Exemplo: transformar uma lista nominal de atendimentos em estatística por bairro e faixa etária, de modo que ninguém possa ser identificado. É diferente de simplesmente trocar o nome por um número: se a tabela de equivalência existir e puder ser cruzada, trata-se de pseudonimização, e o dado continua sendo pessoal. A anonimização é uma das ferramentas mais úteis para conciliar transparência e privacidade.
O que é anonimização
O art. 5º, XI, da Lei nº 13.709/2018 define anonimização como a utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo. O resultado é o dado anonimizado: o “dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento” (art. 5º, III).
Efeito jurídico: sai do alcance da LGPD, em regra
O art. 12 estabelece que os dados anonimizados não são considerados dados pessoais para os fins da lei, salvo quando o processo de anonimização ao qual foram submetidos for revertido, utilizando exclusivamente meios próprios, ou quando, com esforços razoáveis, puder ser revertido. A determinação do que seja razoável deve considerar fatores objetivos, como custo e tempo necessários para reverter o processo, de acordo com as tecnologias disponíveis. O §2º acrescenta que podem ser considerados dados pessoais aqueles usados para formar o perfil comportamental de uma pessoa natural identificada. A ANPD pode dispor sobre padrões e técnicas de anonimização e verificar sua segurança.
Para que serve no setor público
- Estudos e pesquisas: a LGPD recomenda anonimizar sempre que possível em estudos por órgão de pesquisa (art. 7º, IV; art. 11, II, “c”).
- Abertura de dados: permite publicar bases úteis (saúde, educação, assistência) sem expor pessoas. Veja transparência ativa.
- Relatórios e indicadores: estatísticas por bairro, faixa etária e tipo de atendimento.
- Compartilhamento com terceiros: entrega de dados para análise ou pesquisa com menor risco.
Técnicas comuns
- Supressão: remover identificadores diretos (nome, CPF, endereço).
- Generalização: trocar dado preciso por faixa (idade 34 vira 30 a 39; endereço vira bairro).
- Agregação: trabalhar com totais em vez de registros individuais.
- Ruído e embaralhamento: alterar levemente valores ou misturar registros.
- Verificação de grupos pequenos: evitar tabelas em que o número de pessoas em uma célula é tão pequeno que permite identificar alguém (por exemplo, um único caso de determinada doença em um bairro pequeno).
Imagine uma secretaria de saúde de município de pequeno porte que quer divulgar o perfil dos atendimentos de um ano. Em vez de publicar a planilha com nomes, publica tabelas por faixa etária, sexo e região, e suprime as células com menos de cinco casos. Após testar se alguém poderia ser identificado cruzando com outros dados públicos, divulga o material com segurança.
Riscos: reidentificação
O principal risco é a reidentificação: combinar uma base supostamente anonimizada com outras informações e descobrir quem é cada pessoa. Quanto menor o município e mais específicos os dados, maior o risco. Por isso, a anonimização deve ser acompanhada de avaliação do contexto (que outras bases existem?), de testes e de controles sobre quem acessa o material. Quando houver risco real, a base deve ser tratada como dado pessoal.
Direito do titular
O art. 18, IV, garante ao titular pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei. A anonimização é, portanto, uma alternativa à eliminação quando o órgão precisa manter informações para fins estatísticos ou históricos. Veja direitos do titular de dados.
Erros comuns
- Achar que apagar o nome basta; CPF, endereço e outras combinações ainda identificam.
- Confundir anonimização com pseudonimização.
- Divulgar tabelas com células de poucas pessoas, que permitem identificação.
- Não avaliar o risco de cruzamento com outras bases.
- Não documentar a técnica usada.
Anonimização e transparência: como conciliar
A transparência pública exige divulgar muita informação, e a proteção de dados exige cuidado com informações pessoais. A anonimização ajuda a conciliar os dois objetivos: o município pode publicar bases úteis para pesquisadores, jornalistas e cidadãos sem expor indivíduos. O ponto de atenção é que o resultado precisa ser testado. Uma boa prática é pedir a alguém de fora da área para tentar identificar pessoas a partir do material publicado, usando outras informações disponíveis. Se conseguir, a anonimização não é suficiente.
Quem decide e quem executa
Em geral, a decisão de anonimizar uma base cabe à área responsável pelo tratamento, com apoio do encarregado e da área de tecnologia. A execução pode ser feita por sistemas ou por equipe com formação em estatística. O registro das técnicas aplicadas, da data e do responsável ajuda a demonstrar diligência em eventual fiscalização.
