O que a LGPD define como dado anonimizado

A LGPD distingue dado anônimo de dado anonimizado, e essa distinção tem consequências jurídicas diretas. Dado anônimo é aquele que nunca permitiu identificar ninguém: nasce sem vínculo com uma pessoa natural. Dado anonimizado, por sua vez, era originalmente pessoal e passou por um processo técnico para eliminar ou tornar impraticável essa identificação.

A base normativa está no artigo 12 da lei: dados anonimizados não são considerados dados pessoais para fins de aplicação da LGPD, salvo quando o processo de anonimização puder ser revertido. A lógica é de exclusão do regime de proteção, não de ausência de risco. O legislador reconhece que o dado continua existindo; apenas o retira do escopo regulatório quando a anonimização é suficientemente sólida.

A implicação prática é imediata: a empresa que trata dados anonimizados não elimina o dado nem o risco associado. Afasta, condicionalmente, as obrigações da LGPD. Se a condição falhar, ou seja, se a reidentificação for possível, o dado volta a ser pessoal e toda a estrutura legal se reaplica.

Quando o dado anonimizado volta a ser dado pessoal

O próprio artigo 12 traz a exceção: se o processo de anonimização puder ser revertido utilizando meios próprios ou razoáveis, o dado é tratado como pessoal. A formulação é deliberadamente ampla. “Meios razoáveis” não exige que o agente de tratamento detenha pessoalmente a capacidade de reversão: basta que essa capacidade exista no mercado ou seja tecnicamente alcançável por terceiros com recursos proporcionais ao valor dos dados.

A ANPD tem competência para definir parâmetros técnicos mínimos que caracterizem uma anonimização válida, mas até o momento não publicou regulamentação específica e detalhada sobre o tema. Na ausência desses parâmetros, a responsabilidade pela avaliação recai inteiramente sobre o controlador. Se um pesquisador, um concorrente ou um agente malicioso demonstrar posteriormente que a reidentificação era viável, a empresa que declarou os dados como anonimizados responde pela ausência de base legal para o tratamento original.

A posição de risco é assimétrica: a empresa declara a anonimização no momento do tratamento, mas a suficiência desse processo pode ser contestada anos depois, com ferramentas e bases de dados que ainda não existiam. Esse gap temporal é um dos maiores passivos jurídicos ignorados em operações de dados no Brasil.

Reidentificação: por que anonimizar é mais difícil do que parece

Linkage attacks e combinação de atributos

Um dos vetores mais comuns de reidentificação é o chamado linkage attack: cruzar um dataset anonimizado com uma base externa que contenha atributos comuns. Individualmente, informações como CEP, data de nascimento e sexo parecem inofensivas. Combinadas, elas identificam uma parcela significativa da população com precisão surpreendente. Estudos clássicos mostram que 87% dos americanos eram unicamente identificáveis apenas com esses três campos.

Casos documentados

Datasets públicos de saúde, mobilidade urbana e comportamento de consumo já foram reidentificados por pesquisadores em contextos variados. O caso mais citado é o da Netflix Prize: um dataset de avaliações de filmes, supostamente anonimizado, foi reidentificado cruzando os dados com avaliações públicas no IMDb. No setor de saúde brasileiro, pesquisadores já demonstraram vulnerabilidades em bases do DATASUS usando apenas campos disponíveis publicamente.

O problema das bases abertas no Brasil

O contexto brasileiro amplifica o risco. O país dispõe de um volume expressivo de dados em bases abertas: cadastros do governo federal, dados eleitorais, registros imobiliários, informações de saúde pública. Combinados com o histórico de vazamentos de dados de grande escala registrados nos últimos anos, o ecossistema de dados disponíveis externamente é suficientemente rico para tornar vulneráveis anonimizações que seriam consideradas adequadas em outros países.

Técnicas de anonimização e seus limites práticos

Generalização, supressão e perturbação

Generalização substitui valores específicos por intervalos ou categorias: idade exata vira faixa etária, CEP vira região. Supressão remove campos ou registros inteiros que apresentam risco de identificação. Perturbação (ou ruído) adiciona variações aleatórias aos dados originais. Cada técnica tem ponto de falha: a generalização excessiva destrói utilidade analítica; a supressão cria vieses; a perturbação, se mal calibrada, pode ser revertida estatisticamente.

k-anonimato, l-diversidade e differential privacy

k-anonimato garante que cada registro seja indistinguível de pelo menos k-1 outros registros com base nos atributos quasi-identificadores. l-diversidade adiciona a exigência de que os atributos sensíveis dentro de cada grupo k sejam suficientemente variados, mitigando ataques de homogeneidade. Differential privacy introduz ruído matemático calibrado de forma que a presença ou ausência de um indivíduo específico na base não altere significativamente os resultados de qualquer consulta.

Cada abordagem eleva o grau de proteção, mas também reduz a utilidade dos dados. Differential privacy é considerada o estado da arte em privacidade formal, mas pode tornar análises granulares inviáveis dependendo do tamanho da base e do nível de ruído necessário.

Pseudonimização não é anonimização

A confusão entre pseudonimização e anonimização é frequente no mercado brasileiro e gera passivos regulatórios silenciosos. Pseudonimização substitui identificadores diretos por códigos ou tokens, mas a chave de reversão existe e o dado permanece pessoal para fins da LGPD. Sistemas que substituem CPF por um hash reversível, por exemplo, são pseudonimizados, não anonimizados. A LGPD menciona pseudonimização em outros contextos (como medida de segurança), mas nunca como equivalente à anonimização.

Implicações práticas para quem trata dados no Brasil

Documentação como condição mínima

Declarar que os dados foram anonimizados sem documentar o processo técnico utilizado é insuficiente para sustentar a exclusão do escopo da LGPD. A documentação deve registrar a técnica aplicada, os parâmetros escolhidos, a avaliação de risco residual realizada no momento do tratamento e os atributos considerados quasi-identificadores. Esse registro é o único elemento que permite demonstrar boa-fé e diligência técnica em caso de questionamento posterior.

Avaliação contínua de risco residual

Anonimização não é um estado permanente: é uma condição que se degrada à medida que o ambiente externo evolui. Uma anonimização considerada adequada em 2021 pode ser insuficiente em 2025, dado o surgimento de novas bases abertas, o avanço de modelos de inferência e o histórico crescente de vazamentos que enriquecem dados disponíveis publicamente. A avaliação de risco residual precisa ser periódica, não um checklist de onboarding.

Cláusulas contratuais com fornecedores

Empresas que recebem dados “anonimizados” de fornecedores precisam incluir nos contratos cláusulas que atribuam responsabilidade explícita ao fornecedor em caso de falha no processo. Isso inclui obrigação de notificação caso o fornecedor identifique vulnerabilidade posterior, direito de auditoria sobre o processo técnico e indenização por eventuais sanções regulatórias decorrentes de anonimização inadequada. Aceitar um dataset como anonimizado sem garantias contratuais transfere silenciosamente o risco para o receptor.

Revisão diante de novas fontes externas

Quando uma nova base de dados pública é lançada, ou quando um vazamento de grande escala torna disponíveis atributos antes indisponíveis, as empresas devem reavaliar se seus datasets anonimizados continuam protegidos contra linkage. Esse processo não precisa ser inteiramente manual: ferramentas de avaliação de risco de reidentificação existem e podem ser integradas a pipelines de dados, mas exigem governança formal para ser executadas de forma sistemática.

Resumo: o que profissionais de dados precisam saber

Dado anonimizado não está automaticamente fora da LGPD. A exclusão do regime de proteção depende da solidez e da irreversibilidade demonstrável do processo aplicado. A pergunta relevante não é “anonimizamos os dados?”: é “a reidentificação é tecnicamente viável com recursos razoáveis disponíveis hoje e nos próximos anos?”

Uma postura conservadora — tratar dados anonimizados com algumas das cautelas aplicáveis a dados pessoais, especialmente em relação à documentação e à avaliação contínua de risco — reduz exposição regulatória e reputacional. Com dados cada vez mais interconectados, a fronteira entre dado anonimizado e dado pessoal é porosa e se move ao longo do tempo.

Acompanhar os atos regulatórios da ANPD sobre padrões técnicos de anonimização deixou de ser opcional. Quando a autoridade publicar parâmetros específicos, empresas que não os adotarem terão dificuldade em sustentar que seu processo é válido, independentemente do que consideravam adequado antes.

Como avaliar a robustez da sua anonimização

• Mapeie os quasi-identificadores presentes no dataset: atributos que, combinados, podem identificar indivíduos mesmo sem nome ou CPF.
• Realize um teste de linkage cruzando o dataset anonimizado com ao menos duas bases externas relevantes ao contexto: bases abertas do governo, redes sociais ou cadastros setoriais.
• Documente formalmente a técnica utilizada, os parâmetros aplicados e o resultado da avaliação de risco residual, com data e responsável técnico.
• Defina uma periodicidade de reavaliação: anual como mínimo, ou imediata diante de novos vazamentos relevantes ou publicação de bases públicas com atributos correlacionados.
• Revise contratos com fornecedores de dados anonimizados para incluir cláusulas de responsabilidade, auditoria e notificação por falhas no processo.
• Monitore publicações da ANPD sobre regulamentação técnica de anonimização e atualize seus processos conforme os parâmetros forem estabelecidos.