O que são dados anonimizados segundo a LGPD

A LGPD define dado anonimizado no artigo 5º, inciso III: trata-se do dado relativo a um titular que não possa ser identificado por meios técnicos razoáveis disponíveis no momento do tratamento. Quando essa condição é atendida, o dado deixa de ser considerado dado pessoal e sai do escopo de proteção da lei.

Essa saída do escopo tem consequências práticas relevantes. Organizações que tratam apenas dados genuinamente anonimizados ficam dispensadas de base legal, registro de operações de tratamento e parte das obrigações de resposta ao titular. O incentivo regulatório à anonimização é, portanto, concreto.

O ponto crítico está na expressão “meios razoáveis”. A LGPD não adota um critério absoluto ou tecnológico fixo. A avaliação é contextual: leva em conta os recursos financeiros, o tempo necessário e as tecnologias disponíveis para um eventual reidentificador. O mesmo conjunto de dados pode ser considerado anonimizado hoje e não anonimizado daqui a dois anos.

A ANPD tem competência para estabelecer os parâmetros técnicos que definem o que são “meios razoáveis” em cada contexto. Até o momento, a autoridade não publicou regulamentação técnica detalhada sobre o tema, o que torna a referência a normas internacionais, como as diretrizes do EDPB europeu e o NIST Privacy Framework, o caminho mais seguro para equipes jurídicas e de dados.

Anonimização x Pseudonimização: diferenças essenciais

Dados anonimizados são aqueles em que a relação entre o dado e o titular foi eliminada de forma irreversível, sem que nenhuma chave, tabela de mapeamento ou processo técnico permita a reconstituição. Pseudonimização substitui identificadores diretos por pseudônimos, como tokens, hashes ou códigos internos, mas mantém a possibilidade de reversão mediante acesso à chave de correlação.

O dado pseudonimizado continua sendo dado pessoal sob a LGPD. A pseudonimização é uma medida de segurança e de minimização de risco, não uma técnica de anonimização. Tratar os dois conceitos como equivalentes é um erro de conformidade recorrente em equipes de engenharia que aplicam tokenização de CPF e declaram os dados como “anonimizados” em políticas internas.

Um exemplo prático ilustra bem a diferença. Tokenizar um CPF, substituindo-o por um token gerado deterministicamente com uma chave armazenada internamente, é pseudonimização: o dado pode ser revertido por quem detém a chave. Agregar comportamentos de compra em faixas etárias e regiões, descartando os registros individuais originais, é uma forma de anonimização por agregação, desde que o conjunto resultante não permita singularizar indivíduos.

Confundir os dois conceitos gera riscos diretos: a empresa pode crer que está operando fora do escopo da LGPD quando, na realidade, continua tratando dados pessoais sem base legal adequada, sem registro de operações e sem mecanismos de resposta ao titular.

Técnicas de anonimização mais utilizadas

Generalização

Substitui valores precisos por categorias mais amplas. A data de nascimento “12/03/1985” vira “entre 35 e 45 anos”. O CEP completo vira apenas os três primeiros dígitos. A generalização reduz a especificidade do dado sem eliminar sua utilidade analítica para agregações populacionais.

Supressão

Remove atributos identificadores diretos: nome, CPF, e-mail, telefone, endereço completo. É a técnica mais simples e geralmente a primeira etapa de qualquer pipeline de anonimização. Sozinha, raramente é suficiente: bases com muitos atributos combinados ainda permitem singularização mesmo após a remoção dos identificadores primários.

Perturbação e ruído

Adiciona variação estatisticamente controlada a dados numéricos. Uma renda de R$ 4.800 pode ser substituída por um valor gerado dentro de uma faixa aceitável de erro. A técnica é comum em releases de microdados governamentais e em aplicações de differential privacy, como as adotadas pelo U.S. Census Bureau e pelo Apple em coleta de métricas de uso.

Agregação e síntese

Em vez de trabalhar com registros individuais, os modelos operam apenas sobre métricas coletivas: médias, medianas, distribuições, proporções. Dados sintéticos, gerados por modelos estatísticos ou por GANs treinadas sobre dados reais, representam uma evolução dessa abordagem, permitindo preservar padrões populacionais sem expor nenhum registro original.

K-anonimato e modelos derivados

O k-anonimato estabelece que cada registro em um dataset deve ser indistinguível de pelo menos k-1 outros registros para o conjunto de atributos quasi-identificadores. Modelos derivados como l-diversity e t-closeness adicionam proteções contra ataques de inferência sobre atributos sensíveis dentro de grupos homogêneos. Esses padrões funcionam como referência técnica de auditabilidade e são amplamente citados em literatura de privacidade por design.

Por que dados anonimizados raramente são 100% anônimos

O risco de reidentificação por cruzamento de bases é bem documentado. Em 2006, pesquisadores demonstraram que 87% dos americanos podiam ser identificados de forma única apenas com CEP, data de nascimento e sexo, três atributos presentes em praticamente qualquer base de saúde ou varejo. Datasets de mobilidade e localização são ainda mais vulneráveis: estudos publicados em Nature mostram que quatro pontos de localização com resolução de bairro são suficientes para singularizar 95% dos indivíduos.

No contexto brasileiro, o crescimento de bases abertas de governo, como RAIS, CNES, dados do SUS, registros de propriedade e informações do CadÚnico disponíveis em portais de transparência, aumenta significativamente a superfície de correlação disponível para um eventual reidentificador. Uma base interna “anonimizada” pode ser cruzada com registros públicos por simples operações de record linkage.

O conceito de “meios razoáveis” da LGPD é dinâmico por definição. O que exige alto esforço computacional hoje pode ser trivial com hardware mais barato ou com modelos de IA mais eficientes em dois ou três anos. Políticas de anonimização precisam, por isso, de revisão periódica e não podem ser tratadas como decisões técnicas permanentes.

A consequência prática para equipes de dados é que a anonimização deve ser tratada como uma gestão contínua de risco, não como um estado binário. O objetivo não é atingir anonimização perfeita, matematicamente impossível na maioria dos casos reais, mas reduzir o risco de reidentificação a um nível que os “meios razoáveis” disponíveis não consigam superar.

Uso de dados anonimizados em CDP, CRM e analytics

Quando a anonimização é tecnicamente sustentável, os dados resultantes podem ser utilizados para modelagem de audiência, segmentação comportamental e análise preditiva sem necessidade de consentimento adicional ou de base legal específica da LGPD. Esse é um dos principais atrativos da anonimização para equipes de marketing e produto que operam com grandes volumes de dados históricos.

A limitação mais relevante é a perda de granularidade. Modelos de propensão, recomendação personalizada e LTV individual dependem de atributos no nível do usuário. Dados agregados ou generalizados reduzem a precisão dessas aplicações de forma proporcional ao grau de anonimização aplicado. Há, portanto, uma tensão estrutural entre conformidade e utilidade analítica que precisa ser gerenciada explicitamente.

A recomendação prática para equipes de dados é definir, antes de iniciar qualquer processo de anonimização, quais casos de uso serão suportados pelos dados resultantes. Anonimizar sem saber o destino analítico frequentemente resulta em dados que não servem ao propósito original nem são suficientemente anônimos para operar fora do escopo da lei.

No setor de saúde, o uso de bases secundárias anonimizadas é central para pesquisa epidemiológica e vigilância sanitária. O DATASUS e bases do Ministério da Saúde são utilizados com técnicas de agregação e supressão para estudos populacionais. Mesmo assim, pesquisadores precisam de protocolos de acesso controlado em muitos casos, reconhecendo que a anonimização por si só não elimina completamente o risco de reidentificação em datasets de saúde com alta dimensionalidade.

Como avaliar se um dado está de fato anonimizado

Este checklist não substitui análise jurídica ou auditoria técnica especializada, mas serve como ponto de partida para equipes internas estruturarem sua avaliação.

1. Identificadores diretos foram removidos ou substituídos de forma irreversível?

Verifique se nome, CPF, CNPJ, e-mail, telefone e outros identificadores primários foram suprimidos ou substituídos sem que exista chave de reversão acessível. Se a chave existe em qualquer sistema interno, o dado é pseudonimizado, não anonimizado.

2. O dataset resiste a ataques de reidentificação com as bases disponíveis no contexto operacional?

Mapeie quais bases públicas ou privadas estão disponíveis para um potencial reidentificador no seu setor. Teste combinações de atributos quasi-identificadores, como faixa etária, região, cargo ou especialidade médica, contra essas bases. Ferramentas como ARX Data Anonymization Tool, sdcMicro e bibliotecas de differential privacy em Python permitem avaliar k-anonimato e risco de reidentificação de forma sistemática.

3. O processo está documentado?

A LGPD impõe accountability. Mesmo que dados anonimizados estejam fora do escopo da lei, documentar as técnicas utilizadas, os atributos removidos, os testes realizados e a data da avaliação é essencial para demonstrar boa-fé em caso de questionamento regulatório ou de reidentificação involuntária.

4. Existe um calendário de revisão?

Defina com que frequência a avaliação será revisitada, no mínimo anualmente, ou sempre que novas bases correlatas relevantes se tornarem públicas no setor. Registre o que motivou cada revisão e o resultado do reteste de resistência à reidentificação.

Anonimização eficaz é menos sobre aplicar uma técnica específica e mais sobre manter um processo contínuo de avaliação de risco proporcional ao contexto. Organizações que tratam isso como um projeto pontual de engenharia, e não como uma prática de governança de dados, tendem a acumular passivo regulatório sem perceber.