Notícias

20 de agosto de 2026

Informativo

LGPD e riscos psicossociais: quando o anônimo deixa de ser

Resposta direta

Uma empresa aplica um questionário psicossocial sem pedir nome. Recebe as respostas, gera um relatório por setor e arquiva a planilha original. A avaliação foi anônima?

Não necessariamente. Retirar o nome não basta para concluir que uma avaliação foi anonimizada. E a resposta a essa pergunta muda tudo o que vem depois — porque dados efetivamente anonimizados, em regra, não são considerados dados pessoais para fins da LGPD enquanto a anonimização não puder ser revertida nos termos da lei; já uma base que ainda permita identificar o trabalhador continua sujeita à LGPD.

A LGPD não trata a ausência do nome como critério. Ela considera anonimizado o dado que perdeu a possibilidade de associação a um indivíduo, e estabelece que a informação volta a ser dado pessoal quando a reversão for possível com esforços razoáveis, considerando os meios e as tecnologias disponíveis.

Numa avaliação psicossocial, esse esforço costuma ser pequeno. Setor, turno, função, tempo de casa e período de resposta já estreitam muito o campo. E a empresa que recebeu as respostas normalmente tem, no mesmo servidor, as bases de jornada, afastamento e desempenho que fecham a conta.

Este conteúdo trata do estatuto jurídico dos dados produzidos pela avaliação — o que eles são, o que exigem e por quanto tempo devem existir. Para o processo de avaliar, escolher métodos e interpretar resultados, veja Avaliação de Riscos Psicossociais: métodos, etapas e cuidados. Para bases legais e o tratamento de dados de saúde no contexto ocupacional, veja LGPD na Medicina do Trabalho.

Anonimizado, pseudonimizado, identificável ou identificado: quatro situações diferentes

No dia a dia, expressões como anonimizado, pseudonimizado e sem identificação direta costumam ser usadas como se significassem simplesmente "não tem nome". Para fins de proteção de dados, porém, essas situações podem ter consequências diferentes.

Estatuto	O que caracteriza	Exemplo numa avaliação psicossocial	Consequência prática
Anonimizado	A associação ao indivíduo foi perdida e não pode ser revertida com esforços razoáveis	Percentual consolidado de uma dimensão em toda a organização, sem recortes	Em regra, fora do alcance da LGPD enquanto essa condição se mantiver
Pseudonimizado	O identificador foi substituído por um código, mas existe chave ou caminho de reversão	Respostas com código de participante, com a lista de correspondência guardada em outro arquivo	Continua sujeita à LGPD; a pseudonimização reduz a associação direta com o titular, mas não equivale à anonimização
Identificável	Não há nome, mas a combinação de atributos permite chegar à pessoa	Resposta de um setor com quatro pessoas, com turno e função informados	É dado pessoal integralmente; se revelar saúde, pode ser dado sensível
Identificado	O vínculo com a pessoa está expresso no registro	Entrevista nominal, relato de assédio, formulário com matrícula	Dado pessoal, frequentemente sensível, com acesso e guarda restritos

A linha que mais gera problema é a terceira. Ela representa justamente uma situação que pode ser confundida com anonimização quando a organização olha apenas para a ausência do nome. A diferença não é semântica: da primeira para a terceira mudam a base legal exigível, os direitos do titular, as obrigações de segurança e as regras de eliminação.

Vale registrar também que o estatuto não é permanente. Uma base agregada pode ser anonimizada hoje e deixar de ser quando alguém acrescenta um recorte, quando a equipe encolhe ou quando o arquivo é cruzado com outro. A avaliação sobre a anonimização acompanha o contexto e os meios disponíveis, não apenas o conteúdo aparente do arquivo.

O teste do esforço razoável

A LGPD não define anonimização apenas pela técnica empregada, mas pelo resultado: o dado deve perder a possibilidade de associação, direta ou indireta, a um indivíduo, considerando meios técnicos razoáveis e disponíveis. O art. 12 estabelece que dados anonimizados voltam a ser considerados dados pessoais quando o processo de anonimização for revertido por meios próprios ou quando, com esforços razoáveis, puder ser revertido. Para avaliar o que é razoável, a lei manda considerar fatores objetivos como custo, tempo necessário, tecnologias disponíveis e a utilização exclusiva de meios próprios.

Na prática, isso transforma a pergunta em algo verificável. Em vez de "retiramos o nome? ", a organização precisa responder: quanto esforço alguém com acesso a este arquivo precisaria fazer para chegar a uma pessoa?

E aqui entra o detalhe decisivo: o teste considera quem tem o dado em mãos, com os recursos que essa pessoa realmente possui. Um arquivo de respostas por setor pode ser praticamente irrastreável para um pesquisador externo e trivial para o gestor daquele setor, que sabe quem estava de férias, quem trabalha em qual turno e quem é a única mulher da equipe.

A conclusão sobre o risco de reidentificação pode, portanto, variar conforme o contexto em que o arquivo é utilizado e os meios disponíveis a quem o recebe. Isso não é um detalhe teórico: é uma das razões pelas quais a decisão sobre o que compartilhar deve considerar também o destinatário e seus acessos, e não apenas o conteúdo aparente do arquivo.

Duas consequências seguem disso. A primeira é que declarar uma base como anônima não a torna anônima — o estatuto depende de fato, não de rótulo. A segunda é que a avaliação desse esforço deveria estar registrada em algum lugar, porque é ela que sustenta a decisão de tratar aquela base como fora do alcance da lei.

Por que retirar o nome não basta para anonimizar

A remoção do identificador direto resolve o caso mais óbvio e deixa intacto o mecanismo que realmente permite chegar a alguém: a combinação de atributos.

Cada atributo, isolado, descreve muita gente. Setor comercial descreve dezenas de pessoas. Turno da noite, dezenas. Função de supervisão, várias. Mas o cruzamento estreita rápido: supervisão, turno da noite, setor comercial pode descrever duas pessoas — e, se uma delas estava afastada no período da coleta, uma.

Os atributos que mais reduzem o campo numa avaliação psicossocial costumam ser:

Setor, unidade ou equipe, especialmente quando a estrutura é enxuta ou quando há uma única pessoa em determinada função.

Turno e escala, que dividem qualquer grupo em subconjuntos pequenos.

Tempo de casa e faixa etária, que parecem inofensivos e frequentemente isolam uma pessoa dentro de um grupo já recortado.

Período exato da resposta, quando o sistema registra data e hora e a organização sabe quem estava trabalhando naquele momento.

Campos abertos, que são a fonte mais direta de reidentificação. Uma resposta discursiva que menciona um projeto específico, uma mudança recente de chefia ou um episódio conhecido entrega a autoria sem precisar de cruzamento nenhum.

Esse último item merece atenção porque é contraintuitivo. Organizações que se preocupam em anonimizar as respostas fechadas costumam transportar os campos abertos para o relatório na íntegra, tratando-os como ilustração. Do ponto de vista de reidentificação, um trecho literal é a informação mais reveladora do conjunto.

Há ainda um efeito de acumulação. Uma base pode estar razoavelmente protegida numa única aplicação e deixar de estar quando a empresa compara duas rodadas: quem mudou de setor entre elas, quem entrou, quem saiu. A comparação histórica — que é boa prática de gestão — aumenta o poder de identificação.

A consequência disso é que o tamanho do recorte deixa de ser uma escolha de formatação do relatório e passa a ser um dos elementos do teste jurídico: um recorte pequeno demais não é um relatório ruim, é uma base que continua sendo dado pessoal. O tratamento prático desse cuidado na apresentação dos resultados está em Avaliação de Riscos Psicossociais: métodos, etapas e cuidados.

O cruzamento com as bases que a empresa já tem

Discussões sobre anonimização costumam analisar a base isolada: este arquivo, sozinho, permite identificar alguém? A pergunta está incompleta, porque nenhuma base vive sozinha dentro de uma empresa.

A organização que aplicou o questionário psicossocial já possui, no mesmo ambiente e frequentemente sob os mesmos acessos:

Registro de jornada — quem trabalhou em que turno, em qual dia, com quantas horas extras.

Controle de afastamentos — quem esteve ausente, quando e por quanto tempo.

Base de desempenho — avaliações, metas atingidas, histórico de promoção e advertência.

Cadastro funcional — admissão, cargo, setor, escala, mudanças de função.

Registros de conflito — ocorrências, denúncias, procedimentos disciplinares.

Cada uma delas foi criada para outra finalidade, com outra base legal e outro conjunto de acessos. Nenhuma foi pensada como ferramenta de reidentificação. Mas, no teste do esforço razoável, elas podem integrar os meios próprios disponíveis à organização e, por isso, precisam ser consideradas na avaliação concreta do risco de reidentificação. Quem tem acesso a duas delas ao mesmo tempo tem muito mais poder de identificação do que a base psicossocial sugere.

Um exemplo torna isso concreto. Um relatório aponta elevação de sobrecarga percebida num setor de doze pessoas, no turno da tarde, no último trimestre. Isoladamente, o resultado pode parecer suficientemente agregado. Cruzado com o registro de jornada do mesmo período, que mostra três pessoas com horas extras muito acima das demais, o conjunto passa a apontar para um grupo pequeno. Acrescente o controle de afastamentos e o grupo pode virar uma pessoa.

Ninguém precisou tentar identificar ninguém. A identificação emergiu da consulta rotineira a bases que a empresa tinha o direito de manter.

Daí decorrem três decisões práticas que costumam ficar sem dono.

A avaliação de risco de reidentificação precisa considerar o ambiente, não o arquivo. A pergunta correta não é se o relatório identifica alguém, mas se alguém com os acessos daquela organização conseguiria identificar.

Separar quem analisa de quem administra as demais bases reduz o risco de forma direta. Quando a mesma pessoa opera o relatório psicossocial e o sistema de ponto, a separação técnica entre as bases deixa de existir na prática, por mais que os arquivos estejam em pastas diferentes.

O cruzamento deliberado exige finalidade própria. Combinar a avaliação psicossocial com dados de jornada ou afastamento pode ser tecnicamente útil para investigar um fator de risco — mas passa a ser um novo tratamento, com finalidade, necessidade e base legal a serem examinadas, e não uma extensão automática da avaliação original.

Se a base não está anonimizada, ela é dado pessoal

Essa é a consequência que quase nunca é tirada, e a razão pela qual as seções anteriores importam.

Quando a organização conclui que a base é anônima, ela deixa de fazer uma série de coisas: não define prazo de guarda para o arquivo bruto, não controla quem acessa a planilha original, não registra a finalidade, não pensa em eliminação e não considera que ali possa haver direito de titular a ser atendido. Tudo isso é coerente — se a premissa estiver certa.

Quando a premissa está errada, a organização passa a manter uma base de dados pessoais, possivelmente sensíveis, sem nenhum dos controles que aplicaria a qualquer outra. E o problema não aparece no dia da coleta: aparece meses depois, quando alguém pede acesso ao arquivo, quando há um incidente, ou quando um trabalhador pergunta o que a empresa sabe sobre ele.

Reconhecer o estatuto correto não inviabiliza a avaliação. Ele apenas define o que precisa existir em volta dela:

Finalidade declarada e delimitada. Para que aquele conjunto foi coletado, e o que não será feito com ele — particularmente, que não servirá para avaliação individual de desempenho ou decisão disciplinar.

Base legal examinada. A avaliação de riscos psicossociais decorre de obrigação de gestão de riscos ocupacionais, o que orienta a análise da hipótese aplicável — e a análise muda quando o dado revela saúde. As hipóteses e seus limites estão tratados em LGPD na Medicina do Trabalho.

Acesso por função, com registro. Quem abre o arquivo bruto, com qual credencial, e se há log dessa consulta.

Segurança proporcional ao risco. A base de respostas brutas de uma avaliação psicossocial pode conter ou revelar dados pessoais sensíveis e, por isso, exige medidas de segurança compatíveis com a natureza das informações, os riscos envolvidos e os acessos necessários.

Prazo e destino. Por quanto tempo o arquivo bruto precisa existir, e o que acontece com ele depois.

A lógica das camadas de informação — e de quais delas podem sair do lugar onde nasceram — segue a mesma que descrevemos para os documentos ocupacionais em Do exame ao ASO: como circulam os dados do trabalhador.

Quem guarda as respostas brutas?

Quando a avaliação é conduzida por um fornecedor externo — consultoria, plataforma ou serviço especializado — surge uma pergunta que raramente está respondida no contrato: onde ficam as respostas originais, e quem pode abri-las.

Em alguns arranjos, o cliente recebe o relatório e o fornecedor permanece com a base bruta. Isso pode ser adequado e, dependendo da arquitetura adotada, pode inclusive reduzir o risco de cruzamento com outras bases mantidas pela empresa.

Mas só funciona se algumas definições estiverem expressas. Estas são as perguntas que qualquer contratante deveria fazer a qualquer fornecedor, incluindo a Medivo:

Onde a base fica hospedada e quem, dentro do fornecedor, tem acesso a ela.

Se a plataforma registra data, hora e origem da resposta — muitas registram por padrão, e isso muda o estatuto do conjunto.

Se há subcontratação de hospedagem, processamento ou análise, e quem responde por ela.

O que acontece ao fim do contrato: devolução, eliminação comprovada, ou permanência por prazo definido.

Se o fornecedor usa os dados para finalidade própria, como composição de benchmark ou base comparativa entre clientes — e, em caso positivo, sob quais condições.

Como o cliente será acionado se houver incidente envolvendo aquela base.

O último ponto costuma ser o mais esquecido, e o penúltimo o mais delicado. Bases comparativas entre organizações são úteis e comuns no mercado; o que não pode acontecer é esse uso existir sem que o contratante saiba, porque é um tratamento com finalidade distinta daquela que motivou a coleta.

Nada disso exige contrato complexo. Exige que as respostas estejam escritas em algum lugar antes da primeira coleta, e não depois do primeiro problema.

Por quanto tempo o dado bruto precisa existir?

Concluída a avaliação, a organização tem em mãos pelo menos três coisas com naturezas diferentes: as respostas originais, o relatório técnico e os registros que alimentam o gerenciamento de riscos. Elas não precisam durar o mesmo tempo, e tratar as três como um bloco único é o que produz arquivos esquecidos.

Material	Para que serve depois	Critério de permanência
Respostas brutas	Reanalisar, auditar metodologia, checar consistência	É o material de maior exposição potencial; o prazo deve ser definido conforme a finalidade, a necessidade e as obrigações de conservação aplicáveis, evitando retenção além do necessário
Relatório técnico	Sustentar as medidas adotadas e comparar rodadas	Permanência mais longa, desde que sem recortes reidentificáveis
Registros no gerenciamento de riscos	Documentar o fator identificado e a medida adotada	Segue as regras de guarda dos documentos de SST
Encaminhamentos individuais	Acompanhar uma situação específica	Guarda sob a responsabilidade profissional cabível, separada da avaliação

A primeira linha é a que costuma ficar sem decisão. As respostas brutas são o material que mais expõe e o que menos serve depois que o relatório está pronto — e, ainda assim, permanecem indefinidamente porque ninguém estabeleceu quando eliminar.

Se a organização não consegue explicar por que ainda precisa daquele arquivo, existe um forte sinal de que a necessidade de conservação deve ser reavaliada.

Vale distinguir eliminação de arquivamento. Guardar a base bruta em uma pasta de acesso restrito não encerra o tratamento — apenas o torna menos visível. A finalidade continua sendo o critério: quando ela se esgota e não há obrigação que justifique a guarda, a eliminação é o caminho previsto.

Quando o coletivo revela um caso individual

Toda avaliação psicossocial é desenhada para olhar a organização do trabalho. Dependendo do instrumento e das respostas, ela pode revelar uma situação pessoal — um relato de assédio, uma resposta que indica sofrimento ou um campo aberto que descreve um episódio concreto.

Três definições precisam existir antes da coleta, não durante a leitura:

Que o encaminhamento existe, e que o participante saiba disso. Informar previamente que situações individuais podem ser encaminhadas — e por qual caminho — é parte da transparência devida a quem responde. Uma pessoa que acredita estar contribuindo apenas para uma estatística e descobre depois que houve encaminhamento tem razão em se sentir surpreendida.

Que o encaminhamento sai da avaliação e entra em outro fluxo. A partir do momento em que uma situação individual é identificada, ela deixa de pertencer à base da pesquisa e passa a ser tratada no canal cabível — saúde ocupacional, canal de denúncia ou apoio disponível — com a confidencialidade própria daquele canal. O registro individual não volta para o arquivo da avaliação nem para o relatório.

Que a leitura desse material tem dono definido. Quem lê campos abertos e relatos precisa estar definido antes, com qualificação compatível e número de pessoas reduzido ao mínimo. Distribuir a leitura "para agilizar" é a forma mais comum de um relato chegar a quem não deveria recebê-lo.

Um ponto adicional sobre denúncias. Quando o relato envolve assédio ou violência, há mais pessoas envolvidas do que quem respondeu: há quem foi citado, há testemunhas e há risco de retaliação. O material deixa de ser um dado sobre uma pessoa e passa a ser um dado sobre várias, o que restringe ainda mais quem pode acessá-lo.

Sobre o que desse conjunto chega ao gerenciamento de riscos: o registro deve descrever o fator organizacional identificado e a medida adotada, não o caso individual que o revelou. O tratamento desses registros no inventário está detalhado em Riscos Psicossociais no PGR: o que sua empresa precisa incluir.

Erros comuns

Declarar anônimo o que não é. O rótulo não muda o estatuto. Uma base identificável apresentada como anônima acumula dois problemas: a exposição em si e a promessa não cumprida a quem respondeu confiando nela.

Tratar pseudonimização como anonimização. Substituir o nome por um código é uma boa medida de segurança, mas não equivale à anonimização: enquanto existir caminho de reversão, a base continua sujeita à LGPD.

Avaliar o risco olhando só para o arquivo. A capacidade de identificar depende de quem tem o dado e do que mais essa pessoa acessa. A mesma planilha pode ser inofensiva num lugar e reveladora em outro.

Transportar campos abertos para o relatório na íntegra. Trechos literais são a informação mais identificável do conjunto, e costumam entrar como ilustração justamente nos relatórios que tiveram cuidado com as respostas fechadas.

Não definir prazo para a base bruta. O material mais sensível é o que menos serve depois do relatório pronto, e o que mais permanece por ausência de decisão.

Deixar a relação com o fornecedor sem definição. Onde a base fica, quem acessa, o que acontece no fim do contrato e se há uso para finalidade própria são perguntas para antes da primeira coleta.

Improvisar o encaminhamento individual. Quando não há procedimento, a decisão sobre um relato sensível acaba tomada por quem abriu o arquivo primeiro.

Perguntas frequentes

Um questionário sem nome é considerado anônimo pela LGPD?

Não automaticamente. A LGPD considera anonimizado o dado que perdeu a possibilidade de associação a um indivíduo, e prevê que a informação volta a ser dado pessoal quando a reversão for possível com esforços razoáveis. A ausência do nome é um dos elementos da análise, não a conclusão dela.

Qual a diferença entre anonimização e pseudonimização?

Na pseudonimização o identificador é substituído, mas existe um caminho de reversão — uma chave, uma lista de correspondência, um registro de sessão. Por isso, a pseudonimização reduz a associação direta com o titular, mas não equivale à anonimização, e a base continua sujeita à LGPD. Na anonimização, o vínculo com a pessoa se perde de forma que a reversão exigiria esforço desproporcional.

Se a base não está anonimizada, a empresa precisa parar de avaliar?

Não. Reconhecer o estatuto correto não impede a avaliação — define o que precisa existir em volta dela: finalidade declarada, base legal examinada, acesso por função, segurança proporcional ao risco e prazo definido para o material bruto.

A empresa pode cruzar a avaliação psicossocial com dados de jornada ou afastamento?

O cruzamento deliberado configura um novo tratamento, com finalidade, necessidade e base legal a serem examinadas — não uma extensão automática da avaliação original. Além disso, ele aumenta a capacidade de identificar pessoas, o que precisa entrar na análise antes da decisão.

Quem deve guardar as respostas originais quando há consultoria envolvida?

Não há um único arranjo correto. Manter a base bruta com o fornecedor pode reduzir o risco de cruzamento com as demais bases da empresa, desde que estejam definidos onde ela fica hospedada, quem acessa, se há subcontratação, o que ocorre ao fim do contrato e se há uso para finalidade própria do fornecedor.

Conclusão: o estatuto do dado define o resto

A discussão sobre privacidade em avaliações psicossociais costuma girar em torno de procedimentos: como aplicar o questionário, como apresentar resultados, como proteger quem responde. São questões legítimas e estão tratadas em Avaliação de Riscos Psicossociais: métodos, etapas e cuidados.

Antes delas, porém, existe uma pergunta que determina todas as outras: o que exatamente é a base de dados que essa avaliação produziu?

Se ela está efetivamente anonimizada, boa parte das obrigações aplicáveis aos dados pessoais deixa de incidir sobre aquela base enquanto essa condição se mantiver. Se não está, a organização continua tratando dados pessoais e, conforme o conteúdo revelado, pode estar tratando dados pessoais sensíveis, que exigem finalidade definida, hipótese legal aplicável, controle de acesso, segurança e critérios de conservação.

A diferença entre os dois cenários não está apenas na ausência do nome. Está também na possibilidade de associação da informação a uma pessoa considerando os meios razoáveis e disponíveis naquele contexto. Em organizações que mantêm bases de jornada, afastamento, cadastro, desempenho ou outras informações acessíveis no mesmo ambiente, esses dados podem ampliar a possibilidade de reidentificação.

Reconhecer isso não torna a avaliação mais difícil. Torna a promessa feita a quem responde mais honesta — e é dessa honestidade que depende a qualidade das respostas na rodada seguinte.

Se sua empresa precisa estruturar ou revisar a avaliação de riscos psicossociais, a equipe da Medivo apoia esse processo em NR-01 e Riscos Psicossociais para Empresas, em Maringá e região.

Fontes e referências

Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD), especialmente arts. 5º, III e XI; 6º; 11; 12; 13, § 4º, quanto ao conceito de pseudonimização; 15; 16; e 46
Norma Regulamentadora nº 1 (NR-1) — Disposições Gerais e Gerenciamento de Riscos Ocupacionais, capítulo 1.5
Organização Mundial da Saúde — Mental health at work, 2 de setembro de 2024