O que são dados anonimizados segundo a LGPD

A LGPD define dado anonimizado no Art. 5º, inciso III: é o dado relativo a um titular que não pode ser identificado usando meios técnicos razoáveis disponíveis no momento do tratamento. Essa definição tem uma consequência prática imediata: dado verdadeiramente anonimizado sai do escopo da lei e não exige base legal para ser tratado.

O ponto crítico está na palavra “razoável”. A lei não exige impossibilidade absoluta de reidentificação, mas sim que o esforço técnico e econômico para reverter o processo torne inviável essa operação nas condições de mercado existentes. O limite muda conforme evoluem as tecnologias de análise e os conjuntos de dados disponíveis.

O Art. 12 reforça essa lógica ao estabelecer que dados anonimizados não serão considerados dados pessoais, salvo quando o processo de anonimização for revertido. Se a reversão for possível com meios razoáveis, o dado nunca deixou de ser pessoal juridicamente, independentemente de qualquer rótulo atribuído a ele no pipeline.

A classificação de um dado como anonimizado não é uma decisão tomada uma vez, no início do projeto. Ela precisa ser avaliada continuamente, porque o que é irreversível hoje pode deixar de ser amanhã.

Técnicas de anonimização: como o processo funciona na prática

Existem quatro famílias principais de técnicas usadas para anonimizar dados. Cada uma atua de forma diferente sobre os atributos que permitem identificar um titular.

Generalização

Substitui valores precisos por intervalos ou categorias mais amplas. Uma data de nascimento exata vira uma faixa etária; um CEP completo vira apenas os três primeiros dígitos. O grau de generalização necessário depende de quão específico é o restante do dataset.

Supressão

Remove completamente campos que, isolados ou combinados, permitem identificação: CPF, e-mail, número de telefone. É a abordagem mais simples, mas frequentemente insuficiente quando usada sozinha, pois combinações de atributos indiretos ainda podem reidentificar um titular.

Perturbação (ou ruído)

Adiciona variações aleatórias controladas a valores numéricos, como idade, renda ou localização geográfica. Técnicas como privacidade diferencial formalizam esse processo com garantias matemáticas sobre o nível máximo de informação que pode ser extraído sobre um indivíduo.

Agregação

Trabalha com resumos estatísticos em vez de registros individuais: médias, medianas, contagens. Um relatório que mostra “taxa de churn por segmento etário” em vez de registros por cliente é um exemplo de anonimização por agregação.

Para avaliar se uma técnica é suficiente, o critério central é o k-anonimato: cada registro deve ser indistinguível de pelo menos k outros registros no dataset, para um valor de k adequado ao risco do dado. Complementos como l-diversity e t-closeness tratam de limitações do k-anonimato simples, especialmente quando os atributos sensíveis são muito concentrados em poucos valores.

Anonimização sintática vs. estruturada

Em textos não estruturados — notas de atendimento, transcrições de chamadas, e-mails — a anonimização opera sobre entidades nomeadas: nomes, endereços, números de documentos mencionados no texto. Ferramentas de NER (Named Entity Recognition) identificam e mascaram essas entidades. O risco aqui é maior porque o contexto narrativo pode revelar o titular mesmo sem menção direta a identificadores.

Em bancos de dados relacionais, o processo é mais controlado: as colunas que contêm identificadores diretos e indiretos são mapeadas, e cada técnica é aplicada de forma sistemática. A dificuldade surge quando há junções entre tabelas — um dado suprimido em uma tabela pode ser reconstruído por meio de outra.

Exemplos em CRM, CDP e analytics

Em um CDP, segmentos comportamentais podem ser exportados para parceiros de mídia com apenas atributos agregados — “usuários que visitaram a categoria X mais de 5 vezes nos últimos 30 dias”, sem qualquer identificador. Em CRM, históricos de interação usados para treinar modelos de propensão podem ter CPF, e-mail e telefone suprimidos, com datas generalizadas para semana ou mês. Em analytics de comportamento, sessões individuais são agregadas por coorte antes de qualquer exportação para ferramentas de BI.

Dados anonimizados vs. dados pseudonimizados: diferenças que importam

Pseudonimização é o processo de substituir identificadores diretos — nome, CPF, e-mail — por um apelido ou código. O vínculo entre o apelido e o titular real é mantido em uma tabela separada, protegida por controles de acesso. Para a LGPD, dado pseudonimizado continua sendo dado pessoal, porque a reidentificação é possível com informação adicional que existe e está sob controle do controlador.

Anonimização correta elimina a possibilidade prática de reidentificação. Não há tabela de reversão, não há chave guardada em cofre. O processo é irreversível pelas condições técnicas disponíveis no mercado.

A pseudonimização é mais adequada para operações internas que precisam manter a rastreabilidade do dado: auditoria, detecção de fraude, personalização em ambientes controlados. A anonimização é necessária quando o dado será compartilhado externamente, publicado em relatórios ou usado para treinar modelos entregues a terceiros.

Confundir as duas categorias em contratos e políticas de privacidade gera riscos concretos. Uma cláusula que trata dados pseudonimizados como “anonimizados” pode levar uma empresa a acreditar que está dispensada de base legal para o tratamento, o que não é verdade. Em caso de incidente, a ANPD avalia a natureza real do processo, não o rótulo atribuído contratualmente.

Casos de uso: onde dados anonimizados são aplicados

Treinamento de modelos de machine learning e IA

Modelos de propensão, scoring de crédito e recomendação podem ser treinados com datasets onde os registros individuais foram anonimizados. Isso permite que equipes de ciência de dados trabalhem com volumes reais de comportamento sem acesso a dados pessoais, reduzindo o escopo de conformidade do ambiente de desenvolvimento.

Compartilhamento de datasets entre empresas

Data clean rooms permitem que duas empresas cruzem audiências sem revelar dados individuais, mas o nível de anonimização efetivo depende do design da consulta e do volume de registros em cada interseção. Datasets com baixa sobreposição podem revelar indivíduos mesmo em ambientes tecnicamente controlados.

Relatórios de inteligência de mercado

Estudos setoriais, pesquisas de comportamento do consumidor e benchmarks de indústria publicados por associações e consultorias dependem de dados agregados e anonimizados fornecidos por múltiplos participantes. No contexto brasileiro, isso inclui pesquisas do varejo, telecom e serviços financeiros.

Open Finance e saúde digital

O Open Finance brasileiro permite o compartilhamento de dados financeiros entre instituições participantes, mas dados agregados e estatísticas setoriais publicadas pelo Banco Central usam anonimização como camada de proteção. Na saúde digital, prontuários e dados de sinistro são anonimizados para alimentar pesquisas epidemiológicas e estudos de efetividade de tratamentos, dentro do marco regulatório da LGPD e das resoluções setoriais da ANS e ANVISA.

Riscos e limitações: quando a anonimização pode falhar

Ataques de reidentificação

O cruzamento de datasets aparentemente anônimos é o vetor mais comum de falha. Um estudo clássico demonstrou que 87% dos americanos podiam ser identificados unicamente pela combinação de CEP, data de nascimento e sexo — três atributos que raramente são tratados como sensíveis. No Brasil, a combinação de faixa etária, bairro e ocupação produz riscos similares em bases de tamanho médio.

K-anonimato insuficiente em bases pequenas

Quando um dataset é muito segmentado — clientes de uma agência bancária específica, pacientes de uma clínica de especialidade — o número de registros por combinação de atributos cai rapidamente. Um k igual a 3 em uma base de 200 registros altamente segmentados oferece proteção muito menor do que o mesmo k em uma base de 2 milhões de registros distribuída uniformemente.

Responsabilidade legal residual

Se a ANPD ou um juiz considerar que o processo adotado era reversível com meios disponíveis no mercado à época, o dado nunca foi juridicamente anonimizado. A empresa responde como se tivesse tratado dados pessoais sem base legal adequada. A carga da prova, na prática, recai sobre o controlador.

Documentação e auditoria

Sem registro formal do processo — técnicas utilizadas, parâmetros adotados, avaliação de risco conduzida — é impossível demonstrar conformidade após um incidente. A documentação não precisa ser pública, mas precisa existir e ser recuperável em caso de fiscalização.

Boas práticas para implementar anonimização em projetos de dados

Envolver DPO e jurídico desde o design do pipeline

A decisão sobre qual técnica aplicar e em quais campos não é puramente técnica. O DPO precisa avaliar o contexto de uso do dado, o perfil de risco do titular e as obrigações contratuais envolvidas. Trazer esse alinhamento depois que o pipeline já foi construído multiplica o retrabalho e o risco.

Definir critérios claros de “meios razoáveis”

O critério de meios razoáveis varia conforme o setor, o volume de dados, a disponibilidade de datasets externos que poderiam ser cruzados e o perfil do potencial atacante. Uma empresa de saúde opera em contexto de risco diferente de um varejista de moda. Formalizar esses critérios por escrito e revisá-los periodicamente é parte da demonstração de accountability exigida pela LGPD.

Documentar no RIPD

O Relatório de Impacto à Proteção de Dados deve registrar: quais campos foram tratados, qual técnica foi aplicada a cada um, qual o k mínimo adotado, quais datasets externos foram considerados no modelo de ameaça, e quem aprovou o processo. Esse registro é o principal instrumento de defesa em caso de questionamento pela ANPD.

Revisar periodicamente os métodos adotados

Técnicas de reidentificação evoluem. Modelos de linguagem grandes facilitam inferências que antes exigiriam esforço computacional proibitivo. Um processo considerado suficiente em 2022 pode não atender ao critério de meios razoáveis em 2025. Revisões anuais — ou sempre que houver mudança relevante no contexto tecnológico ou regulatório — devem ser parte do programa de governança de dados.

Como avaliar se o processo da sua organização é adequado

Use as perguntas abaixo como checklist inicial antes de classificar qualquer dataset como anonimizado:

• O processo foi documentado com técnicas específicas, parâmetros e responsáveis identificados?
• Foi conduzida uma avaliação de k-anonimato considerando o tamanho real da base e os atributos quasi-identificadores presentes?
• Foram considerados datasets externos publicamente disponíveis que poderiam ser cruzados com o resultado?
• O DPO e o jurídico validaram a classificação por escrito?
• Existe uma data definida para revisão do processo, independentemente de incidentes?
• Os contratos com destinatários do dataset refletem corretamente a natureza do dado — anonimizado ou pseudonimizado?

Se alguma dessas perguntas não tiver resposta documentada, o risco jurídico e operacional associado ao tratamento do dataset ainda não foi adequadamente gerenciado.