O que são dados anonimizados

Dados anonimizados são informações que passaram por um processo técnico capaz de eliminar, de forma irreversível, qualquer possibilidade de identificar o titular, direta ou indiretamente. O resultado é um conjunto de dados que, para todos os efeitos práticos e jurídicos, não pode mais ser associado a uma pessoa natural específica.

Três conceitos costumam ser confundidos na prática:

• Dado anônimo: nunca teve qualquer vinculação com um titular identificável. É anônimo desde a origem.
• Dado anonimizado: era um dado pessoal e passou por um processo técnico para se tornar irreconhecível quanto ao titular.
• Dado pseudonimizado: teve seus identificadores diretos substituídos por um código ou alias, mas ainda permite reidentificação mediante uso de uma chave adicional. Continua sendo dado pessoal.

A pseudonimização é frequentemente confundida com anonimização, mas as implicações legais são completamente diferentes. Um dado pseudonimizado protege o titular em cenários cotidianos, mas não sai do escopo da legislação de proteção de dados.

O critério central para determinar se um dado é realmente anônimo é a irreversibilidade. Se existe qualquer método razoável, técnico, computacional ou combinatório, capaz de reverter o processo e identificar o titular, o dado não pode ser classificado como anonimizado. Essa avaliação não é binária: depende do estado atual da tecnologia, do contexto de uso e das bases de dados disponíveis no ambiente em que os dados serão utilizados.

Como a LGPD trata dados anonimizados

O artigo 12 da Lei Geral de Proteção de Dados (Lei 13.709/2018) estabelece que dados anonimizados não são considerados dados pessoais para os fins da lei. Uma vez anonimizados de forma tecnicamente irreversível, esses dados ficam fora do escopo de obrigações como consentimento, base legal de tratamento, direitos do titular e comunicação de incidentes.

A exceção está no próprio artigo: se o processo de anonimização puder ser revertido utilizando “meios razoáveis”, o dado volta automaticamente a ser tratado como dado pessoal. A expressão “meios razoáveis” é deliberadamente aberta e incorpora aspectos como custo, tempo, tecnologia disponível e o contexto de acesso aos dados.

A Autoridade Nacional de Proteção de Dados (ANPD) tem competência para editar regulamentos e orientações técnicas que definam quais métodos e padrões de anonimização são considerados adequados no Brasil. Até o momento, a autoridade ainda não publicou um guia técnico específico sobre o tema, o que gera incerteza para empresas que precisam tomar decisões operacionais agora.

Para as organizações, as implicações são diretas: produtos de analytics, modelos preditivos e relatórios baseados em dados de clientes só podem ser tratados como fora do escopo da LGPD se a anonimização for comprovadamente irreversível. A simples remoção do CPF ou do nome não é suficiente. É necessário documentar o processo, aplicar técnicas formalmente reconhecidas e manter evidências para eventual auditoria.

Principais técnicas de anonimização de dados

Generalização

A generalização substitui valores precisos por categorias mais amplas. Em vez de registrar a idade exata de um titular, registra-se uma faixa etária (ex.: 30–40 anos). Em vez de um endereço completo, utiliza-se apenas o CEP truncado ou a região. O objetivo é reduzir a granularidade dos dados a ponto de tornar inviável a identificação individual.

Supressão

A supressão remove completamente atributos ou registros que possam identificar o titular. Campos como nome, CPF, e-mail e telefone são os candidatos mais óbvios, mas a supressão também pode se aplicar a combinações de atributos que, juntos, criariam unicidade no conjunto de dados.

Perturbação e adição de ruído

Essa técnica modifica os valores originais com alterações estatisticamente controladas. Em vez de remover a renda de um indivíduo, por exemplo, adiciona-se um valor aleatório dentro de um intervalo definido. A distribuição estatística do conjunto de dados permanece representativa, mas os valores individuais não correspondem mais à realidade de nenhum titular específico.

A privacidade diferencial (differential privacy) é uma abordagem matemática rigorosa nessa família de técnicas. Ela garante que a inclusão ou exclusão de um único indivíduo no conjunto de dados não altera de forma mensurável o resultado de uma consulta estatística. Apple e Google utilizam privacidade diferencial em algumas de suas coletas de telemetria.

Modelos formais: k-anonimato, l-diversidade e t-closeness

O k-anonimato garante que cada registro em um conjunto de dados seja indistinguível de pelo menos outros k-1 registros com base nos atributos quase-identificadores (como sexo, data de nascimento e CEP). Se k=5, nenhum indivíduo pode ser isolado dentro de um grupo de menos de 5 pessoas.

O l-diversidade complementa o k-anonimato exigindo que cada grupo de registros equivalentes contenha pelo menos l valores distintos para os atributos sensíveis. Isso evita que, mesmo sem identificar a pessoa, um atacante saiba com certeza qual é o seu atributo sensível (ex.: diagnóstico médico).

O t-closeness vai além: exige que a distribuição de um atributo sensível dentro de cada grupo equivalente seja próxima da distribuição global desse atributo no conjunto de dados completo. É o modelo mais restritivo dos três e tipicamente utilizado em contextos de alta sensibilidade, como dados de saúde.

Riscos de reidentificação: a anonimização é sempre suficiente?

A resposta curta é não. Décadas de pesquisa em privacidade computacional demonstram que dados aparentemente anônimos podem ser reidentificados quando combinados com outras fontes de informação. O caso clássico é o estudo de Latanya Sweeney, dos anos 1990, que demonstrou que 87% dos americanos podiam ser identificados unicamente pela combinação de CEP, data de nascimento e sexo, dados disponíveis publicamente.

O linkage attack é a técnica mais comum de reidentificação. Consiste em cruzar um conjunto de dados anonimizados com uma base externa, pública, comercial ou vazada, para encontrar correspondências que revelem a identidade do titular. Bases eleitorais, redes sociais, registros de saúde públicos e dados de mobilidade urbana são fontes frequentemente utilizadas nesse tipo de ataque.

Dados conversacionais e comportamentais apresentam desafios particulares. Históricos de navegação, sequências de cliques, transcrições de atendimento e logs de interação com aplicativos tendem a ser altamente únicos por natureza. Mesmo sem identificadores explícitos, padrões comportamentais podem ser suficientes para reidentificar um indivíduo com precisão elevada.

No contexto brasileiro, o crescimento acelerado de bases de dados abertas, inclusive iniciativas de governo aberto e portais de transparência, aumenta a superfície de ataque disponível. Registros de servidores públicos, contratos governamentais, dados de saúde do SUS e informações do sistema financeiro aberto (Open Finance) criam um ecossistema em que o cruzamento de bases anonimizadas com fontes externas é cada vez mais viável e barato.

Casos de uso legítimos de dados anonimizados

Pesquisa científica e estudos epidemiológicos são os casos de uso mais consolidados. Registros hospitalares, prontuários e dados de vigilância epidemiológica anonimizados permitem identificar padrões de doenças, avaliar eficácia de tratamentos e subsidiar políticas públicas de saúde sem expor pacientes individualmente.

Treinamento de modelos de inteligência artificial e machine learning é outro uso amplamente adotado. Empresas utilizam dados históricos de clientes, transações e comportamentos anonimizados para treinar modelos preditivos sem que o processo de treinamento implique tratamento de dados pessoais no sentido estrito da LGPD.

Análises de mercado e segmentação de público se beneficiam de dados anonimizados para identificar tendências de consumo, mapear segmentos demográficos e desenvolver estratégias de produto sem necessidade de exposição de dados individuais.

Relatórios regulatórios e compartilhamento entre organizações e órgãos públicos também fazem uso intenso de dados anonimizados. Instituições financeiras, operadoras de saúde e empresas de telecomunicações frequentemente precisam compartilhar informações agregadas com reguladores sem revelar dados de clientes específicos.

Boas práticas para anonimizar dados com segurança

Realize uma avaliação de risco de reidentificação antes e depois do processo. Isso inclui mapear quais bases de dados externas estão disponíveis no contexto de uso e testar se a combinação dessas fontes com o conjunto anonimizado permite identificar titulares. Ferramentas de análise de privacidade, como ARX Data Anonymization Tool, sdcMicro (R) e Microsoft Presidio, podem apoiar esse processo.

Documente o método utilizado e mantenha registros auditáveis. Em caso de investigação regulatória, será necessário demonstrar que o processo foi tecnicamente adequado na época de sua aplicação. A documentação deve incluir o método escolhido, os parâmetros configurados, os atributos suprimidos ou modificados e o resultado do teste de risco de reidentificação.

Combine técnicas complementares em vez de depender de um único método. Generalização isolada pode ser insuficiente se os dados contiverem atributos raros. A combinação de generalização com supressão seletiva e adição de ruído tende a produzir resultados mais sólidos do que qualquer técnica aplicada de forma isolada.

Revise periodicamente os conjuntos de dados anonimizados à medida que novas fontes externas se tornam disponíveis. Um conjunto que era seguro há dois anos pode não ser mais, se uma nova base pública foi lançada ou se técnicas de reidentificação evoluíram. A anonimização não é um evento único: é um estado que precisa ser monitorado continuamente.

Como avaliar se sua anonimização é adequada

Antes de tratar dados como fora do escopo da LGPD, percorra os seguintes pontos:

• Qual é o modelo formal aplicado? Verifique se o conjunto de dados satisfaz ao menos k-anonimato com k suficientemente alto para o contexto de risco.
• Quais bases externas estão disponíveis? Mapeie fontes públicas, comerciais e potencialmente vazadas que um atacante poderia cruzar com seus dados.
• O processo foi documentado e é reproduzível? Caso a ANPD solicite evidências, você precisa demonstrar o método, não apenas o resultado.
• Existe uma rotina de revisão? Defina uma periodicidade, ao menos anual, para reavaliar o risco de reidentificação de conjuntos de dados anonimizados em produção.
• A equipe jurídica e a equipe técnica trabalharam juntas? Anonimização eficaz exige que a decisão legal de “dado fora do escopo” seja sustentada por evidências técnicas concretas, não por presunções.

Se algum desses pontos não puder ser respondido com clareza, o conjunto de dados provavelmente ainda deve ser tratado como dado pessoal, com todas as obrigações que isso implica.