Anonimização de dados: técnicas e risco de reidentificação

A anonimização de dados exige avaliar se as informações ainda podem ser associadas a uma pessoa, inclusive por cruzamentos. Retirar nome e CPF pode ser insuficiente quando a base conserva cargo, município, idade ou uma sequência rara de eventos. Para quem prepara relatórios, análises de produto ou arquivos para parceiros, a decisão relevante é saber qual detalhe precisa sair da empresa e qual risco permanece nessa versão.

Este guia compara técnicas e propõe um roteiro de liberação. As definições jurídicas vêm da LGPD; os controles operacionais apresentados são recomendações para organizar a avaliação, não uma lista legal obrigatória nem uma garantia de impossibilidade de identificação.

Quando retirar nomes não basta

Identificadores diretos apontam para alguém de forma imediata, como um documento. Quase-identificadores são características que, combinadas entre si ou com informações externas, podem permitir essa associação. Uma profissão incomum em uma cidade pequena pode revelar mais do que uma coluna aparentemente detalhada em uma população ampla.

A anonimização de dados precisa considerar o conjunto e seu contexto de acesso. Quem receberá o arquivo já possui cadastros relacionados? Conhece os participantes? Poderá baixar registros individuais ou apenas consultar resultados? Uma publicação aberta amplia as possibilidades de cópia e cruzamento. Restringir o acesso pode reduzir a exposição, mas não transforma automaticamente informação pessoal em anônima.

Anonimização de dados e pseudonimização: diferenças

Na anonimização de dados, o objetivo é retirar a possibilidade de associação direta ou indireta ao indivíduo, considerando meios técnicos razoáveis e disponíveis. Essa formulação está nos incisos III e XI do artigo 5º da LGPD. Não basta alterar a aparência do registro ou atribuir ao arquivo o rótulo de “anônimo”.

Na pseudonimização, a associação depende de informação adicional mantida separadamente, em ambiente controlado e seguro. A LGPD descreve esse mecanismo no artigo 13, § 4º, para os efeitos daquele artigo. Substituir o nome por um código e conservar a tabela de correspondência pode ser útil para separar acessos, mas mantém uma possibilidade de vinculação.

Hashing também não comprova anonimização de dados. Um hash transforma uma entrada em um valor de saída; entradas previsíveis podem ser testadas e comparadas, e valores estáveis podem permitir cruzamentos. Criptografia protege o conteúdo, mas admite recuperação com a chave adequada. A escolha depende da finalidade: quando acompanhar a mesma pessoa é necessário, pode ser mais correto assumir o tratamento de dados pessoais e protegê-lo.

O critério jurídico do artigo 12

O artigo 12 da LGPD estabelece que dados anonimizados não são considerados pessoais, salvo quando o processo for revertido exclusivamente com meios próprios ou puder ser revertido com esforços razoáveis. O § 1º manda considerar fatores objetivos, como custo, tempo e tecnologias disponíveis. Portanto, a anonimização de dados não deve ser apresentada como promessa de irreversibilidade absoluta.

A análise deve registrar recursos acessíveis e hipóteses plausíveis de reversão. O resultado pode mudar com novas bases auxiliares ou novas tecnologias. O § 2º também admite considerar pessoais os dados usados para formar perfil comportamental de determinada pessoa natural, se identificada.

Planejar a anonimização de dados não dispensa a análise jurídica da coleta, do uso e da transformação da base original. Enquanto houver dados pessoais, é preciso avaliar finalidade, necessidade, hipótese legal e segurança. O guia sobre o que é LGPD e como ela se aplica às empresas ajuda a situar essas obrigações antes de escolher uma técnica.

Técnicas de anonimização de dados e suas limitações

O estudo técnico da ANPD, versão 1.0, de novembro de 2023 aborda utilidade, documentação, gestão do risco de reidentificação e limitações técnicas. Essa perspectiva ajuda a tratar a escolha como processo, não como aplicação isolada de uma ferramenta. A comparação abaixo traduz as alternativas para decisões operacionais.

Um projeto de anonimização de dados pode combinar supressão, generalização e agregação. A validação precisa ocorrer depois dessa combinação, sobre a versão que efetivamente será entregue. Não existe, no artigo 12, um tamanho universal de grupo que autorize qualquer publicação. A quantidade de pessoas, a raridade das características e o conhecimento disponível ao destinatário devem ser examinados juntos.

A utilidade também precisa ser testada. Excluir todos os registros raros pode distorcer a representação de determinados grupos; ampliar categorias pode esconder uma diferença importante para a decisão. A área de negócio deve comparar o resultado transformado com a pergunta original e registrar quais conclusões continuam sustentadas. Se a proteção exige retirar detalhes essenciais, vale mudar o formato de entrega: um relatório temático revisado pode atender melhor à demanda do que uma base completa disponível para exploração. Essa escolha evita preservar informação excessiva apenas porque a ferramenta permite exportá-la.

Exemplo hipotético: relatório com grupos pequenos

Imagine uma empresa que deseja divulgar tendências de afastamento por unidade, função e faixa etária. Este é um exemplo hipotético. Mesmo sem nomes, uma linha referente a uma função ocupada por uma única pessoa pode permitir que colegas associem o afastamento a ela. A sensibilidade da informação agrava as possíveis consequências dessa associação.

A equipe pode reunir funções em famílias ocupacionais, ampliar a faixa etária e apresentar períodos menos precisos. Se o detalhe não for necessário para a decisão, sua retirada preserva a finalidade com menor exposição. Nesse cenário, a anonimização de dados depende também de revisar as tabelas relacionadas: ocultar uma célula pode ser insuficiente quando totais e subtotais permitem deduzir seu valor.

Se a transformação destrói a utilidade necessária, a alternativa pode ser manter a análise detalhada em ambiente restrito, com usuários autorizados e tratamento juridicamente adequado. Para pesquisas, há regras próprias a considerar, além da técnica. O conteúdo sobre LGPD em pesquisa acadêmica aprofunda esse contexto sem presumir que toda atividade analítica seja pesquisa para fins legais.

Roteiro de avaliação: responsáveis e evidências

Antes de liberar um resultado, a anonimização de dados deve ser avaliada em relação à finalidade e à versão concreta do material. O roteiro abaixo é uma recomendação de governança. Ele distribui tarefas sem transferir automaticamente ao encarregado decisões que cabem ao controlador.

1. Definir a pergunta de negócio. A área solicitante descreve a decisão que o relatório apoiará e justifica os campos necessários. A evidência é uma especificação de finalidade, público e nível de detalhe.
2. Mapear possibilidades de associação. Dados e segurança identificam campos diretos, quase-identificadores, texto livre, anexos e bases auxiliares plausíveis. Registram cenários de cruzamento e quem dispõe dos meios necessários.
3. Transformar e testar. A equipe técnica documenta regras aplicadas, parâmetros, versão da base e efeitos sobre a análise. Testa combinações raras, pequenos grupos e consultas que permitam inferências.
4. Avaliar o risco residual. Privacidade e jurídico apoiam o responsável pela decisão na avaliação dos riscos que persistem, das obrigações aplicáveis e das salvaguardas. A conclusão deve explicar as limitações, não apenas marcar “aprovado”.
5. Autorizar um destino específico. O controlador, conforme sua governança, define a liberação e os responsáveis pela execução. Registra destinatários, canal, permissões, retenção e situações que exigem nova análise.

O dossiê de anonimização de dados deve permitir compreender o raciocínio e reproduzir a avaliação quando necessário. Convém preservar registros de versões, testes e aprovação em ambiente controlado, sem criar cópias desnecessárias de dados pessoais apenas para documentar o processo. Identifique também o arquivo ou a configuração do painel efetivamente liberado, para que a evidência não se refira a uma versão diferente da entregue.

Em painéis interativos, avalie também o comportamento das consultas. Um total amplo pode parecer adequado, mas a combinação de filtros por localidade, função e período pode reduzir o resultado a uma pessoa. Compare respostas de consultas semelhantes e verifique se sua diferença revela informações omitidas. O teste deve abranger exportações, permissões de detalhamento e versões anteriores acessíveis ao mesmo destinatário. Como controle sugerido, a equipe pode limitar combinações de filtros ou submeter resultados muito específicos à revisão antes da entrega. Registre essas restrições junto da configuração do painel, para que uma atualização de produto não remova silenciosamente a proteção avaliada.

Liberar, restringir ou transformar novamente?

A decisão sobre anonimização de dados ganha clareza quando os resultados possíveis são definidos antes dos testes. “Manter restrito” não significa reconhecer a base como anônima; significa adotar outro regime de acesso e manter as obrigações pertinentes.

Para compartilhamentos restritos, controles de acesso, proibição contratual de reidentificação e limitação de reutilização podem compor as salvaguardas. Nenhum deles substitui, isoladamente, a avaliação técnica ou prova que a informação deixou de ser pessoal.

Revisão contínua e apoio da TOGETHER

A anonimização de dados precisa ser reavaliada quando mudam os dados divulgados, o público, a finalidade ou as possibilidades de cruzamento. Atualizações recorrentes merecem atenção: versões que parecem pouco reveladoras isoladamente podem permitir comparações. Recomenda-se definir responsáveis e gatilhos de revisão, em vez de depender apenas de uma aprovação inicial.

A TOGETHER pode apoiar esse trabalho por meio de consultoria em LGPD, organizando o mapeamento do fluxo, os critérios de liberação e a documentação das decisões com as equipes técnicas. No DPO as a Service, o acompanhamento pode conectar demandas de áreas internas, revisão de contratos e mudanças de contexto à rotina de privacidade.

Para começar, escolha um relatório que a empresa pretende compartilhar e reúna sua finalidade, campos, destinatários e controles atuais. Esse recorte permite discutir riscos concretos e entregas necessárias com a TOGETHER, sem pressupor que uma ferramenta ou um contrato resolva toda a avaliação.

Referências

• LGPD: definições, princípios, artigo 12 e pseudonimização no artigo 13.
• ANPD: estudo técnico sobre anonimização de dados, versão 1.0, novembro de 2023.

Conteúdo da TOGETHER. Atualização editorial em 3 de outubro de 2026.