O que é anonimização da informação
Anonimização da informação é o processo pelo qual dados pessoais são tratados de forma que se tornam incapazes de identificar, direta ou indiretamente, o titular a quem se referem. O resultado esperado é que o dado deixe de ser “pessoal” para todos os efeitos práticos e jurídicos.
A LGPD (Lei 13.709/2018) define dado anonimizado no art. 5º, inciso III como “dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento”. Essa definição é intencional: o critério não é absoluto, mas contextual e temporal.
Para empresas que tratam grandes volumes de dados, como varejistas, operadoras de saúde, fintechs e plataformas de e-commerce, a anonimização abre a possibilidade de trabalhar com conjuntos de dados para analytics, treinamento de modelos e pesquisa sem estar vinculada às obrigações da LGPD que se aplicam ao tratamento de dados pessoais. É uma vantagem operacional relevante, desde que feita corretamente.
Um ponto que gera confusão frequente: anonimizar não é o mesmo que excluir dados. A exclusão elimina o dado; a anonimização transforma o dado de modo que ele perde o vínculo com o titular, mas mantém utilidade analítica. Um dataset com idades agrupadas por faixa, rendas agregadas por região e comportamentos sem identificadores ainda é útil para análises estatísticas. Simplesmente não é mais pessoal.
Anonimização versus pseudonimização: qual é a diferença
Pseudonimização substitui identificadores diretos, como nome, CPF e e-mail, por um código ou token. O dado resultante ainda permite reidentificação se o responsável tiver acesso à tabela de correspondência, à chave criptográfica ou a qualquer outro mecanismo de reversão. O vínculo com o titular existe, apenas está encoberto.
Anonimização, no sentido técnico e legal, implica irreversibilidade. Não existe chave, não existe tabela, não existe processo documentado que permita recuperar o titular original. Essa distinção tem consequências jurídicas diretas: dados pseudonimizados continuam sendo dados pessoais para a LGPD; dados verdadeiramente anonimizados saem do escopo da lei.
A LGPD trata os dois conceitos de forma separada por uma razão objetiva. O art. 13, §4º menciona a pseudonimização como medida de segurança que pode reduzir riscos, mas não como equivalente à anonimização. Equipes de compliance que tratam dados pseudonimizados como se fossem anonimizados estão operando fora da conformidade sem perceber.
Esse é um dos erros mais comuns em projetos de dados no Brasil: mascarar um CPF com hash MD5 ou substituir o nome por um ID sequencial e classificar o conjunto como “anonimizado”. Se existe qualquer possibilidade técnica razoável de reversão, o dado é pseudonimizado, e as obrigações legais permanecem intactas.
Principais técnicas de anonimização de dados
Generalização
Generalização substitui valores precisos por categorias ou intervalos. Idade exata vira faixa etária (ex.: 35–44 anos); CEP completo vira apenas os três primeiros dígitos; valor de renda vira faixa de renda. O dado perde granularidade, mas preserva valor estatístico para análises populacionais.
O desafio está em calibrar o nível de generalização. Generalizar demais reduz a utilidade analítica; generalizar de menos mantém o risco de reidentificação. O nível adequado depende do contexto, do volume de dados e das outras variáveis presentes no dataset, sem fórmula universal.
Supressão
Supressão remove atributos que, isoladamente ou em combinação, identificam o titular. Nome, CPF e endereço completo são os candidatos óbvios, mas a supressão pode precisar ir além. Combinações de atributos aparentemente inócuos, como sexo, CEP e data de nascimento, são suficientes para reidentificar a maioria das pessoas em bases com tamanho suficiente.
Em alguns casos, linhas inteiras precisam ser suprimidas quando um indivíduo é tão raro na população que qualquer representação dele no dataset o tornaria identificável, como uma pessoa com uma condição de saúde extremamente incomum em um município pequeno.
Perturbação e adição de ruído
Perturbação adiciona variação controlada a valores numéricos. Uma renda de R$ 8.347 pode ser alterada para um valor próximo dentro de uma faixa estatisticamente aceitável, dificultando a correspondência com registros externos. A técnica é comum em dados financeiros e de saúde onde a granularidade numérica é um vetor de reidentificação.
O ruído precisa ser calibrado com cuidado: ruído insuficiente não protege; ruído excessivo distorce as distribuições e invalida análises estatísticas. A adição de ruído costuma ser combinada com outras técnicas, não aplicada de forma isolada.
K-anonimato, l-diversidade e t-closeness
K-anonimato é um padrão técnico que garante que cada registro em um dataset seja indistinguível de pelo menos k-1 outros registros com base nos atributos quasi-identificadores. Se k=5, nenhum indivíduo pode ser isolado de um grupo menor que 5 pessoas com as mesmas características.
L-diversidade complementa o k-anonimato ao exigir que os atributos sensíveis (como diagnóstico médico ou faixa salarial) apresentem pelo menos l valores distintos dentro de cada grupo. Isso previne ataques de homogeneidade, nos quais todos os registros de um grupo k têm o mesmo valor sensível.
T-closeness vai além e exige que a distribuição de atributos sensíveis dentro de cada grupo seja próxima da distribuição global do dataset. Cada padrão adiciona proteção, mas também adiciona complexidade de implementação e custo em termos de utilidade dos dados.
Differential Privacy
Differential Privacy é uma abordagem matemática que oferece garantias probabilísticas sobre a privacidade individual. Em vez de transformar os dados diretamente, introduz ruído calibrado de forma que a presença ou ausência de qualquer registro individual não altere significativamente os resultados de consultas ao dataset.
A técnica é usada em produção por grandes plataformas de tecnologia para coleta de dados de uso e telemetria. A implementação correta exige expertise estatística relevante, e parâmetros mal calibrados podem tanto comprometer a privacidade quanto tornar os dados inutilizáveis. Não é uma solução plug-and-play.
O risco de reidentificação e a abordagem baseada em risco
Em 2006, pesquisadores conseguiram reidentificar usuários no dataset de avaliações de filmes da Netflix cruzando as avaliações anônimas com dados públicos do IMDb. Em 2000, Latanya Sweeney demonstrou que 87% da população americana poderia ser identificada unicamente pela combinação de CEP, data de nascimento e sexo, todos atributos frequentemente presentes em datasets “anonimizados”. Esses casos não são exceções históricas; são referências metodológicas que continuam relevantes.
A LGPD adota deliberadamente um critério baseado em risco ao definir dado anonimizado. A expressão “meios técnicos razoáveis e disponíveis na ocasião do tratamento” reconhece que a fronteira entre anonimizado e reidentificável é dinâmica. O que é tecnicamente difícil hoje pode ser trivial daqui a três anos com novos modelos de IA ou novas bases públicas disponíveis.
Avaliar o risco residual de reidentificação antes de classificar um dataset exige uma análise estruturada: quais atributos quasi-identificadores estão presentes? Qual é o tamanho do grupo mínimo para cada combinação? Existem bases externas acessíveis que poderiam ser cruzadas? O resultado esperado é um documento de avaliação de risco, não uma decisão informal.
No contexto brasileiro, o risco é amplificado pela disponibilidade de bases públicas ricas. Dados do TSE com nome, endereço e filiação partidária são públicos. Bases do IBGE com dados demográficos por setor censitário são públicas. O Cadastro Nacional de Estabelecimentos de Saúde é público. Cruzar um dataset “anonimizado” com essas fontes é uma operação acessível a qualquer analista com conhecimento básico de SQL.
Anonimização na LGPD: implicações práticas para empresas
Dados verdadeiramente anonimizados estão fora do escopo da LGPD, conforme o art. 12. Não é necessário base legal, não há obrigação de resposta a direitos do titular e o dado pode ser compartilhado com terceiros sem as restrições aplicáveis ao dado pessoal. Para operações de analytics e ciência de dados, essa é uma diferença operacional significativa.
O mesmo art. 12 traz uma exceção importante: quando dados anonimizados são usados para formação de perfil comportamental de pessoa natural, mesmo que não identificável, a LGPD pode ser aplicada. Isso afeta diretamente plataformas de publicidade programática, sistemas de recomendação e qualquer operação que construa perfis a partir de comportamento agregado.
Para uso em analytics descritivo, treinamento de modelos de machine learning e pesquisa científica, dados anonimizados oferecem uma base legal mais limpa e operacionalmente mais simples. Não é necessário vincular o processamento a uma das hipóteses do art. 7º. O dado simplesmente não é pessoal, e a LGPD não se aplica a ele.
Documentar o processo de anonimização é indispensável para fins de accountability. O registro deve incluir: quais técnicas foram aplicadas, com quais parâmetros, sobre qual versão do dataset, por quem e quando. Essa documentação é o que permite demonstrar, em caso de questionamento pela ANPD ou em litígio, que a classificação como dado anonimizado foi baseada em critério técnico, não em conveniência.
Boas práticas para implementar anonimização em projetos de dados
Defina o modelo de ameaça antes de escolher a técnica
A escolha da técnica de anonimização deve ser precedida por uma pergunta concreta: quem poderia tentar reidentificar os dados, com que recursos e com acesso a quais fontes externas? Um dataset compartilhado com um parceiro de pesquisa enfrenta um modelo de ameaça diferente de um dataset publicado abertamente na internet. A técnica adequada para cada caso é diferente.
Integre segurança da informação, jurídico e dados desde o início
Anonimização não é uma decisão exclusivamente técnica nem exclusivamente jurídica. Equipes de segurança trazem a visão sobre vetores de ataque; o jurídico delimita as obrigações regulatórias; a equipe de dados avalia a utilidade residual após a aplicação das técnicas. Tomar essa decisão em silos produz resultados inadequados em pelo menos uma dessas dimensões.
Teste a robustez com ataques simulados de reidentificação
Após aplicar as técnicas, realize tentativas controladas de reidentificação. Use as bases públicas brasileiras disponíveis. Tente cruzamentos com dados do TSE, do IBGE, do CNES. Se membros da equipe interna conseguem reidentificar registros com esforço razoável, a anonimização é insuficiente. Esse teste deve ser documentado como parte do processo.
Revise periodicamente
Uma anonimização tecnicamente adequada hoje pode se tornar insuficiente com a publicação de uma nova base de dados pública, com avanços em modelos de inferência ou com o crescimento do volume de dados cruzáveis disponíveis. Estabeleça um ciclo de revisão, anual no mínimo, para avaliar se as técnicas aplicadas continuam oferecendo proteção suficiente frente ao contexto atual.
Ferramentas de referência para equipes técnicas
Para equipes que precisam implementar anonimização com rigor técnico, algumas ferramentas open-source oferecem ponto de partida sólido. O ARX Data Anonymization Tool implementa k-anonimato, l-diversidade, t-closeness e outras variantes, com interface gráfica e API Java. O sdcMicro, pacote R mantido pelo IHSN e Banco Mundial, é referência em disclosure control para microdados estatísticos. A biblioteca Google Differential Privacy, disponível em C++, Go e Java, oferece implementações auditadas de mecanismos de privacidade diferencial.
Nenhuma dessas ferramentas elimina a necessidade de expertise para configurar corretamente os parâmetros. Elas implementam os algoritmos; a responsabilidade pela escolha dos parâmetros adequados ao contexto específico é da equipe que as opera.
Como avaliar se sua anonimização é suficiente
Uma forma estruturada de avaliar a suficiência da anonimização combina três perguntas objetivas. Primeiro: existe algum atributo ou combinação de atributos no dataset que, cruzado com fontes externas razoavelmente acessíveis, isolaria um indivíduo? Segundo: o tamanho mínimo dos grupos formados pelos quasi-identificadores é aceitável dado o contexto de uso e compartilhamento? Terceiro: o processo de anonimização está documentado de forma que possa ser reproduzido e auditado?
Se a resposta à primeira pergunta for “sim” ou “não sei”, a anonimização precisa ser revisada antes de o dado ser classificado como fora do escopo da LGPD. Se a documentação mencionada na terceira pergunta não existe, o ponto de partida é criá-la, independentemente de qualquer outra avaliação técnica.
O próximo passo concreto para equipes que ainda não têm um processo formal é mapear todos os datasets internos que são tratados como “anonimizados” e verificar, para cada um, qual técnica foi aplicada, com quais parâmetros e com base em qual avaliação de risco. Na maioria dos casos, esse mapeamento revela que parte significativa desses dados é, na prática, pseudonimizada, e as obrigações da LGPD se aplicam integralmente a eles.
