Por Anonimização é o uso de meios técnicos razoáveis e disponíveis no momento do tratamento para impedir associação direta ou indireta do dado a um indivíduo. A LGPD considera o risco de reversão: se a identificação puder ser revertida com meios próprios ou esforços razoáveis, o dado pode continuar sendo pessoal. Retirar nome e CPF, isoladamente, não demonstra anonimização.
Onde esse conceito aparece?
A definição da LGPD considera custo, tempo e tecnologia disponíveis. O art. 12 estabelece quando dados anonimizados deixam de ser considerados pessoais e excepciona situações em que o processo de reversão seja possível por meios próprios ou esforços razoáveis. Dados pseudonimizados continuam relacionados a uma pessoa por informação adicional protegida e não se confundem com dados anonimizados.
Anonimização e pseudonimização
Na anonimização, o objetivo é impedir associação identificável por meios razoáveis; na pseudonimização, dados adicionais separados permitem atribuir informação a uma pessoa. Por isso, pseudonimização é medida de segurança, mas não retira automaticamente o conjunto do alcance da LGPD. Avalie a técnica com o conjunto de dados e os meios de acesso realmente disponíveis.
Por que importa em uma decisão?
Mapeie identificadores diretos e combinações indiretas, avalie singularização e ligação com outras bases e teste cenários de reidentificação compatíveis com o contexto. Documente método, dados auxiliares, acesso, público destinatário e tecnologia considerada. Controle versões e acesso às chaves de pseudonimização; limite divulgações e reavalie a técnica quando o conjunto ou o ambiente mudar.
Limites e cuidados de interpretação
Anonimização não é um rótulo permanente nem garante risco zero. O que é razoável depende dos dados, do destinatário e da tecnologia disponível. Prometer anonimato absoluto sem teste pode induzir a erro. Enquanto a possibilidade de identificar pessoa persistir segundo os critérios legais, aplique proteção compatível com dados pessoais.
Quando o dado deixa de permitir associação
Anonimização usa meios técnicos razoáveis para impedir associação direta ou indireta a uma pessoa. Pela LGPD, dado anonimizado não é considerado dado pessoal salvo quando o processo puder ser revertido com meios próprios ou esforços razoáveis, considerados fatores objetivos e tecnologia disponível.
Não basta remover nome e CPF
Apagar identificadores diretos pode deixar combinações únicas, datas, localização ou eventos que reidentificam alguém ao cruzar bases. Avalie singling out, ligação com fontes externas, granularidade e capacidade de quem receberá o conjunto. Anonimização é resultado de análise de risco, não rótulo aplicado à planilha.
Anonimização e pseudonimização
Pseudonimização separa identificadores ou substitui valores, mas conserva informação adicional que pode permitir reatribuição; em geral, os dados continuam pessoais. Proteja chave, acesso e ambiente, e não prometa anonimato quando existe meio razoável de reversão.
Teste, governança e revisão
Documente finalidade, técnicas, risco residual, destinatários, controles e condições de compartilhamento. Reavalie quando novas fontes, tecnologia ou contexto alterarem possibilidade de reidentificação. A ANPD publicou estudo jurídico específico sobre anonimização; consulte também dado pessoal e compartilhamento de dados.
Anonimização é avaliação de risco, não apenas remoção de nomes
Anonimização é processo que busca impedir associação direta ou indireta de dados a uma pessoa, considerando meios técnicos razoáveis e disponíveis na ocasião. Remover nome e CPF não basta se combinações como endereço, data, localidade, profissão ou evento raro permitirem reidentificação. A LGPD prevê que dados anonimizados não são considerados pessoais enquanto não houver reversão ou possibilidade de reversão com esforços razoáveis, conforme o contexto legal. A conclusão depende de método, recursos e dados auxiliares disponíveis, não de uma etiqueta aplicada à planilha.
Etapas para projetar uma anonimização
Mapeie identificadores diretos e indiretos, finalidade e destinatários; estime quem poderia tentar reidentificar e quais dados auxiliares possui; escolha técnica adequada, como generalização, supressão, agregação ou perturbação; teste combinações e cenários de ataque; documente utilidade perdida e risco residual. Dados raros, granulares ou de grupos pequenos exigem atenção especial. A avaliação deve ser refeita quando a base for ampliada, compartilhada com novos agentes ou combinada com fontes abertas. Consulte pseudonimização, dado pessoal sensível e proteção de dados em relatório.
Anonimização versus pseudonimização
Pseudonimização substitui identificadores, mas mantém informação adicional que pode reconectar o registro ao titular; por isso, os dados continuam pessoais sob a LGPD. Na anonimização efetiva, a reidentificação não deve ser razoavelmente possível no contexto considerado. Criptografia pode proteger confidencialidade, mas se a chave permite reversão, não torna por si só o dado anônimo. Controle de acesso, separação de chaves e agregação reduzem risco, porém cada técnica precisa ser avaliada em conjunto com a granularidade e o ambiente de compartilhamento.
Uso, compartilhamento e revisão contínua
Antes de publicar estatísticas ou liberar conjunto de dados, teste risco de inferência e de associação, limite precisão geográfica e temporal quando necessário e controle consultas repetidas que possam revelar registros individuais. Compartilhamento para pesquisa pode exigir salvaguardas, ambiente controlado e revisão institucional. Preserve a versão original em ambiente protegido apenas se houver finalidade e base legal; limite acesso e prazo. Se ocorrer reidentificação ou incidente, suspenda divulgação, avalie impacto e aplique medidas de resposta previstas na legislação.
Perguntas frequentes
Apagar o nome anonimiza? Não, se a pessoa puder ser identificada por outros meios razoáveis. Hash é anonimização? Não necessariamente; dados podem ser correlacionados ou revertidos por dicionário. Dados agregados são sempre anônimos? Não, grupos pequenos e consultas podem permitir inferência. Posso deixar de aplicar LGPD após anonimizar? Apenas se o processo produzir dado que não seja pessoal segundo o critério legal; documente testes e contexto. A avaliação é permanente porque técnicas, bases auxiliares e capacidades podem mudar.
Risco de reidentificação e ataques
Avalie ataques de singularização, ligação e inferência: identificar um registro único, conectar registros de bases distintas ou deduzir atributo privado a partir de combinações. Considere adversário razoável, recursos, incentivos, acesso a dados públicos, frequência de atualização e conhecimento local. Datas exatas, CEP, profissão rara e eventos conhecidos podem identificar alguém quando combinados. Uma avaliação pontual pode se tornar obsoleta após publicação de nova base ou avanço técnico, por isso defina monitoramento e gatilhos para reavaliar.
Utilidade versus proteção
Generalizar ou suprimir campos reduz risco, mas pode degradar a análise. Escolha granularidade compatível com a finalidade e libere somente estatísticas necessárias, em vez de microdados completos quando não forem indispensáveis. Para consultas repetidas, limite resultados e avalie técnicas de privacidade estatística. Se a finalidade exigir dados individualizados, talvez pseudonimização e ambiente controlado sejam mais adequados, sem declarar anonimização. Registre limitações de representatividade e risco residual para quem utilizar o conjunto.
Governança de uma base anonimizada
Mantenha inventário de versões, transformações, responsável técnico, testes, destinatários e restrições de uso. Controle dados auxiliares e a base original separadamente, com acesso estrito e prazo definido. Antes de compartilhar, avalie se o destinatário pode reidentificar com seus próprios dados; restrições contratuais ajudam, mas não substituem proteção técnica. Inclua plano de resposta se alguém demonstrar reidentificação. Em pesquisa, revise também ética, consentimentos, legislação setorial e protocolo institucional quando aplicável.
Critérios para declarar o resultado
A declaração de anonimização deve explicar método, contexto, dados conhecidos, cenários examinados e conclusão proporcional. Não prometa risco zero. Se um identificador puder ser recuperado por chave separada ou informação mantida pelo agente, descreva como pseudonimização ou dado codificado, não como anonimização plena. Mantenha evidência suficiente para auditoria sem criar uma cópia mais identificável do que a necessária. A decisão de retirar dados do escopo de proteção não deve ser tomada apenas por fornecedor ou ferramenta automática.
Anonimização e pseudonimização
Compare o conceito com situações próximas e confirme o enquadramento na fonte e nos documentos do caso.
| Conceito | O que significa | O que conferir |
|---|---|---|
| Anonimização | Busca impedir associação a uma pessoa por meios razoáveis disponíveis. | Avaliar possibilidade concreta de reversão ou reidentificação. |
| Pseudonimização | Substitui identificadores diretos, mas a associação pode ser retomada com informação adicional. | Manter a chave separada e protegida; o dado pode continuar pessoal. |
| Mascaramento | Oculta parte da informação para exibição ou acesso limitado. | Não presumir que mascarar equivale a anonimizar. |
Quadro educativo. O enquadramento depende da regra aplicável, dos documentos e do contexto.
Fontes e leitura complementar
Consulte o texto institucional e a regra aplicável ao conceito. A interpretação em uma situação concreta depende dos documentos e do contexto.