Anonimizar ou pseudonimizar? A diferença que tira (ou não) sua empresa da LGPD

Recebemos duas ou três vezes por mês a mesma frase de cliente: "a gente anonimizou, então não precisa mais seguir a LGPD nesse banco". Na maioria das vezes, o que a empresa fez foi trocar o nome por um código e manter CPF, e-mail ou telefone guardado em outra planilha. Isso não é anonimização. É pseudonimização, e a diferença entre as duas não é detalhe técnico: é o que separa um dado que sai da lei de um dado que continua sob ela.

Empresa de Blumenau e do Vale do Itajaí que trabalha com base de clientes grande (varejo, saúde, indústria com programa de fidelidade) costuma tratar isso como cosmético. Não é. O art. 5º da LGPD trata as duas técnicas como coisas distintas, e o art. 12 só libera a empresa da lei quando o dado é irreversível, não quando fica só um pouco mais difícil de ler.

"Anonimizar" e "pseudonimizar" não são a mesma coisa pra lei

Anonimização, pelo art. 5º, III, é o processo que torna impossível identificar o titular, considerando meios técnicos razoáveis disponíveis na época do tratamento. Se você conseguir voltar atrás e descobrir quem é a pessoa, não anonimizou.

Pseudonimização, pelo art. 5º, XI, é diferente: o dado perde a associação direta com a pessoa, mas essa associação pode ser recuperada usando uma informação extra guardada separadamente pelo controlador. Trocar "Maria Silva" por "Cliente 4521" e guardar a tabela de correspondência em outro sistema é pseudonimização clássica.

Nossa leitura: se existe em algum lugar da empresa uma tabela que permite voltar do código pro nome, você não anonimizou nada. Pseudonimizou. E dado pseudonimizado é dado pessoal, ponto final.

O teste real: dá pra reverter com esforço razoável?

O art. 12, §1º, dá o critério que a ANPD usa: considera-se razoável o esforço que usa meios técnicos disponíveis no momento do tratamento, levando em conta custo e tempo necessários pra reidentificar. Não é sobre ser impossível reverter em teoria. É sobre ser inviável na prática, com a tecnologia e o orçamento de hoje.

Isso muda com o tempo. Um dado anonimizado com segurança em 2020 pode não ser mais hoje, porque técnica de reidentificação evoluiu. Na prática: anonimização não é selo permanente, é avaliação que precisa ser revisada.

Tem outro detalhe que quase ninguém lê: o art. 12, §2º, diz que dado anonimizado pode voltar a ser considerado dado pessoal se for usado pra formar perfil comportamental de alguém. Mesmo um CPF mascarado, se cruzado com padrão de compra e horário pra montar perfil individual, pode reentrar na LGPD.

Técnicas que a gente vê funcionar (e as que a ANPD não aceita)

As técnicas variam de robustez. Algumas resistem, outras são teatro de compliance:

• Generalização/agregação: transformar "idade 34" em faixa "30-39 anos", ou CEP completo em região. Funciona bem quando o grupo é grande.
• Ruído estatístico: alterar levemente valores numéricos mantendo a média do conjunto. Usado em relatório agregado de saúde e financeiro.
• K-anonimato: garantir que cada combinação de atributos se repita em pelo menos k pessoas do banco, pra nenhum registro ficar único.
• Tokenização com chave descartada: substituir o dado por token e destruir de forma verificável a chave. Só conta como anonimização se a chave morreu de fato.
• Mascaramento simples (trocar nome por código, manter chave em outro lugar): isso é pseudonimização. Não tira a empresa da LGPD, mesmo parecendo anonimizado no relatório.

Falando sério: a técnica mais usada nas empresas que atendemos, mascaramento com chave guardada, é a que menos protege juridicamente. Some com o nome na tela, mas deixa a empresa sujeita a todo art. 18 (direito do titular) e art. 41 (encarregado).

Pseudonimização: continua na LGPD, mas ganha desconto de risco

Isso não é motivo pra abandonar a pseudonimização. Ela tem valor, só que outro. A LGPD trata pseudonimização como medida de segurança, não como saída da lei. Banco pseudonimizado, se sofrer incidente, tem impacto menor porque quem acessou os dados vazados não vê nome nem CPF direto, só o código.

Na prática: pseudonimizar reduz a gravidade de um incidente e pode até pesar a favor numa fiscalização. Mas não reduz obrigação de manter encarregado (art. 41), responder titular em até 15 dias (art. 19), ou notificar incidente relevante. Empresa que acha que "resolveu" LGPD com isso só descobre o contrário quando recebe pedido de titular.

Setor por setor: onde isso trava o negócio de verdade

• Saúde: clínica que faz estudo interno de prontuário precisa anonimizar de verdade pra usar sem consentimento (art. 13). Dado de saúde é sensível (art. 5º, II), reidentificação em amostra pequena é fácil, generalização por faixa funciona melhor que mascaramento.
• Varejo e fidelidade: programa de pontos que cruza CPF, histórico de compra e localização pra montar perfil de consumo está pseudonimizando, não anonimizando, mesmo escondendo nome na dashboard interna.
• RH e folha: relatório agregado de headcount por faixa salarial pode ser anonimizado de fato se o grupo for grande o bastante. Empresa de 15 funcionários dificilmente consegue isso.
• Financeiro e crédito: modelo de score que usa dado histórico pseudonimizado ainda é tratamento de dado pessoal e precisa de base legal, geralmente legítimo interesse ou proteção do crédito (art. 7º).

O erro mais comum: achar que anonimizou e não anonimizou

O erro que mais vemos não é técnico, é de rótulo. Empresa documenta internamente "base anonimizada" num relatório de compliance, mas mantém chave de reversão acessível pra três pessoas do TI. Isso vira problema em duas frentes: dá falsa sensação de segurança pra quem decide o negócio, e se a ANPD abrir processo, a documentação errada pesa contra a empresa.

Empresa pequena (ME, EPP, startup) pode usar o regime simplificado da Resolução CD/ANPD 02/2022 pra cumprir de forma mais leve, mas isso não muda a classificação técnica do dado. Regime simplificado facilita o como cumprir, não o se cumpre.

O que fazer nas próximas duas semanas

Pare de chamar qualquer coisa de "anonimizado" sem checar se dá pra reverter. É a mudança mais barata e mais urgente que existe nesse tema:

• Liste os bancos/planilhas onde alguém chama o dado de "anonimizado" e verifique se existe chave de reversão em algum lugar.
• Se existe chave, reclassifique como pseudonimizado no inventário de dados e mantenha as obrigações normais da LGPD sobre ele.
• Se o objetivo é sair da LGPD de verdade, aplique generalização ou agregação com grupo grande o bastante pra não identificar ninguém por eliminação.
• Destrua chaves de reversão sem finalidade documentada. Chave guardada "por segurança" sem uso declarado é risco, não proteção.
• Documente a decisão técnica com data, porque anonimização eficaz hoje pode não ser eficaz em dois anos.

Nenhuma dessas medidas exige orçamento grande. Exige parar de tratar "anonimizar" como sinônimo elegante de "esconder o nome".