Anonimização e Pseudonimização de Dados: Técnicas e Limites Legais

O Que Dizem a LGPD e o GDPR Sobre Dados Anonimizados e Pseudonimizados

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) estabelece, em seu artigo 5º, inciso III, que dado anonimizado é aquele “relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento”. Essa definição carrega uma consequência jurídica de enorme relevância: dados verdadeiramente anonimizados deixam de ser considerados dados pessoais para fins da LGPD e, portanto, ficam fora do seu âmbito de aplicação.

Já os dados pseudonimizados são tratados de forma diferente. A pseudonimização consiste em substituir informações diretamente identificadoras por identificadores artificiais, como códigos ou tokens, de modo que o dado não possa ser atribuído a um titular sem o uso de informação adicional mantida separadamente. No entanto, como a reidentificação permanece tecnicamente possível, esses dados continuam sendo considerados dados pessoais e seguem sujeitos às obrigações da LGPD.

No contexto europeu, o Regulamento Geral de Proteção de Dados (GDPR) traz disposições análogas. O considerando 26 do GDPR é particularmente elucidativo ao afirmar que os princípios de proteção de dados não devem aplicar-se a informações anônimas, ou seja, informações que não digam respeito a uma pessoa singular identificada ou identificável. O mesmo considerando ressalva, contudo, que a determinação da identificabilidade deve levar em conta todos os meios razoavelmente suscetíveis de ser utilizados pelo responsável pelo tratamento ou por qualquer outra pessoa.

Essa convergência entre a LGPD e o GDPR reflete uma tendência global de reconhecer que a anonimização plena é um objetivo técnico difícil de atingir, enquanto a pseudonimização representa uma medida de segurança valiosa, porém insuficiente para retirar o dado do regime protetivo.

Técnicas de Anonimização: Possibilidades e Vulnerabilidades

A literatura técnica e regulatória reconhece diversas técnicas de anonimização, cada uma com suas características, vantagens e limitações. Conhecê-las é fundamental para que organizações possam adotar estratégias adequadas e evitar a falsa sensação de segurança que a anonimização mal implementada pode gerar.

Supressão é a técnica mais direta: simplesmente remove-se o dado identificador. Se um banco de dados de pacientes hospitalares tem a coluna “Nome”, ela é deletada. O problema é que a supressão isolada raramente é suficiente, pois outros atributos combinados podem permitir a reidentificação do titular.

Generalização substitui valores precisos por intervalos ou categorias mais amplas. Uma data de nascimento exata (15/04/1985) é substituída pelo ano (1985) ou por uma faixa etária (35-45 anos). CEPs completos são truncados para os primeiros dígitos. Essa técnica reduz a especificidade dos dados, mas pode comprometer a utilidade analítica das informações.

Perturbação ou adição de ruído consiste em introduzir pequenas alterações aleatórias nos valores numéricos para que não reflitam os dados reais, mas ainda permitam análises estatísticas agregadas. É amplamente usada em dados financeiros e de saúde para fins de pesquisa.

Privacidade diferencial é uma técnica mais sofisticada, de base matemática, que garante que a inclusão ou exclusão de um único indivíduo em um conjunto de dados não altere significativamente os resultados de consultas ao banco. É considerada estado da arte em anonimização para fins de publicação de dados estatísticos, sendo adotada por grandes empresas de tecnologia e órgãos governamentais.

k-anonimato, l-diversidade e t-closeness são modelos formais que estabelecem critérios quantitativos para avaliar o grau de anonimização. O k-anonimato, por exemplo, garante que cada registro seja indistinguível de ao menos outros k-1 registros em relação a um conjunto de atributos quase-identificadores. Esses modelos são importantes, mas apresentam limitações conhecidas, especialmente diante de ataques de reidentificação sofisticados.

Uma advertência essencial: nenhuma técnica de anonimização oferece garantia absoluta. Pesquisas acadêmicas têm demonstrado repetidamente que conjuntos de dados aparentemente anonimizados podem ser reidentificados quando cruzados com outras fontes de informação publicamente disponíveis. Um estudo clássico demonstrou que 87% da população americana poderia ser identificada unicamente pela combinação de CEP, data de nascimento e sexo. No contexto brasileiro, com a proliferação de dados em redes sociais e cadastros públicos, o risco é igualmente relevante.

Pseudonimização: Uma Camada de Segurança, Não de Isenção Legal

A pseudonimização é frequentemente mal compreendida no ambiente corporativo. Muitas organizações acreditam que, ao substituir nomes por códigos ou criptografar identificadores, estão fora do alcance da LGPD. Esse equívoco pode ter consequências graves.

Técnicas comuns de pseudonimização incluem a tokenização, que substitui o dado original por um token gerado aleatoriamente, mantendo uma tabela de correspondência em ambiente seguro separado; a criptografia com chave, onde o identificador é cifrado e só pode ser recuperado com a chave correspondente; e o hashing, que aplica funções de hash aos dados identificadores, gerando um valor fixo que não permite recuperação direta do original.

O hashing, em particular, merece atenção especial. Embora funções de hash sejam matematicamente irreversíveis, ataques de dicionário e rainbow tables podem ser eficazes quando o espaço de possíveis valores é limitado. Por exemplo, aplicar hash em um número de CPF pode parecer seguro, mas dado que CPFs seguem um padrão numérico previsível, um atacante poderia facilmente gerar o hash de todos os CPFs possíveis e fazer a correspondência. A adição de um “sal” (valor aleatório adicionado antes do hash) mitiga esse risco significativamente.

Do ponto de vista jurídico, a LGPD reconhece expressamente a pseudonimização como uma medida de segurança que pode ser considerada na avaliação de riscos e nas análises de legítimo interesse. O artigo 13, parágrafo 4º, menciona que o órgão competente poderá dispor sobre padrões e técnicas utilizados em processos de anonimização, o que demonstra que a lei reconhece a complexidade técnica do tema e delega parte da regulamentação à Autoridade Nacional de Proteção de Dados (ANPD).

Implicações Práticas para o Compliance de Dados no Brasil

Para as organizações brasileiras, a distinção entre anonimização e pseudonimização tem impacto direto sobre obrigações concretas de compliance. Vejamos os principais pontos de atenção.

Bases legais e finalidade: Dados pseudonimizados ainda exigem uma base legal válida para seu tratamento (consentimento, legítimo interesse, cumprimento de obrigação legal, entre outras previstas no art. 7º da LGPD). Dados genuinamente anonimizados, por não serem mais dados pessoais, podem ser tratados sem essa exigência, o que abre possibilidades para usos analíticos e compartilhamento com terceiros de forma mais flexível.

Direitos dos titulares: Enquanto os dados permanecerem pseudonimizados, o titular conserva todos os seus direitos previstos no artigo 18 da LGPD: acesso, correção, portabilidade, eliminação, revogação do consentimento, entre outros. A organização deve manter mecanismos para reidentificar o titular quando necessário para atender a essas solicitações.

Relatório de Impacto à Proteção de Dados (RIPD): O RIPD, exigido em determinadas situações de tratamento de alto risco, deve considerar as técnicas de pseudonimização como medidas mitigadoras de risco. A adoção de pseudonimização robusta pode reduzir a classificação de risco de um tratamento e simplificar as obrigações associadas.

Transferência internacional: A LGPD estabelece requisitos para a transferência de dados pessoais para países estrangeiros. Dados verdadeiramente anonimizados podem ser transferidos sem restrições, enquanto dados pseudonimizados continuam sujeitos às regras de transferência internacional previstas nos artigos 33 a 36 da lei.

Incidentes de segurança: Em caso de violação de dados (data breach), a existência de medidas de pseudonimização é um fator relevante na avaliação da necessidade de comunicação à ANPD e aos titulares. Se os dados comprometidos estavam pseudonimizados com técnicas robustas e a chave de reidentificação permaneceu segura, o risco efetivo aos titulares pode ser considerado baixo, o que pode influenciar a decisão sobre notificação.

É importante também mencionar o papel crescente da ANPD na normatização desses temas. A autoridade tem publicado guias e regulamentos que gradualmente estabelecem padrões mais claros sobre o que constitui anonimização adequada no contexto brasileiro. As organizações devem acompanhar de perto as publicações da ANPD e adaptar suas práticas conforme novos entendimentos são consolidados.