O que é anonimização de dados

Anonimização de dados é o processo de transformar dados pessoais de forma que o titular não possa mais ser identificado, nem direta nem indiretamente, por qualquer meio razoável disponível. O resultado esperado é um conjunto de dados que deixa de ter vínculo com uma pessoa natural específica.

A Lei nº 13.709/2018 (LGPD) trata o dado anonimizado de forma distinta do dado pessoal. Enquanto dados pessoais são qualquer informação que permita identificar uma pessoa, dados anonimizados, quando o processo foi efetivamente bem executado, ficam fora do escopo de proteção da lei. Isso tem implicações práticas significativas para como as organizações podem usá-los.

O critério central que determina se a anonimização é efetiva é a irreversibilidade. Se existe alguma forma técnica, por menor que seja, de reverter o processo e recuperar os dados originais, o dado ainda é considerado pessoal. Não basta remover o nome ou o CPF: é preciso garantir que nenhuma combinação de atributos remanescentes permita a reidentificação.

Anonimização vs. pseudonimização: qual a diferença

Pseudonimização é uma técnica que substitui identificadores diretos, como nome, CPF ou e-mail, por códigos ou tokens gerados artificialmente. A diferença fundamental em relação à anonimização é que existe uma chave ou tabela de correspondência que permite reverter o processo e recuperar os dados originais.

Dados pseudonimizados continuam sendo considerados dados pessoais pela LGPD. Mesmo que a chave de reversão esteja protegida e sob controle restrito, a possibilidade técnica de reidentificação é suficiente para manter o dado dentro do escopo legal. O controlador que usa pseudonimização precisa respeitar todas as obrigações da lei.

A escolha entre as duas abordagens depende da finalidade de uso. A pseudonimização é adequada quando os dados precisam ser recuperados no futuro, como em processos de atendimento. A anonimização é indicada quando o dado será usado apenas para fins analíticos ou estatísticos, sem necessidade de vínculo com o titular.

Na prática, a diferença fica clara em dois exemplos opostos: a tokenização de CPF, que gera um código reversível mantido em banco interno, é pseudonimização. A supressão definitiva do campo CPF, sem armazenamento de qualquer referência, é um passo em direção à anonimização real, desde que outros atributos também não permitam a reidentificação.

Principais técnicas de anonimização

Supressão

A supressão consiste na remoção direta de campos que identificam o titular. É a técnica mais simples e, quando aplicada de forma criteriosa, uma das mais efetivas. O desafio está em identificar todos os campos que, isoladamente ou em combinação, podem revelar a identidade da pessoa.

Generalização

A generalização substitui valores precisos por categorias mais amplas. A idade exata de 34 anos passa a ser representada como a faixa “30–39 anos”. O CEP completo é truncado para os primeiros cinco dígitos. Essa técnica reduz a granularidade dos dados, dificultando a identificação individual sem destruir sua utilidade analítica.

Perturbação e adição de ruído

Nessa abordagem, valores numéricos são alterados de forma controlada e estatisticamente calibrada. A renda de um indivíduo, por exemplo, pode ser ajustada dentro de uma margem definida. O objetivo é manter a distribuição estatística do conjunto de dados enquanto torna impossível afirmar qual valor pertence a qual titular.

Agregação

A agregação elimina registros individuais e apresenta os dados apenas em nível coletivo. Em vez de armazenar a transação de cada cliente, o sistema registra o total de transações por região ou segmento. Não existe registro individual que possa ser vinculado a uma pessoa específica.

Modelos formais: k-anonimato, l-diversidade e t-closeness

Esses modelos oferecem uma forma matemática de mensurar o grau de proteção alcançado. O k-anonimato garante que cada registro seja indistinguível de pelo menos k−1 outros registros com base nos atributos quasi-identificadores. A l-diversidade adiciona a exigência de que os atributos sensíveis dentro de cada grupo sejam suficientemente variados. O t-closeness vai além e exige que a distribuição de atributos sensíveis em cada grupo reflita a distribuição no dataset completo.

Esses modelos são referência técnica relevante, mas não são suficientes isoladamente. Precisam ser aplicados considerando o contexto específico dos dados e das ameaças de reidentificação existentes.

O risco real de reidentificação

Um dos erros mais comuns é tratar datasets parcialmente anonimizados como seguros por não conterem informações óbvias de identificação. Na prática, a combinação de múltiplos atributos aparentemente inócuos, chamados de quasi-identificadores, pode revelar a identidade do titular com precisão surpreendente. Esse tipo de ataque é conhecido como ataque de ligação (linkage attack).

Pesquisas clássicas demonstraram que apenas três atributos, CEP, data de nascimento e sexo, são suficientes para identificar de forma única cerca de 87% da população norte-americana. No contexto brasileiro, com bases cadastrais públicas disponíveis, o risco é igualmente relevante.

Dados de localização geográfica e comportamento online são especialmente vulneráveis. Padrões de deslocamento, sequências de acesso a páginas ou históricos de compra criam perfis altamente singulares mesmo sem nenhum identificador direto. Estudos na área de localização mostram que quatro pontos de coordenada são suficientes para identificar um indivíduo em 95% dos casos.

A ANPD adota uma abordagem baseada em risco para avaliar a efetividade da anonimização. A organização deve considerar os meios técnicos e financeiros razoavelmente disponíveis no momento, não apenas os que ela própria possui, mas os que qualquer terceiro com motivação e recursos poderia usar para tentar a reidentificação.

Anonimização no contexto da LGPD brasileira

O artigo 12 da LGPD estabelece que os dados anonimizados não são considerados dados pessoais, salvo quando o processo de anonimização ao qual foram submetidos puder ser revertido utilizando meios técnicos razoáveis. Essa ressalva é fundamental: a lei não protege o nome da técnica, mas o resultado concreto que ela produz.

Cabe à ANPD (Autoridade Nacional de Proteção de Dados) definir os critérios técnicos e os padrões mínimos aceitáveis para que um processo de anonimização seja reconhecido como tal. Até a publicação de orientações específicas, as organizações devem se basear em padrões internacionais consolidados, como os do NIST, da ISO/IEC 29101 e do grupo de trabalho europeu Artigo 29.

Uma das consequências práticas mais relevantes para times de dados e analytics é que dados genuinamente anonimizados podem ser utilizados para pesquisa, desenvolvimento de modelos de IA e análises estatísticas sem a necessidade de uma base legal específica prevista no art. 7º da LGPD. Isso reduz fricção operacional em projetos de ciência de dados, desde que a anonimização seja comprovadamente efetiva.

A responsabilidade de comprovar a efetividade do processo recai sobre o controlador. Não basta declarar que os dados foram anonimizados: é necessário documentar as técnicas utilizadas, os testes realizados e os critérios de avaliação adotados, mantendo esse registro disponível para eventual fiscalização.

Boas práticas para implementar anonimização em organizações

Mapear a finalidade antes de escolher a técnica

O primeiro passo é entender para que o dado será usado após o processo. Se a finalidade exige algum vínculo com o titular no futuro, a pseudonimização pode ser a abordagem correta. Se o dado será consumido apenas de forma agregada ou estatística, a anonimização completa é viável e preferível do ponto de vista regulatório. Misturar as duas abordagens sem critério claro é um risco frequente em organizações que não mapearam seus fluxos de dados adequadamente.

Realizar testes de reidentificação

Antes de liberar qualquer dataset anonimizado para uso analítico, compartilhamento com parceiros ou publicação, é necessário conduzir testes formais de reidentificação. Isso inclui simular ataques de ligação com fontes externas disponíveis publicamente, como bases abertas de governo, redes sociais e dados de e-commerce, para verificar se alguma combinação de atributos permite rastrear um titular específico.

Documentar e revisar periodicamente

As técnicas aplicadas, os parâmetros escolhidos e os resultados dos testes devem ser documentados de forma estruturada. Essa documentação serve tanto para fins de conformidade quanto para guiar revisões futuras. À medida que novas fontes de dados se tornam disponíveis ou novas técnicas de reidentificação surgem, o que era considerado anonimizado pode deixar de ser. A avaliação precisa ser um processo contínuo, não um evento único.

Capacitar as equipes envolvidas

Equipes de engenharia de dados, analytics e tecnologia precisam distinguir com clareza o que é anonimização efetiva e o que são soluções superficiais, como simplesmente remover o nome do titular sem avaliar os demais atributos. Treinamentos técnicos combinados com orientações jurídicas sobre as exigências da LGPD reduzem o risco de decisões equivocadas tomadas de boa-fé mas sem embasamento técnico adequado.

Como avaliar se o seu processo de anonimização é suficiente

Uma forma objetiva de iniciar a avaliação é responder às seguintes perguntas sobre o dataset resultante do processo:

• É possível, usando apenas dados publicamente disponíveis, isolar o registro de um único indivíduo?
• O dataset atende ao critério de k-anonimato para um valor de k considerado adequado ao nível de sensibilidade dos dados?
• Existe alguma chave, tabela ou log que permita reverter o processo, mesmo que protegido por controles de acesso?
• As técnicas foram aplicadas a todos os campos quasi-identificadores, incluindo combinações indiretas?
• O processo foi revisado desde a última vez que novas fontes de dados externas foram incorporadas ao ambiente?

Se alguma dessas respostas levantar dúvidas, o dado provavelmente ainda é pessoal sob a ótica da LGPD, independentemente do rótulo que a organização aplica a ele internamente. A anonimização efetiva é uma propriedade técnica verificável, não uma declaração de intenção.