O que a LGPD entende por dado anonimizado

O Art. 12 da LGPD estabelece que dados anonimizados não são considerados dados pessoais para fins da lei, salvo quando o processo de anonimização puder ser revertido. Essa exceção é o ponto mais crítico da norma e frequentemente ignorado na prática.

Duas categorias precisam ser distinguidas. O dado anônimo nunca identificou ninguém: um log de acesso sem qualquer vínculo com um usuário, por exemplo. O dado anonimizado, por sua vez, passou por um processo de tratamento após ter sido pessoal — teve o vínculo com o titular deliberadamente removido ou obscurecido.

O critério central da LGPD para reconhecer a anonimização é a impossibilidade de reversão por meios técnicos razoáveis disponíveis à época do tratamento. Não existe anonimização absoluta; o que a lei exige é que a reversão seja inviável com os recursos técnicos e econômicos realistas no contexto.

A ANPD tem competência para reclassificar um dado como pessoal se concluir que o processo foi insuficiente. A responsabilidade recai sobre o controlador demonstrar a qualidade técnica da anonimização, não apenas declarar que ela ocorreu.

Principais técnicas de anonimização reconhecidas

Não existe uma técnica única obrigatória. A escolha depende do tipo de dado, da finalidade do uso posterior e do nível de risco de reidentificação aceitável. As abordagens mais referenciadas na literatura técnica e por autoridades de proteção de dados são as seguintes.

Generalização

Substituição de valores exatos por faixas ou categorias. Em vez de registrar a idade exata “34 anos”, registra-se “30–39 anos”. Em vez de CEP completo, apenas os cinco primeiros dígitos. A generalização reduz a precisão do dado, mas preserva utilidade analítica.

Supressão

Remoção direta de campos identificadores: nome, CPF, e-mail, endereço, número de telefone. É a técnica mais simples, mas isoladamente raramente suficiente. Combinações de atributos remanescentes podem ainda identificar o titular.

Perturbação e adição de ruído

Alteração estatística controlada de valores numéricos. Salários, coordenadas geográficas e timestamps recebem perturbações aleatórias dentro de uma margem definida. A distribuição estatística do conjunto é preservada; os valores individuais são distorcidos.

K-anonimato, l-diversidade e t-closeness

Modelos formais que combinam generalização e supressão para garantir que cada registro seja indistinguível de pelo menos k outros registros no conjunto. A l-diversidade estende esse conceito exigindo diversidade nos atributos sensíveis dentro de cada grupo. A t-closeness vai além, controlando a distribuição dos valores sensíveis. São as abordagens mais sólidas para datasets estruturados usados em analytics.

Pseudonimização não é anonimização

Esse é o erro mais comum com consequências legais diretas. Pseudonimização substitui o identificador por um substituto — um hash, token ou UUID — mas mantém a possibilidade de reversão mediante acesso à chave de mapeamento. Para a LGPD, o dado pseudonimizado continua sendo dado pessoal.

Anonimização versus pseudonimização na prática

Na pseudonimização, o vínculo entre o substituto e o titular original existe e pode ser restaurado. Um hash de CPF sem salt é pseudonimização: qualquer um com a lista de CPFs válidos pode reverter por força bruta. Tokenização reversível e UUIDs vinculados a uma tabela de cadastro seguem a mesma lógica.

Os casos de confusão mais frequentes ocorrem em pipelines de dados onde a equipe de engenharia aplica hashing considerando o processo como “anonimização suficiente”. Do ponto de vista técnico, o dado foi obscurecido. Do ponto de vista jurídico, continua pessoal e sujeito a todos os direitos do titular.

Pseudonimização é adequada quando o objetivo é reduzir o risco de exposição acidental em ambientes internos, separar o acesso ao identificador do acesso aos demais dados, ou trabalhar com dados em ambientes de desenvolvimento. Não é adequada quando a intenção é sair do escopo da LGPD ou eliminar a necessidade de base legal para tratamento.

O impacto prático é direto: dados pseudonimizados exigem base legal válida, registro no ROPA, resposta a solicitações de titulares e cumprimento dos demais princípios da lei. Dados genuinamente anonimizados saem do escopo, mas a prova do processo fica com o controlador.

Risco de reidentificação: o problema real

Anonimização não é um estado permanente. É uma avaliação de risco válida em um momento específico, com os recursos disponíveis naquele contexto. Novos dados públicos, novas técnicas computacionais ou maior poder de processamento podem tornar obsoleta uma anonimização anteriormente considerada suficiente.

Os casos internacionais mais citados são referência obrigatória. Em 2006, pesquisadores da Universidade do Texas reidentificaram usuários na base de dados de filmes da Netflix, considerada anonimizada, cruzando com avaliações públicas do IMDb. No mesmo ano, a AOL publicou logs de buscas anonimizados; em dias, jornalistas identificaram usuários específicos pelo padrão das consultas. Estudos com dados de saúde britânicos demonstraram que combinações de data de nascimento, gênero e CEP são suficientes para identificar mais de 85% da população.

No contexto brasileiro, o risco é amplificado pela disponibilidade de bases governamentais. O cruzamento de dados comportamentais com informações do CPF, NIS ou CadÚnico, bases amplas e com dados estruturados sobre grande parte da população, pode reverter anonimizações aplicadas apenas sobre identificadores diretos.

A avaliação de risco residual precisa ser documentada, incluir os datasets públicos disponíveis no contexto de operação da empresa e ser revisada periodicamente, especialmente quando novos conjuntos de dados públicos se tornam disponíveis ou quando a empresa muda o contexto de uso dos dados anonimizados.

Anonimização como encerramento do ciclo de tratamento

A LGPD prevê a eliminação dos dados ao término do tratamento como regra geral. A anonimização irreversível é aceita como alternativa à eliminação quando há interesse legítimo na manutenção dos dados para fins estatísticos, de pesquisa ou de melhoria de produtos.

Para que essa substituição seja válida, o processo precisa ser documentado: qual técnica foi aplicada, sobre quais campos, com quais parâmetros, por quem e quando. A evidência de irreversibilidade, incluindo testes realizados e métricas de risco apuradas, deve compor esse registro.

O alinhamento com o princípio da necessidade e da minimização de dados da LGPD é direto. Manter dados anonimizados apenas quando há finalidade analítica clara e documentada é mais defensável do que acumular grandes volumes sem propósito definido.

A ANPD ainda não publicou regulamentação específica sobre critérios técnicos de anonimização, mas tem sinalizado em documentos orientativos e em respostas a consultas que adotará parâmetros próximos aos da GDPR europeia e às recomendações do ICO britânico, que reconhecem técnicas formais como k-anonimato e diferenciam explicitamente pseudonimização de anonimização.

Boas práticas para implementar anonimização em conformidade

Conduzir o RIPD antes de definir a técnica

O Relatório de Impacto à Proteção de Dados (RIPD) deve ser a entrada do processo, não uma formalidade posterior. A análise de impacto identifica quais atributos representam maior risco de reidentificação e orienta a escolha da técnica mais adequada para o contexto específico.

Envolver jurídico, dados e segurança

A decisão sobre qual técnica aplicar não pode ser exclusiva da equipe de engenharia nem exclusiva do jurídico. A validação precisa das três perspectivas: a técnica (é reversível?), a jurídica (atende os requisitos da LGPD?) e a de segurança (o ambiente de processamento é adequado?).

Registrar no ROPA

O Registro de Operações de Tratamento deve refletir as decisões técnicas sobre anonimização: a operação em si, a técnica utilizada e a justificativa para considerar o processo irreversível. Esse registro é o principal instrumento de prestação de contas perante a ANPD.

Revisar periodicamente

Estabeleça ciclos de revisão, semestrais ou anuais, para avaliar se novas técnicas de reidentificação, novos datasets públicos ou mudanças no contexto de uso tornam o método atual insuficiente. A obsolescência de uma técnica de anonimização não é hipotética; é uma questão de tempo.

Aplicações em CDP e analytics

Em plataformas de dados de clientes (CDPs como Segment, Tealium, mParticle, entre outros) e pipelines de analytics, o padrão recomendado é aplicar pseudonimização nos ambientes operacionais, onde a reversão pode ser necessária para atendimento ao titular, e anonimização genuína apenas nas camadas analíticas e de modelagem, onde o dado individual não é necessário. Dados de comportamento como cliques, sessões e eventos podem ser agregados ou perturbados antes de alimentar modelos, sem perda significativa de precisão preditiva.

Como avaliar o processo de anonimização da sua organização

Revise os seguintes pontos para identificar lacunas:

• Inventário: você sabe quais datasets foram declarados como anonimizados? Essa lista está no ROPA?
• Técnica documentada: a técnica aplicada está registrada com parâmetros específicos, não apenas descrita genericamente como “anonimização”?
• Teste de reversão: foi realizado algum teste formal para verificar a resistência à reidentificação, considerando datasets públicos disponíveis no contexto brasileiro?
• Distinção pseudonimização/anonimização: os sistemas que usam hash, token ou UUID estão corretamente classificados como pseudonimizados — e portanto ainda no escopo da LGPD?
• Revisão periódica: existe um processo definido para reavaliar a robustez das técnicas aplicadas ao longo do tempo?

Se algum desses pontos não tem resposta imediata, o risco de ter dados pessoais fora de conformidade classificados incorretamente como anonimizados é real, e a responsabilidade de demonstrar o contrário é do controlador.