Seu dado "anonimizado" provavelmente ainda está na LGPD

A empresa investiu num processo de "anonimização" dos dados dos clientes. O relatório interno diz que está tudo certo, os dados perderam identidade e o banco pode ser usado para análise sem obrigações sob a LGPD. Só que o arquivo ainda tem CPF hasheado, data de nascimento, CEP de 8 dígitos e profissão. Qualquer cruzamento com base pública recompõe o titular em poucos minutos.

Isso não é anonimização. É pseudonimização, na melhor das hipóteses. E pseudonimização continua dentro da LGPD, com todas as obrigações que vêm junto.

O art. 12 libera da LGPD, mas tem condição séria

A LGPD, no art. 12, diz claramente: dados anonimizados não são considerados dados pessoais. Essa é a saída que muita empresa busca. Uma vez anonimizado, o dado sai do radar da lei: sem base legal obrigatória para o tratamento, sem direito de acesso pelo titular, sem notificação de incidente para a ANPD.

O problema está no §1º do mesmo artigo: se o processo de anonimização for reversível, o dado volta a ser pessoal para todos os efeitos. "Reversível" é qualquer situação em que existam meios razoáveis e disponíveis para reidentificar o titular.

Nossa leitura: "meios razoáveis" não é parâmetro estático. Em 2026, com datasets públicos, APIs de consulta e cruzamento automatizado disponíveis a qualquer analista, o que era irreversível em 2020 pode ter virado reversível hoje. Essa avaliação precisa ser periódica, não um carimbo emitido uma vez e esquecido.

Pseudonimização é proteção de segurança, não saída de compliance

O art. 5º, XI da LGPD define pseudonimização como o tratamento pelo qual o dado perde a possibilidade de associação direta ao titular sem o uso de informação adicional mantida separadamente pelo controlador. A chave está nessa última parte: a informação adicional existe, está com o controlador, e permite reverter o processo.

Dado pseudonimizado segue sendo dado pessoal. Período. A empresa continua sujeita a todas as bases legais do art. 7º, obrigada a responder em 15 dias ao titular (art. 19), a reportar incidentes em 72 horas, a manter encarregado (art. 41). Pseudonimização reduz o impacto de um vazamento porque quem acessa o banco sem a chave de mapeamento não vê CPFs em aberto. Mas não reduz em nada as obrigações legais da empresa. Confundir as duas coisas é o erro mais comum que a gente vê em auditorias.

Re-identificação: o risco que o relatório técnico não calcula

O risco chamado de linkage attack é simples: você pega dois datasets que parecem inofensivos separados e cruza. O banco "anonimizado" da empresa com a lista de colaboradores de uma rede social, por exemplo. Ou com dados do e-Social, da RAIS, de qualquer base que o atacante consiga acessar. O efeito mosaico é real: cada peça isolada não identifica ninguém, mas juntas montam o retrato completo.

Na prática: dado de saúde de paciente com data de consulta, especialidade, faixa etária e bairro já é reidentificável sem nome nenhum. Especialmente em cidades de porte médio no Vale do Itajaí, onde o universo de titulares possíveis se estreita bastante. O tamanho da base importa tanto quanto a técnica aplicada.

As técnicas: o que realmente entrega anonimização

Nem toda técnica chamada de "anonimização" entrega o que promete. O que a gente precisa saber sobre cada uma:

• Supressão: remove o campo identificador (nome, CPF, e-mail). Funciona para campos únicos, mas não resolve quando a combinação dos campos restantes já identifica o titular.
• Generalização: substitui valor exato por faixa (idade exata vira "30-40 anos", CEP completo vira prefixo de 5 dígitos). Aumenta proteção, mas reduz utilidade analítica.
• K-anonimidade: garante que cada registro é indistinguível de pelo menos k-1 outros no dataset. K=5 significa que qualquer titular possível tem pelo menos 4 "gêmeos" na base. É um piso, não um teto de proteção.
• Perturbação com ruído: adiciona variação estatística aleatória nos valores. Preserva distribuição estatística mas dificulta reidentificação individual. Comum em dados numéricos como renda.
• Tokenização e hashing com salt: ambos são pseudonimização, não anonimização. Quem tiver o CPF original consegue reproduzir o hash e confirmar o titular.

A combinação de k-anonimidade com supressão e generalização é o que mais se aproxima de uma anonimização defensável. Mas o nível adequado depende do contexto: dado de saúde exige k muito maior do que dado de preferência de produto em e-commerce.

Por setor: o que muda na aplicação prática

Clínicas e operadoras de saúde: dado de saúde é sensível por definição (art. 5º, II). Prontuário com data, CID, faixa etária e município já pode ser reidentificável em cidades menores. Anonimização técnica forte é obrigatória para qualquer compartilhamento externo. Pseudonimização resolve o acesso interno não autorizado, não o compartilhamento com parceiros.

RH e departamento pessoal: dados de colaboradores para benchmarking salarial ou análise de turnover podem circular internos com pseudonimização e boa governança de acesso. Para envio externo a consultorias, anonimização com k mínimo de 5 e supressão de cargo específico é o patamar razoável.

Fintechs e serviços financeiros: dados para modelos de crédito ou prevenção a fraude frequentemente precisam permanecer pseudonimizados porque a base legal de execução de contrato exige manter o vínculo com o titular. Anonimizar aqui seria juridicamente problemático antes mesmo de ser tecnicamente complicado.

O que a ANPD considera anonimização aceitável

A ANPD ainda não publicou norma técnica com critérios objetivos de anonimização, mas o art. 12, §1º dá o parâmetro: disponibilidade e razoabilidade dos meios de reidentificação. Na prática, a autarquia vai olhar para três fatores:

• Volume e granularidade dos campos remanescentes no dataset após o processo.
• Disponibilidade de bases externas públicas ou privadas que poderiam ser cruzadas.
• Esforço técnico e financeiro necessário para reidentificação com os recursos disponíveis no momento.

Para PMEs e startups, a Resolução CD/ANPD 02/2022 criou regime simplificado. Isso não dispensa anonimização tecnicamente correta, mas reduz exigências documentais. A multa pode chegar a 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, e a fila de processos administrativos da ANPD está crescendo.

O que fazer nas próximas duas semanas

Se sua empresa usa o argumento de "dados anonimizados" para justificar algum tratamento, audite se essa anonimização aguenta escrutínio técnico. Não é auditoria filosófica: é revisar os campos que restam no dataset e testar se a combinação permite reidentificação com bases disponíveis.

• Listar todos os datasets que sua empresa chama de "anonimizados" e mapear quais campos permanecem após o processo.
• Para cada dataset, identificar quais bases públicas poderiam ser cruzadas (RAIS, e-Social, registros públicos, redes sociais abertas).
• Substituir hashing simples de CPF por supressão ou generalização quando não há necessidade de manter o campo derivado.
• Documentar no RIPD a técnica utilizada, o resultado da avaliação de reversibilidade e a data da revisão.
• Estabelecer reavaliação periódica: no mínimo anual, ou toda vez que surgir nova base pública relevante para o setor.

Se o dado segue pseudonimizado e isso é suficiente para o uso pretendido, não force uma anonimização que vai comprometer a utilidade analítica. Pseudonimização com boa governança de acesso à chave de mapeamento é uma postura defensável perante a ANPD. O que não é defensável é chamar pseudonimização de anonimização e se comportar como se as obrigações da LGPD tivessem desaparecido.