que submeteu uma questão ao Tribunal de Justiça.

A questão submetida é a parte mais relevante. O endereço IP de Breyer era dinâmico. Mudava a cada ligação. Isolado num registo de servidor web federal, não identificava ninguém. Apenas o fornecedor de serviços de internet detinha o registo do assinante capaz de associar esse endereço, naquele momento, a uma pessoa.

Portanto: é um endereço IP dinâmico um dado pessoal nas mãos do operador do sítio web, quando o operador não consegue identificar ninguém e um terceiro detém a metade em falta?

O Tribunal respondeu afirmativamente, com condições.

Declarou que não é necessário que toda a informação que permite a identificação esteja na posse de uma só pessoa. As informações na posse de um terceiro podem ser tidas em conta.

Mas não automaticamente. O teste estabelecido pelo Tribunal consistia em saber se a possibilidade de combinar o endereço IP com os dados adicionais do fornecedor de serviços de internet constitui um meio razoavelmente suscetível de ser utilizado para identificar a pessoa.

E delimitou a fronteira expressamente. Tal não seria o caso quando a identificação é proibida por lei, ou praticamente impossível porque exige um esforço desproporcionado em termos de tempo, custo e recursos humanos, de modo que o risco de identificação é, na prática, insignificante.

O que fez a diferença no processo não foi a abstração. Foi um facto concreto. Como o operador registava precisamente para responder a ciberataques, existiam canais legais através dos quais podia contactar a autoridade competente e obter os dados do assinante. A via existia, era lícita, era utilizável. Por isso, o endereço IP era um dado pessoal nas mãos do operador.

O próprio propósito do operador foi o que criou a via.

Significa Breyer que qualquer pessoa pode identificar, logo tudo são dados pessoais?

Não. E esta é a leitura que mais danos causou.

A versão popular de Breyer diz: a identificação não tem de ser feita por si, pode ser feita por qualquer pessoa, logo praticamente todos os dados são dados pessoais.

Isso transforma o teste num teste absoluto, e o Tribunal recusou expressamente essa via. Breyer é um teste relativo com uma extensão a terceiros. A extensão é real. O teste permanece relativo e continua a estar condicionado tanto pela razoabilidade como pela licitude.

A versão defensável numa única frase:

As peças não têm de estar nas mãos do mesmo titular. Mas é necessário dispor de um meio de aceder à peça em falta que seja simultaneamente razoável e lícito.

É uma frase muito diferente de «qualquer pessoa, em qualquer lugar, logo tudo». Uma delas fará com que seja convidado a sair de uma reunião de definição de âmbito.

O que mudou entre 2016 e 2025?

Breyer deixou uma lacuna. Confirmou que as informações de terceiros relevam, mas não resolveu o que acontece quando um titular específico genuinamente não as consegue obter.

Essa lacuna foi colmatada lentamente. O Tribunal reafirmou o amplo alcance da vertente «relativa a» em IAB Europe (C-604/22). Reafirmou a fronteira do risco insignificante em OC v Commission (2024): os meios de identificação não são razoavelmente suscetíveis de ser utilizados quando a identificação é proibida por lei ou exige um esforço desproporcionado.

Entretanto, as autoridades de supervisão mantiveram uma posição muito mais rígida na prática. Durante anos, a posição de trabalho foi a de que os dados pseudonimizados são sempre dados pessoais, ponto final. Existe uma chave em algum lado, logo os dados são pessoais para todos os que os tratam.

Essa posição tinha a vantagem de ser simples de aplicar. Tinha também um defeito. Não era o que o Tribunal tinha dito.

O que ficou definido em EDPS v SRB, C-413/23 P, em setembro de 2025?

O Banco Popular Español entrou em colapso em 2017. O Conselho Único de Resolução tinha de determinar se os antigos acionistas e credores tinham direito a indemnização. Realizou uma consulta no âmbito do direito de audiência e recolheu comentários escritos das partes afetadas.

O SRB enviou depois esses comentários à Deloitte para efeitos de avaliação. Removeu previamente as informações identificadoras. A Deloitte recebeu um conjunto de dados pseudonimizados e nunca recebeu a chave.

As partes interessadas apresentaram queixa à Autoridade Europeia para a Proteção de Dados. O EDPS considerou que os comentários permaneciam dados pessoais nas mãos da Deloitte, porque o SRB conservava a capacidade de reidentificação. A Deloitte era, portanto, um destinatário de dados pessoais, e o SRB omitiu a sua identificação na declaração de privacidade.

O Tribunal Geral anulou essa decisão em abril de 2023 (T-557/20), considerando que a identificabilidade deve ser avaliada na perspetiva do destinatário. O EDPS recorreu.

Em 4 de setembro de 2025, o Tribunal de Justiça anulou o acórdão do Tribunal Geral e, ao fazê-lo, enunciou três afirmações distintas que não devem ser confundidas.

Primeira. As opiniões são dados pessoais pela sua própria natureza. O Tribunal divergiu do Tribunal Geral quanto à vertente «relativa a». As opiniões e pontos de vista pessoais, enquanto expressão do pensamento de uma pessoa, estão inerentemente ligados ao seu autor. Não é necessária qualquer análise de conteúdo, finalidade ou efeito. Campos de texto livre, comentários a inquéritos, relatórios de incidentes redigidos com as palavras do próprio autor: estes dados dizem respeito ao seu autor automaticamente.

Segunda. «Pessoal» não é uma característica absoluta dos dados. Dados suficientemente pseudonimizados podem constituir dados pessoais para o responsável pelo tratamento que os originou sem constituírem dados pessoais para um destinatário que não consegue reverter a pseudonimização nem identificar por qualquer outro meio razoavelmente suscetível de ser utilizado. O mesmo conjunto de dados, dois titulares, dois estatutos. O Tribunal rejeitou expressamente o argumento do EDPS de que uma avaliação relativa restringiria indevidamente o conceito e enfraqueceria a proteção.

Terceira. A transparência é, não obstante, avaliada no momento da recolha, na perspetiva do responsável pelo tratamento. O SRB perdeu ainda assim no ponto que lhe interessava. Para a obrigação de informar os titulares dos dados sobre os destinatários, a identificabilidade é avaliada na perspetiva do responsável pelo tratamento no momento da recolha. Não é possível recolher dados, guardar silêncio sobre para quem se pretende enviá-los, e depois alegar que a pseudonimização tornou desnecessária a divulgação do destinatário.

A terceira declaração é a que as pessoas ignoram quando se entusiasmam com a segunda. Não a ignore. É a que lhe vai custar uma não conformidade.

Os dados pseudonimizados são sempre dados pessoais?

Não, e esta é a rutura prática.

Durante anos, o pressuposto de trabalho era afirmativo, invariavelmente, em todas as mãos. EDPS v SRB é o primeiro acórdão em que o Tribunal declarou expressamente o contrário.

A formulação correta tem agora três partes.

Para o responsável pelo tratamento que detém a chave, os dados pseudonimizados são dados pessoais. A pseudonimização é uma medida de segurança, não uma saída do âmbito de aplicação.

Para um destinatário que não detém a chave e não dispõe de qualquer outro meio razoavelmente suscetível de ser utilizado, os mesmos dados podem ficar totalmente fora da definição.

E o ónus de demonstrar esta segunda proposição recai sobre si. Exige uma avaliação escrita que identifique o titular, os meios disponíveis para esse titular e por que razão o risco residual de reidentificação é insignificante.

Se construiu o seu mapa de dados com base em «pseudonimizado equivale a pessoal, em todo o lado, sempre», o seu mapa descreve agora uma regra que já não existe.

Por que razão o Digital Omnibus torna a jurisprudência mais importante, e não menos

Em 19 de novembro de 2025, a Comissão Europeia publicou o Digital Omnibus, o maior conjunto de alterações propostas ao GDPR desde que o regulamento começou a ser aplicado. Entre elas, um novo parágrafo no artigo 4.º, n.º 1, codificando a abordagem relativa quase palavra por palavra: a informação não seria pessoal para uma determinada entidade quando essa entidade não conseguisse identificar a pessoa tendo em conta os meios razoavelmente suscetíveis de ser utilizados por essa entidade, e não se tornaria pessoal pelo simples facto de um destinatário subsequente dispor desses meios.

Não sobreviveu.

Em 10 de fevereiro de 2026, o EDPB e o EDPS adotaram o Parecer Conjunto 2/2026, instando os co-legisladores a não adotar as alterações ao artigo 4.º, n.º 1, tal como redigidas. Os seus fundamentos: a proposta vai muito além de uma alteração específica ou técnica, não reflete com rigor a jurisprudência do Tribunal e é suscetível de aumentar a incerteza jurídica em vez de a reduzir.

O texto de compromisso do Conselho de 20 de fevereiro de 2026, circulado pela presidência cipriota, suprimiu integralmente a definição revista, bem como a proposta de alargamento da definição de investigação científica e as alterações ao artigo 22.º.

E o processo não ficou resolvido desde então. No final de junho de 2026, a presidência cipriota retirou o seu texto de compromisso do processo de aprovação do COREPER II, após se ter tornado claro que não reunia uma maioria qualificada entre os Estados-Membros. O Conselho passou para a presidência irlandesa em 1 de julho de 2026 sem uma posição consolidada. A componente relativa à IA do pacote foi adotada pelo Conselho em 29 de junho de 2026. A componente relativa aos dados, que abrange o GDPR, a ePrivacy, o NIS2 e o DORA, permanece em negociação, sem que se preveja realisticamente a adoção final antes do final de 2026.

Leia a sequência com atenção. O legislador tentou escrever o que o Tribunal já havia decidido. Os reguladores disseram-lhe que a redação distorcia a jurisprudência. O legislador recuou.

O que significa que a jurisprudência é o direito. Breyer mais EDPS v SRB é o seu padrão operativo hoje, e não há nenhum atalho legislativo a caminho que faça a análise por si.

O que muda isto no seu registo das atividades de tratamento?

A maioria dos registos de atividades de tratamento tem uma única coluna: este tratamento envolve dados pessoais, sim ou não.

Essa coluna pressupõe uma propriedade absoluta. Essa propriedade não existe.

A estrutura honesta é por fluxo e por actor. Isto são dados pessoais para nós? São dados pessoais para a entidade a quem os enviamos? O que concretamente faz a diferença.

Duas consequências, e correm em sentidos opostos, o que explica por que ninguém as apanha ambas.

Provavelmente tem o âmbito demasiado alargado nalgum ponto, aplicando todo o mecanismo do GDPR a conjuntos de dados genuinamente não pessoais nas mãos da entidade que os detém. Isso representa custo e fricção sem qualquer benefício de proteção.

Quase certamente tem o âmbito demasiado restrito noutro ponto, tratando como anónimo algo para o qual uma via lícita de acesso à peça em falta existe de forma evidente. Breyer é o acórdão que o apanha aí, e apanha as equipas de segurança com mais frequência do que qualquer outra.

Ainda é necessário um DPA com um subcontratante que não consegue identificar ninguém?

Se um destinatário genuinamente não consegue identificar ninguém, tendo em conta todos os meios razoavelmente suscetíveis de ser utilizados, então nas mãos desse destinatário os dados não são dados pessoais, e o artigo 28.º não lhe é aplicável enquanto tal.

Não estou a dizer-lhe que rescinda os seus contratos com subcontratantes, e quero ser preciso sobre o porquê.

A avaliação é uma fotografia de um momento. Os conjuntos de dados são enriquecidos. Os colaboradores transitam entre organizações. Um destinatário que hoje não consegue identificar ninguém pode adquirir os meios amanhã através de uma aquisição não relacionada ou de uma compra de dados não relacionada. Os compromissos contratuais fazem também parte do que torna a reidentificação legalmente impossível, que é uma das próprias balizas do Tribunal. Elimine o contrato e pode eliminar precisamente o que mantinha os dados fora do âmbito.

O que lhe estou a dizer é que deixe de os assinar por reflexo e passe a ser capaz de declarar, num único parágrafo, por que razão este destinatário está ou não no âmbito e o que mudaria essa conclusão.

Esse parágrafo é o artefacto que um auditor deve solicitar. Na minha experiência, quase nenhum o faz.

Os endereços IP e os registos de segurança são dados pessoais?

É aqui que Breyer morde com mais força, e onde as funções de segurança estão mais expostas, porque somos nós quem gera os dados.

Registos de servidores web. Registos de VPN e firewall. Telemetria EDR. Identificadores de dispositivos. Enriquecimento SIEM. Feeds de threat intelligence contendo endereços IP e nomes de conta.

O raciocínio de Breyer aplica-se a tudo isto diretamente, e o fator agravante é o nosso próprio propósito declarado. Conservamos esses registos precisamente para poder atribuir responsabilidade quando algo acontece. Esse propósito é o que estabelece uma via lícita de identificação. O governo alemão perdeu Breyer em parte por causa do motivo pelo qual estava a registar.

Portanto, o argumento «estes são apenas IPs, são dados técnicos, não são pessoais» não tem qualquer viabilidade num contexto de segurança. O seu próprio propósito deita-o abaixo.

Isso não significa parar de registar. Breyer confirmou que o interesse legítimo está disponível precisamente para este fim. Significa registar com uma base jurídica declarada, um período de retenção que se consiga defender e uma nota de privacidade que reflita o que efetivamente se faz.

O teste das quatro perguntas a aplicar a cada fluxo de dados

Por actor, por fluxo. Nunca por conjunto de dados.

1. Quem o detém? Identifique a entidade específica. Responsável pelo tratamento, subcontratante, subcontratante de segundo nível, destinatário. Se não conseguir identificá-la, não consegue fazer a avaliação.

2. Qual é a peça em falta e onde está? Identifique a informação adicional necessária para associar os dados a uma pessoa e identifique quem a detém.

3. Existe uma via razoável e lícita para aceder a essa peça? Contrato. Poderes estatutários. Conjunto de dados adquirível no mercado. Canal regulatório ou judicial. Uma chave detida por uma empresa do mesmo grupo. Correlação técnica corrente com outros dados já na sua posse. Se existir uma via utilizável, os dados são pessoais para esse titular.

4. Caso contrário, por que razão o risco residual é insignificante? Registe o motivo. Proibição legal. Proibição contratual. Chave destruída ou separada sob controlos adequados. Esforço desproporcionado em termos de tempo, custo e recursos humanos. Depois, indique o gatilho que o levaria a repetir a avaliação.

Quatro perguntas. Uma página por fluxo material. Essa página é o que transforma uma decisão de âmbito de um hábito numa posição que se consegue defender da primeira vez que uma autoridade de supervisão perguntar por que razão algo fica fora do seu âmbito.

Por que razão defendo um âmbito mais restrito ao mesmo tempo que argumento por um mais alargado

Há uma objeção óbvia a tudo o que foi dito acima, e merece uma resposta direta em vez de uma nota de rodapé.

A abordagem relativa pode ser utilizada de forma abusiva. Oferece a todas as organizações um argumento para restringir o seu próprio âmbito, e o incentivo para chegar a essa conclusão é enorme. O EDPS avançou exatamente este argumento perante o Tribunal e perdeu. O EDPB avançou uma versão dele contra a redação do Digital Omnibus e, nessa ocasião, prevaleceu.

Considero a preocupação legítima e considero que a resposta não é fingir que a jurisprudência diz outra coisa.

Um teste relativo não enfraquece a proteção quando aplicado de forma honesta, porque é simétrico. Restringe o seu âmbito onde genuinamente não consegue chegar a uma pessoa. Alarga o seu âmbito, e esta é a metade que ninguém quer, em todos os casos onde existe uma via lícita que não se deu ao trabalho de procurar. Aplicado corretamente, produz mais âmbito em telemetria de segurança e em cadeias de enriquecimento do que o teste absoluto preguiçoso alguma vez produziu.

O abuso não é a abordagem relativa. O abuso é aplicar apenas metade dela. Tomar a restrição sem o alargamento, invocar a isenção do destinatário sem nunca redigir a avaliação, e nunca aplicar a pergunta três aos seus próprios registos.

Se usar este artigo apenas para reduzir o seu ROPA, usou-o incorretamente.

O que permanece em aberto

Três pontos que vale a pena acompanhar.

A componente de dados do Digital Omnibus continua em negociação sob a presidência irlandesa, sem que a adoção seja esperada antes do final de 2026, no mínimo. A revisão do artigo 4.º, n.º 1, está fora do texto do Conselho no estado atual. Isso pode mudar.

As Guidelines 01/2025 do EDPB sobre pseudonimização foram redigidas antes do acórdão de setembro de 2025 e adotam uma posição mais rígida do que a do Tribunal. A forma como o Comité reconcilia as suas orientações com EDPS v SRB importará mais para o seu auditor do que o próprio acórdão.

E a questão prática que o acórdão abre sem responder: se um subcontratante está genuinamente fora do âmbito, o que rege a relação. Direito contratual e confidencialidade, presumivelmente. Mas ninguém publicou um modelo defensável, e não gostaria de ser a primeira organização a litigá-lo.

Nada disto é razão para aguardar. O trabalho de definição de âmbito é o mesmo em qualquer caso, e as quatro perguntas acima não dependem de como o Omnibus for aprovado.

Analise um fluxo. Escolha aquele que nunca questionou. Esse é o certo.

Fontes

• TJUE, Processo C-582/14, Patrick Breyer v Bundesrepublik Deutschland, acórdão de 19 de outubro de 2016.
• TJUE, Processo C-413/23 P, EDPS v SRB, acórdão de 4 de setembro de 2025, anulando o acórdão do Tribunal Geral T-557/20 de 26 de abril de 2023.
• TJUE, Processo C-604/22, IAB Europe.
• TJUE, OC v Commission, 2024, sobre risco de reidentificação insignificante.
• Parecer Conjunto EDPB-EDPS 2/2026 sobre a proposta de Regulamento Digital Omnibus, adotado em 10 de fevereiro de 2026.
• Conselho da União Europeia, texto de compromisso da presidência cipriota sobre o Digital Omnibus, 20 de fevereiro de 2026, e retirada do processo de aprovação do COREPER II, no final de junho de 2026.
• Comissão Europeia, pacote Digital Omnibus, publicado em 19 de novembro de 2025.
• Guidelines 01/2025 do EDPB sobre pseudonimização.
• Regulamento (UE) 2018/1725 (EUDPR), materialmente equivalente ao GDPR quanto à definição de dados pessoais e às obrigações de transparência.

Perguntas frequentes

Um endereço IP é um dado pessoal ao abrigo do GDPR?

Depende de quem o detém. Na sequência de Breyer (C-582/14), um endereço IP dinâmico é um dado pessoal para um operador de sítio web quando esse operador dispõe de um meio razoável e lícito de obter os dados do assinante junto do fornecedor de serviços de internet. Onde não existe tal via, pode não o ser. Para uma equipa de segurança que regista endereços IP com o objetivo de perseguir atacantes, a via existe geralmente, porque é o propósito declarado que a cria.

Diz Breyer que os dados são pessoais se qualquer pessoa conseguir identificar o titular?

Não. Esta é a leitura errada mais comum. Breyer confirma que a informação adicional que permite a identificação não tem de estar na posse da mesma pessoa, mas condiciona isso a que a combinação constitua um meio razoavelmente suscetível de ser utilizado. O Tribunal excluiu expressamente a identificação proibida por lei ou que exija um esforço desproporcionado em termos de tempo, custo e recursos humanos, de modo que o risco se torna insignificante.

Os dados pseudonimizados são sempre dados pessoais?

Não, não para todos os titulares. Em EDPS v SRB (C-413/23 P, 4 de setembro de 2025), o Tribunal de Justiça confirmou que dados suficientemente pseudonimizados podem ser dados pessoais para o responsável pelo tratamento que detém a chave sem o serem para um destinatário que não consegue reverter a pseudonimização e não dispõe de qualquer outro meio razoavelmente suscetível de identificação. Para o responsável pelo tratamento que detém a chave, continuam a ser dados pessoais.

O mesmo conjunto de dados pode ser dado pessoal para uma organização e não para outra?

Sim. Esta é a declaração direta de EDPS v SRB. «Pessoal» não é uma característica absoluta dos dados. É avaliada em relação à entidade que os detém e aos meios razoavelmente suscetíveis de estar disponíveis para essa entidade.

Ainda preciso de um acordo de tratamento de dados se o meu subcontratante não consegue identificar ninguém?

Quando o destinatário genuinamente não consegue identificar ninguém, o artigo 28.º não se aplica a esses dados enquanto tal. Na prática, deve geralmente manter os controlos contratuais: a avaliação pode mudar ao longo do tempo, e a proibição contratual de reidentificação é ela própria um dos fatores que mantém os dados fora do âmbito. A mudança está em que deve ser capaz de justificar a posição por escrito em vez de assinar por reflexo.

O Digital Omnibus alterou a definição de dados pessoais?

Não no estado atual. A Comissão propôs uma revisão do artigo 4.º, n.º 1, em novembro de 2025. O EDPB e o EDPS opuseram-se no Parecer Conjunto 2/2026 de 10 de fevereiro de 2026, e o texto de compromisso do Conselho de 20 de fevereiro de 2026 suprimiu-a integralmente. A presidência cipriota retirou o seu texto do COREPER II no final de junho de 2026 por falta de maioria qualificada, e o processo passou para a presidência irlandesa sem uma posição do Conselho. A jurisprudência continua a ser o padrão operativo.

Como documento uma alegação de anonimização para que resista a uma auditoria?

Identifique o titular, identifique a informação adicional necessária para a identificação e onde se encontra, indique se existe uma via razoável e lícita para aceder a ela e, se não existir, explique por que razão o risco residual é insignificante utilizando os próprios critérios do Tribunal: proibição legal, proibição contratual, inexistência da chave ou esforço desproporcionado em termos de tempo, custo e recursos humanos. Depois, registe o gatilho que exigiria uma reavaliação. Uma declaração de anonimização que não identifica um titular não é uma avaliação.

Isto aplica-se aos registos de segurança e aos dados SIEM?

Sim, e com mais força do que à maioria das outras categorias. Os registos de segurança são conservados precisamente para suportar a atribuição, e esse propósito é o que estabelece uma via lícita de identificação. O raciocínio de Breyer aplica-se diretamente. A resposta correta não é parar de registar, mas sim declarar uma base jurídica, defender o período de retenção e fazer com que a nota de privacidade reflita a realidade.

Christophe Mazzola é o fundador da Cyber Academy e CISO em exercício. Ministra formação para certificações PECB e ISACA em toda a Europa, incluindo ISO/IEC 27001 Lead Implementer e Lead Auditor, ISO 31000 Lead Risk Manager e ISO/IEC 27701.