O que são anonimização e pseudonimização de dados

Anonimização é o processo de remoção irreversível de identificadores que vinculam um conjunto de dados a uma pessoa natural. Após aplicada corretamente, o dado deixa de ter um titular identificável e, portanto, deixa de ser dado pessoal do ponto de vista regulatório.

Pseudonimização é diferente: os identificadores originais são substituídos por pseudônimos (tokens, hashes, códigos), mas a reversão permanece possível desde que se tenha acesso à chave ou à tabela de mapeamento mantida em separado. O dado continua vinculado a uma pessoa; apenas o vínculo fica temporariamente oculto.

Ambas as técnicas existem porque, na prática, excluir dados por completo muitas vezes inviabiliza análises legítimas — fraude histórica, comportamento de coorte, auditoria de modelos. Reduzir o risco de reidentificação sem inutilizar o dado para uso analítico é o equilíbrio que as duas abordagens tentam atingir, cada uma com um nível distinto de garantia.

Os conceitos foram formalizados no GDPR europeu (Regulamento 2016/679) e incorporados à legislação brasileira. A LGPD define dado anonimizado no art. 5º, III e trata de pseudonimização no art. 13, §4º, reconhecendo explicitamente que técnicas diferentes produzem efeitos jurídicos diferentes.

Diferenças jurídicas e técnicas entre as duas abordagens

O ponto central do ponto de vista jurídico: dado anonimizado não é dado pessoal para fins da LGPD. Isso significa que as obrigações da lei — base legal, consentimento, direitos do titular, notificação de incidentes — simplesmente não se aplicam a ele. Dado pseudonimizado, por outro lado, continua sendo dado pessoal e está sujeito a todas essas obrigações.

O critério de irreversibilidade é o que define a classificação. Tanto a ANPD quanto o EDPB (European Data Protection Board) adotam uma visão contextual: um dado é considerado efetivamente anônimo quando a reidentificação exige esforço, tempo ou recursos técnicos desproporcionais, levando em conta os meios razoavelmente disponíveis no momento e no contexto em que o dado circula.

Essa avaliação não é estática. Um conjunto de dados anonimizado hoje pode se tornar reidentificável amanhã, à medida que novas bases de dados públicas surgem ou técnicas de inferência evoluem. O risco de reidentificação por correlação cruzada, conhecido como linkage attack, é documentado em dezenas de estudos acadêmicos e deve ser reavaliado periodicamente.

As consequências práticas são significativas. Para dados pseudonimizados, a organização precisa manter base legal ativa, responder a solicitações de titulares e registrar o tratamento. Para dados genuinamente anônimos, esse overhead regulatório desaparece, o que torna a anonimização atraente para retenção de histórico agregado e ambientes analíticos.

Principais técnicas de anonimização

Generalização

Valores precisos são substituídos por faixas ou categorias. Idade exata vira faixa etária (30–39 anos); CEP completo vira região ou estado; valor exato de renda vira bracket. A granularidade é reduzida deliberadamente para que nenhum indivíduo seja singularizável dentro do grupo.

Supressão

Campos ou registros inteiros são removidos quando a simples presença do valor identificaria o titular — por exemplo, um CPF, um endereço de e-mail ou um registro médico único. A supressão pode ser total (campo excluído) ou parcial (mascaramento de dígitos centrais de um número de cartão).

Perturbação e adição de ruído

Variação estatística controlada é inserida nos valores numéricos para impedir que um registro individual seja associado com certeza a uma pessoa. Técnicas como differential privacy formalizam esse ruído com garantias matemáticas sobre o quanto a inclusão ou exclusão de um indivíduo afeta o resultado de uma consulta.

Modelos formais: k-anonimidade, l-diversidade e t-proximidade

k-anonimidade garante que cada registro seja indistinguível de pelo menos k−1 outros registros nos atributos quase-identificadores. l-diversidade acrescenta que os atributos sensíveis dentro de cada grupo devem ter pelo menos l valores distintos. t-proximidade exige que a distribuição dos atributos sensíveis em cada grupo se aproxime da distribuição global. Esses modelos são utilizados para mensurar e auditar o grau de anonimização antes de liberar um conjunto de dados.

Principais técnicas de pseudonimização

Tokenização

O identificador real (CPF, e-mail, ID de cliente) é substituído por um token opaco gerado e gerenciado por um sistema de cofre (token vault) isolado. O token não carrega nenhuma informação sobre o original; a reversão só é possível consultando o vault com credenciais adequadas. É a técnica mais comum em pipelines de dados de CDP e CRM.

Hashing com salt

Uma função de hash criptográfico (SHA-256, por exemplo) é aplicada ao identificador concatenado com um valor aleatório único por registro (salt). Isso torna ataques de dicionário e de tabela arco-íris impraticáveis. O resultado é determinístico — o mesmo input com o mesmo salt produz sempre o mesmo hash — mas irreversível sem o salt e a chave.

Criptografia determinística

Permite que o campo pseudonimizado seja usado em operações de busca e junção de tabelas sem expor o valor original. Ferramentas de banco de dados e data warehouses com suporte a colunas encriptadas usam esse mecanismo. O custo é que a análise de frequência sobre os valores encriptados ainda é possível, o que exige atenção ao modelo de ameaça.

Gestão segura da chave de reversão

A segurança de qualquer pseudonimização é proporcional ao controle sobre a chave ou o mapeamento de reversão. Isso implica separação de ambientes (a chave não vive no mesmo sistema que os dados pseudonimizados), controle de acesso baseado em função com princípio do menor privilégio, rotação periódica de chaves e trilha de auditoria de cada operação de reversão.

Aplicações práticas no contexto de CDP e CRM

Pseudonimização em pipelines de dados

Em arquiteturas de CDP, é comum separar a camada de identidade, onde vivem CPF, e-mail e telefone, da camada analítica, onde os modelos de propensão, segmentação e jornada operam sobre tokens. A camada de identidade fica em ambiente com acesso restrito; a camada analítica pode ser compartilhada com mais times sem aumentar a superfície de risco.

Anonimização para ambientes de teste e desenvolvimento

Usar dados de produção em ambientes de desenvolvimento é uma das principais causas de vazamento acidental. A anonimização, por generalização, supressão e perturbação combinadas, permite gerar bases sintéticas ou mascaradas que preservam as distribuições estatísticas necessárias para testar modelos e pipelines sem expor titulares reais.

Compartilhamento com parceiros e data clean rooms

Em integrações com parceiros e em arquiteturas de data clean room, a pseudonimização por hash com salt (usando salt compartilhado entre as partes, gerenciado pelo ambiente neutro) permite a correspondência de registros entre bases diferentes sem que nenhum lado acesse os identificadores originais da outra parte. Essa abordagem é amplamente usada em contextos de medição de mídia e audiências lookalike.

Retenção e descarte

Quando o prazo de retenção de um dado pessoal se encerra, a exclusão nem sempre é tecnicamente viável em sistemas de backup ou data lakes com particionamento por data. A anonimização efetiva, removendo ou generalizando os atributos identificadores, funciona como alternativa à exclusão quando há interesse legítimo em preservar o histórico agregado para análise longitudinal.

Conformidade com a LGPD e boas práticas para o mercado brasileiro

Posição da ANPD e lacunas regulatórias

A ANPD ainda não publicou regulamentação específica sobre os critérios técnicos de irreversibilidade para classificar um dado como anonimizado. O que existe na LGPD é o art. 12, que condiciona o reconhecimento da anonimização à utilização de “meios técnicos razoáveis e disponíveis na ocasião do tratamento”. Na ausência de norma complementar, a referência técnica mais sólida disponível é a do EDPB.

Diretrizes 01/2025 do EDPB

As Diretrizes 01/2025 do EDPB sobre pseudonimização consolidam recomendações técnicas e operacionais, separação de ambientes, gestão de chaves, modelo de ameaças, que, embora produzidas para o GDPR, são diretamente aplicáveis como referência para organizações brasileiras que precisam demonstrar rigor técnico às autoridades ou a auditores. Operações com transferências internacionais para a UE precisam observá-las obrigatoriamente.

Privacy by design

Incorporar anonimização e pseudonimização desde a modelagem do dado, no esquema do banco, no design do pipeline, na definição do modelo de identidade, é substancialmente mais barato e eficaz do que aplicá-las como correção posterior. O princípio de privacy by design, previsto no art. 46 da LGPD, exige exatamente isso: medidas técnicas integradas ao processo de desenvolvimento, não adicionadas ao final.

Documentação no RoPA

O Registro de Operações de Tratamento (RoPA) deve descrever as técnicas de proteção adotadas para cada fluxo de dados. Para pseudonimização, isso inclui: o método utilizado (tokenização, hash com salt), onde a chave de reversão é armazenada, quem tem acesso e com que frequência o acesso é auditado. Para dados considerados anonimizados, o RoPA deve registrar os critérios técnicos que sustentam essa classificação, incluindo a avaliação do risco de reidentificação, para que a organização possa demonstrar a base da decisão em caso de questionamento da ANPD.

Como avaliar e implementar na sua organização

Um ponto de partida estruturado para revisar o uso de anonimização e pseudonimização nos seus sistemas:

• Inventarie os fluxos de dados pessoais e identifique onde identificadores diretos trafegam em camadas que não precisariam tê-los (analytics, ML, homologação).
• Classifique cada fluxo pela necessidade de reversibilidade: se o caso de uso não requer nunca saber quem é o indivíduo, anonimização é a escolha correta; se eventual reversão for necessária (suporte ao cliente, exercício de direitos), pseudonimização é o caminho.
• Avalie o risco de reidentificação dos conjuntos que você já considera anônimos, especialmente aqueles compartilhados externamente. Aplique testes de k-anonimidade e verifique se novas bases públicas tornaram o conjunto mais vulnerável.
• Audite a gestão de chaves de reversão: verifique separação de ambientes, trilha de auditoria de acessos e procedimentos de rotação.
• Documente as decisões técnicas no RoPA com evidências suficientes para sustentar a classificação do dado perante a ANPD, incluindo o método adotado, a data da avaliação e os responsáveis.
• Revise periodicamente: o que é anônimo hoje pode não ser amanhã. Estabeleça um ciclo de reavaliação vinculado ao calendário de revisão do seu programa de privacidade.