O que a LGPD diz sobre dados anonimizados

O artigo 12 da LGPD estabelece que dados anonimizados não são considerados dados pessoais para fins da lei e, portanto, ficam fora do seu escopo de aplicação. Essa exclusão é relevante para times de dados que lidam com grandes volumes de informação em ambientes analíticos, modelos de machine learning e relatórios agregados.

O ponto central, porém, é que essa exclusão é condicional. A lei não dispensa a LGPD automaticamente só porque alguém rotulou um dado como “anonimizado”. A dispensa depende da efetividade real do processo de anonimização aplicado.

Há também uma distinção conceitual importante: dado anônimo é aquele que nunca identificou nenhuma pessoa, como estatísticas populacionais coletadas já de forma agregada. Dado anonimizado é aquele que identificava uma pessoa e passou por um processo técnico de tratamento para perder essa característica. Os dois têm regimes jurídicos distintos, e misturá-los é um erro recorrente nas organizações.

Quando o dado anonimizado volta a ser pessoal

A reversibilidade é o critério determinante. Se for tecnicamente possível desfazer a anonimização por qualquer meio razoável, o dado continua sendo tratado como dado pessoal para fins da LGPD, independentemente da intenção do controlador.

A avaliação de reversibilidade não considera apenas os recursos da própria organização. O critério legal leva em conta os meios técnicos disponíveis no mercado de forma geral. Se uma técnica de reidentificação for acessível a terceiros, a anonimização pode ser considerada insuficiente mesmo que a empresa em questão não tenha capacidade interna de revertê-la.

Outro vetor de risco está na combinação de datasets. Um conjunto de dados pode parecer completamente anonimizado de forma isolada, mas ao ser cruzado com outras fontes, como dados públicos, registros comportamentais ou localização geográfica, os titulares tornam-se identificáveis novamente. Esse fenômeno é chamado de reidentificação por correlação.

Exemplos práticos não faltam na literatura de privacidade. Pesquisas demonstraram que cruzar dados de localização GPS com horários de deslocamento é suficiente para identificar indivíduos em conjuntos de dados supostamente anônimos. O mesmo vale para padrões de compra combinados com faixa etária e CEP: três variáveis que, juntas, frequentemente individualizam um titular sem qualquer identificador direto como CPF ou e-mail.

Critérios técnicos para uma anonimização válida

Existem técnicas reconhecidas internacionalmente para anonimização de dados. As principais são: generalização (substituir valores exatos por intervalos ou categorias), supressão (remover campos inteiros quando o risco é alto demais) e perturbação estatística (adicionar ruído controlado aos dados sem comprometer a utilidade analítica agregada). Cada técnica tem casos de uso adequados e limitações específicas.

Um equívoco frequente no mercado é tratar pseudonimização como sinônimo de anonimização. Não são equivalentes. Na pseudonimização, o dado pessoal é substituído por um identificador artificial, como um hash ou token, mas o vínculo com o titular ainda pode ser reconstituído por quem detém a chave de correspondência. A LGPD reconhece a pseudonimização como boa prática de segurança, mas ela não retira o dado do escopo da lei.

A avaliação do risco residual de reidentificação deve ser documentada formalmente. Não basta aplicar uma técnica e assumir que o resultado é adequado. O processo precisa registrar quais técnicas foram usadas, quais testes foram realizados para verificar a irreversibilidade e qual foi o risco residual aceito, e por quê.

O contexto brasileiro pode se apoiar em frameworks internacionais consolidados, como a ISO 29101 (arquitetura de privacidade em sistemas de TI) e os guias técnicos do ENISA (Agência da União Europeia para Cibersegurança), que detalham metodologias de anonimização e seus limites. Essas referências não têm força normativa no Brasil, mas são amplamente aceitas como boas práticas e podem embasar a documentação de accountability.

Responsabilidades do controlador mesmo com dados anonimizados

O ônus de demonstrar que a anonimização é efetiva recai sobre o controlador, ou sobre o operador quando for ele quem aplica o processo. A LGPD não presume que a anonimização foi bem feita; quem precisa provar é a organização que reivindica a exclusão do escopo.

A ANPD tem competência para determinar que um dado supostamente anonimizado seja tratado como pessoal caso entenda que o processo foi insuficiente. Essa determinação pode ocorrer em fiscalizações, investigações ou em resposta a denúncias e, uma vez feita, todas as obrigações da LGPD passam a ser exigíveis sobre aquele conjunto de dados.

Registros e documentação do processo de anonimização não são apenas boa prática: são componentes da estratégia de accountability exigida pela lei. Um processo bem documentado reduz o risco regulatório e facilita a defesa da organização em caso de questionamento.

Dados anonimizados usados para elaboração de perfis comportamentais podem atrair escrutínio regulatório mesmo quando a identificação direta do titular não é possível. Se o perfil resultante é utilizado para tomar decisões que afetam pessoas, como segmentação de preços ou elegibilidade a ofertas, a ANPD pode avaliar se o tratamento é consistente com os princípios gerais da lei, independentemente do grau de anonimização aplicado.

Implicações práticas para times de dados e tecnologia

Pipelines de dados que alimentam modelos de machine learning precisam incluir a avaliação de risco de reidentificação como etapa formal antes de dispensar controles de privacidade. Não é suficiente remover colunas de identificação direta: é preciso analisar o conjunto de variáveis remanescentes e sua capacidade combinada de individualizar titulares.

O envio de dados a APIs de terceiros, incluindo modelos de linguagem e plataformas de analytics externas, exige atenção redobrada. A anonimização prévia pode reduzir o risco de exposição, mas não elimina obrigações contratuais, como cláusulas de confidencialidade e acordos de processamento de dados. Tratar a anonimização como substituto de um contrato adequado com o fornecedor é um erro jurídico e técnico.

Data lakehouses e ambientes analíticos tendem a acumular dados de múltiplas fontes ao longo do tempo. Mesmo que uma camada específica seja considerada anonimizada, a coexistência com outras tabelas no mesmo ambiente pode criar possibilidades de cruzamento que reintroduzem o risco de reidentificação. A governança de dados precisa ser mantida sobre o ambiente como um todo, não apenas sobre datasets individualmente avaliados.

Há ainda o problema da revisão periódica. Novas técnicas de reidentificação surgem regularmente na literatura acadêmica e em competições de segurança. Uma anonimização considerada adequada em 2021 pode não resistir a métodos disponíveis em 2025. O processo de avaliação de risco precisa ser recorrente, não um evento único realizado no momento da implantação.

Como avaliar se sua organização está no caminho certo

Antes de classificar qualquer conjunto de dados como fora do escopo da LGPD com base em anonimização, percorra as seguintes verificações:

• A técnica aplicada está documentada? Generalização, supressão e perturbação estatística devem estar registradas com parâmetros específicos, não apenas mencionadas nominalmente.
• Foi realizado um teste de reversibilidade? Idealmente conduzido por alguém que não participou do processo de anonimização, simulando um adversário com acesso a fontes de dados públicas ou comercialmente disponíveis.
• O dado é pseudonimizado ou anonimizado? Se existe uma chave de correspondência em qualquer lugar da organização, ou em poder de um terceiro, o dado é pseudonimizado e continua sob o escopo da LGPD.
• Há cruzamento possível com outros datasets? Mapeie quais outras fontes de dados existem no ambiente e avalie o risco de reidentificação por correlação.
• A avaliação foi validada por jurídico e segurança da informação? A classificação de um dado como anonimizado não deve ser decisão exclusiva do time de engenharia de dados.

Errar na classificação expõe a organização a sanções da ANPD, que incluem advertências, multas de até 2% do faturamento limitadas a R$ 50 milhões por infração e publicização da penalidade, além de danos reputacionais difíceis de quantificar. A isenção existe, mas precisa ser conquistada tecnicamente e comprovada documentalmente.