O que são dados anonimizados segundo a LGPD

O Art. 12 da LGPD define dados anonimizados como aqueles relativos a um titular que não possa ser identificado, “considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento”. O critério central é a irreversibilidade: se o processo de anonimização puder ser desfeito, o dado continua sendo pessoal para todos os efeitos legais.

Três categorias precisam ser separadas. O dado pessoal identifica ou torna identificável uma pessoa natural. O dado anônimo originalmente nunca teve vínculo com um titular, como estatísticas populacionais agregadas sem origem individual. O dado anonimizado nasceu como dado pessoal e passou por um processo técnico para eliminar esse vínculo de forma permanente.

A irreversibilidade é o que determina o enquadramento legal. Não basta embaralhar ou ocultar identificadores; é preciso garantir que nenhum meio razoável permita reconstituir a identidade do titular. Esse requisito afasta soluções superficiais e exige que as organizações avaliem o processo de anonimização de forma contínua, não apenas no momento da implementação.

As principais técnicas reconhecidas pela literatura técnica e por autoridades de proteção de dados incluem:

• Generalização: substitui valores precisos por intervalos ou categorias (ex.: idade exata vira faixa etária).
• Supressão: remove atributos ou registros que permitiriam identificação.
• Perturbação: introduz ruído estatístico nos dados para dificultar a identificação individual.
• Agregação: combina dados de múltiplos indivíduos em métricas coletivas, eliminando a granularidade individual.

Nenhuma dessas técnicas opera isoladamente como solução completa. Na prática, processos sólidos de anonimização combinam mais de uma abordagem e avaliam o resultado contra ataques conhecidos de reidentificação.

Quando dados anonimizados ficam fora do escopo da LGPD

A regra geral do Art. 12 é direta: dados devidamente anonimizados não são considerados dados pessoais para fins da lei. Isso tem consequências práticas significativas para organizações que tratam grandes volumes de dados.

Uma vez que o dado deixa de ser pessoal, a organização fica dispensada de manter base legal para o tratamento, de registrar as operações no Registro de Atividades de Tratamento (ROPA), de atender a solicitações de titulares relativas àquele dado e de notificar incidentes de segurança que envolvam exclusivamente esses dados. Em termos operacionais, isso representa uma redução considerável de encargos de compliance.

A condição é que o processo de anonimização seja tecnicamente sólido e documentado. Não basta declarar que os dados foram anonimizados. A organização precisa demonstrar, por meio de evidências técnicas, que o processo empregado atende a parâmetros reconhecidos e foi aplicado corretamente ao conjunto de dados em questão.

A ANPD tem competência para definir parâmetros técnicos mínimos que permitam reconhecer uma anonimização como válida. Até a publicação de regulamentação específica, as organizações devem se orientar por padrões internacionais consolidados e manter documentação suficiente para demonstrar a adequação do processo escolhido em caso de questionamento.

Exceção: quando a anonimização não afasta a LGPD

O próprio Art. 12 traz a ressalva: se o processo de anonimização puder ser revertido, o dado retorna à categoria de dado pessoal e se sujeita integralmente à LGPD. Essa exceção não é marginal — ela é o coração do regime jurídico da anonimização.

O conceito de reidentificabilidade leva em conta um conjunto de fatores que elevam o risco de reversão:

• Volume de dados disponíveis: quanto maior o conjunto de dados sobre um indivíduo, maior a chance de cruzamento que permita identificá-lo.
• Cruzamento com bases externas: bases públicas, registros comerciais, redes sociais e dados de terceiros podem ser usados para reidentificar indivíduos aparentemente anonimizados.
• Evolução tecnológica: técnicas de machine learning e de inferência estatística tornam ataques de reidentificação progressivamente mais acessíveis, mesmo com dados que pareciam seguros anos atrás.

A responsabilidade recai sobre o controlador. Cabe a ele garantir que a reversão não seja possível com meios razoáveis disponíveis no momento do tratamento e monitorar se isso continua verdadeiro ao longo do tempo. A adoção de uma técnica adequada no passado não imuniza a organização se o estado da arte evoluir e tornar a reidentificação factível.

A ANPD pode, em fiscalização, considerar um dado como pessoal mesmo que a organização tenha declarado formalmente sua anonimização, caso constate que o processo adotado não era tecnicamente suficiente ou que existem evidências de reidentificação. Nesse cenário, todas as obrigações da LGPD retroagem ao tratamento daquele dado.

Anonimização versus Pseudonimização: diferença que importa

A pseudonimização substitui identificadores diretos, como nome, CPF e e-mail, por códigos ou tokens, mas mantém uma chave que permite a reidentificação. O dado pseudonimizado continua sendo dado pessoal sob a LGPD, porque o elo com o titular não foi eliminado, apenas deslocado para outro lugar.

A anonimização verdadeira elimina esse elo de forma irreversível. Não existe chave, não existe processo de reversão possível com meios razoáveis. A distinção parece simples na teoria, mas tem implicações operacionais profundas: sistemas que mantêm uma tabela de correspondência entre o identificador original e o pseudônimo são, por definição, sistemas que tratam dados pessoais.

Bancos de dados de CRM e CDPs (Customer Data Platforms) operam quase sempre com pseudonimização, não com anonimização. A identidade do cliente precisa estar acessível para personalização, atribuição de campanhas, atendimento e resolução de identidade entre canais. Isso é legítimo, mas precisa ser tratado como tratamento de dados pessoais, com todas as obrigações correspondentes.

Um erro recorrente no mercado brasileiro é aplicar hashing simples de e-mail ou CPF e declarar o resultado como dado anonimizado. Hashing determinístico não é anonimização: o mesmo input sempre gera o mesmo output, e tabelas de hash pré-calculadas (rainbow tables) ou força bruta sobre CPFs, um universo finito e bem estruturado, tornam a reversão tecnicamente trivial.

Para fins de accountability, a documentação deve descrever: a técnica empregada, os parâmetros configurados, o conjunto de dados ao qual foi aplicada, a avaliação de risco de reidentificação realizada antes e depois do processo, e a data da aplicação. Essa documentação deve integrar o programa de governança de dados da organização e estar disponível para auditoria interna e regulatória.

Anonimização como encerramento do ciclo de tratamento

A LGPD prevê que o tratamento de dados pessoais deve ser encerrado quando a finalidade for alcançada, quando o dado deixar de ser necessário ou quando o titular exercer o direito à exclusão. Uma das formas de encerrar esse ciclo, além da eliminação física, é a anonimização irreversível.

Para que essa alternativa seja válida, a anonimização precisa atender a requisitos cumulativos: ser tecnicamente sólida, estar documentada, ser proporcional à finalidade original do tratamento e aplicada de boa-fé. Organizações que anonimizam dados apenas para escapar de solicitações de titulares, sem atender ao critério técnico, estão expostas a questionamentos legais.

No contexto do direito à exclusão, a anonimização pode ser apresentada como resposta ao titular, desde que a organização comprove que o processo eliminou qualquer possibilidade de identificação. Titulares têm direito a questionar a suficiência da técnica adotada, e a ANPD pode intervir se a resposta for considerada inadequada.

O risco jurídico é real: se a anonimização for questionada posteriormente, seja por um titular ou pela ANPD em fiscalização, e for constatado que o processo era insuficiente, a organização pode ser responsabilizada por tratamento de dados pessoais sem base legal, por não atendimento ao direito à exclusão e, eventualmente, por incidente de segurança não notificado.

Boas práticas para anonimização segura no contexto brasileiro

Avaliar o risco de reidentificação considerando o ecossistema brasileiro

O Brasil possui bases públicas extensas, como CPF, CNPJ, registros de imóveis, dados do TSE e bases do SUS, que ampliam significativamente o risco de cruzamento com dados supostamente anonimizados. A avaliação de risco de reidentificação precisa considerar especificamente esse ecossistema, não apenas referências internacionais elaboradas em contextos com menor disponibilidade de dados públicos.

Adotar padrões técnicos reconhecidos e documentar a escolha

Técnicas como k-anonymity, l-diversity, t-closeness e differential privacy oferecem garantias formais e são amplamente documentadas na literatura científica. A escolha entre elas depende do tipo de dado, do volume e do uso pretendido. O que importa é que a decisão seja justificada tecnicamente, não apenas adotada por conveniência operacional, e que os parâmetros configurados (o valor de k, o epsilon de privacidade diferencial, etc.) estejam registrados.

Integrar o processo de anonimização ao programa de governança de dados

O registro do processo deve constar do programa formal de governança, com responsável identificado, data de aplicação, versão da técnica e resultado da avaliação de risco. Esse registro é o que permitirá à organização demonstrar accountability em caso de auditoria ou questionamento regulatório.

Revisar periodicamente a suficiência da técnica adotada

O que era tecnicamente suficiente há dois anos pode não ser hoje. Novas capacidades de inferência, novos conjuntos de dados públicos e novos ataques conhecidos de reidentificação precisam ser considerados em revisões periódicas. Estabeleça um ciclo de reavaliação, anual no mínimo, e documente os resultados.

Consultar jurídico especializado antes de declarar dados como anonimizados

A decisão de classificar um conjunto de dados como anonimizado, com todas as consequências de desoneração que isso implica, não deve ser tomada apenas pela área técnica. O alinhamento entre a avaliação técnica e a análise jurídica é indispensável para que a declaração de anonimização seja defensável diante da ANPD e, eventualmente, do Poder Judiciário.

Como avaliar se sua organização está no caminho certo

Use as perguntas abaixo como ponto de partida para revisar o tratamento de dados anonimizados na sua organização:

• Os dados que você chama de “anonimizados” passaram por avaliação formal de risco de reidentificação, considerando bases externas disponíveis no Brasil?
• A técnica adotada está documentada com os parâmetros configurados, e não apenas com o nome do método?
• Existe diferenciação clara, nos sistemas e na documentação, entre dados pseudonimizados e dados genuinamente anonimizados?
• O hashing de CPF ou e-mail é tratado como pseudonimização (dado pessoal) e não como anonimização?
• Há um ciclo de revisão periódica para verificar se as técnicas adotadas ainda são suficientes diante do estado atual da arte?
• A área jurídica foi consultada antes de qualquer declaração formal de anonimização usada para fins de desoneração da LGPD?

Responder “não” a qualquer dessas perguntas indica uma lacuna que pode representar risco regulatório concreto, e que vale corrigir antes de um questionamento externo.