Anonimização de Dados: Guia Completo da Lgpd

Um dado deixa de ser pessoal quando se torna tecnicamente impossível associá-lo a alguém, mesmo cruzando outras bases disponíveis. Essa é a linha que a LGPD traça entre um dado que sai da lei, o anonimizado, e um dado que continua sob todas as obrigações legais, mesmo mascarado.

A confusão prática é enorme. Times de TI aplicam hash em uma coluna de CPF e declaram o banco “anonimizado”, quando na verdade produziram um dado pseudonimizado, que segue exigindo base legal, contrato de operador e resposta a titulares. Esse erro conceitual vira passivo jurídico assim que a ANPD, um cliente ou um incidente de segurança expõe a reversibilidade que ninguém tinha mapeado.

Este guia responde três perguntas que decidem o rumo de qualquer projeto de dados: o que a LGPD exige tecnicamente para reconhecer um dado como anônimo, quais técnicas cumprem esse padrão e qual risco residual de reidentificação a empresa carrega mesmo depois de anonimizar. Não é teoria de dicionário, é o critério que sua equipe de compliance e TI precisa validar antes de decidir.

Resumo

• Anonimização, segundo o Art. 12 da LGPD, retira o dado do escopo da lei quando a reversão se torna impossível com meios técnicos razoáveis e disponíveis no momento do tratamento, diferente da pseudonimização, que mantém o dado como pessoal.
• A diferença técnica central entre anonimizar e pseudonimizar é a irreversibilidade: dado pseudonimizado tem chave de reversão guardada em algum lugar; dado anonimizado, tecnicamente, não permite reconstrução.
• Reidentificação de bases “anonimizadas” já foi demonstrada academicamente em diversos estudos, cruzando dados supostamente anônimos com bases públicas, o que obriga reavaliação periódica do risco residual, não um selo definitivo.
• Técnicas como k-anonymity, l-diversity, generalização, supressão e differential privacy têm padrões técnicos reconhecidos internacionalmente pela ISO/IEC 20889:2018 e pelo NIST.
• Anonimizar de forma insuficiente expõe as pessoas titulares a riscos reais de reidentificação, discriminação e danos, além de gerar o mesmo risco jurídico de nunca ter anonimizado, incluindo sanções da ANPD previstas no Art. 52 da LGPD e passivo cível por vazamento de dado “falsamente anônimo”. O critério de suficiência técnica deve ser guiado pela efetiva proteção do titular, não apenas pela redução de exposição legal da empresa.

O que é anonimização de dados segundo a LGPD?

Anonimização é o processo técnico que torna impossível associar um dado a uma pessoa natural, usando meios técnicos razoáveis e disponíveis no momento do tratamento e, diferente da pseudonimização, esse processo retira o dado do escopo de aplicação da LGPD, conforme o Art. 12 da Lei 13.709/2018.

O Art. 5º, III, da LGPD define dado anonimizado como aquele relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião do tratamento. Essa expressão — “meios técnicos razoáveis e disponíveis” é o ponto que mais gera divergência entre juristas e times técnicos, porque não existe uma lista fechada de técnicas aprovadas. A avaliação é sempre contextual: considera o custo, o tempo e a tecnologia disponível para reidentificar, não uma garantia matemática absoluta e eterna.

Isso significa que anonimização não é um estado permanente e sim um resultado válido enquanto as condições técnicas do mercado não mudarem o suficiente para tornar a reversão viável. Um dado anonimizado hoje, com o avanço de técnicas de cruzamento de dados e IA, pode se tornar reidentificável amanhã — e é exatamente por isso que a lei fala em esforço proporcional ao risco, não em blindagem absoluta.

O único caminho que efetivamente elimina, quanto ao dado resultante, obrigações como necessidade de base legal e aplicação dos direitos do titular é a anonimização real, o que não afasta eventual responsabilização por danos causados durante o tratamento anterior à anonimização ou por reidentificação decorrente de processo tecnicamente insuficiente. Pseudonimização, mascaramento parcial ou tokenização reversível continuam dentro do regime da LGPD, com todas as suas exigências.

Anonimização x pseudonimização: qual a diferença real?

A diferença central entre os dois conceitos é a irreversibilidade: um dado pseudonimizado pode ser revertido à sua forma original com o uso de uma chave ou informação adicional mantida separadamente, e por isso continua sendo dado pessoal; um dado anonimizado, tecnicamente, não permite essa reconstrução.

A LGPD trata os dois institutos de forma distinta de propósito. O Art. 13 regula a pseudonimização especificamente no contexto de estudos em saúde pública realizados por órgãos de pesquisa, ainda que a LGPD também mencione a pseudonimização como medida técnica de segurança em outros dispositivos, como o Art. 46, §1º, mantendo o dado sob o guarda-chuva legal — com direitos do titular, necessidade de base legal e obrigações de segurança, ainda que a lei preveja tratamento diferenciado ao acesso de terceiros e à divulgação de resultados nesse cenário específico (Art. 13, §§1º a 4º). Já o Art. 12 trata a anonimização como evento que retira o dado do conceito legal de dado pessoal, salvo quando o processo de anonimização puder ser revertido com esforços razoáveis — nos termos do §1º do Art. 12, que também prevê que a determinação do que sejam ‘esforços razoáveis’ deve levar em conta fatores objetivos como custo e tempo necessários para reverter o processo, considerando as tecnologias disponíveis, e a utilização exclusiva de meios próprios.

Na prática de auditoria, o erro mais recorrente não é técnico, é de rotulagem: empresas chamam de “anonimização” qualquer processo que remove nome e CPF de uma tabela, sem avaliar se as variáveis remanescentes (CEP, idade, cargo, data de atendimento) permitem reidentificação por combinação. Esse é o quase-anonimização que mais aparece em incidentes reportados à ANPD.

Critério	Pseudonimização	Anonimização
Reversibilidade	Reversível com chave/informação adicional	Irreversível com meios técnicos razoáveis
Enquadramento legal	Continua sendo dado pessoal (Art. 13)	Sai do escopo da LGPD (Art. 12)
Exemplo típico	Tokenização reversível ou criptografia com chave mantida separadamente, permitindo remapeamento controlado ao dado original (HMAC, por ser uma função de hash com chave, é adequado para verificação/comparação determinística, mas não permite recuperar o valor original a partir do hash)	Agregação estatística sem chave de reversão, k-anonymity aplicado
Exige base legal	Sim	Não, após anonimização válida (mas o tratamento do dado pessoal original, antes e durante o processo de anonimização, continua exigindo base legal do Art. 7º ou 11 enquanto ainda for dado pessoal)
Direitos do titular aplicáveis	Sim (acesso, correção, exclusão)	Não, salvo reversão comprovada

Um erro comum de mercado é tratar hash simples como sinônimo de anonimização. Hash sem sal, aplicado a um campo de baixa cardinalidade como CPF, pode ser revertido por força bruta ou tabela rainbow, tecnicamente isso não constitui nem anonimização nem pseudonimização controlada, é um controle de segurança insuficiente que resulta em dado pessoal reidentificável, sujeito a todas as obrigações da LGPD, e projetos que tratam como anônimo esse tipo de dado carregam risco jurídico subestimado.

Para aprofundar esse regime específico, veja o artigo sobre pseudonimização de dados e o que muda na prática da LGPD.

Quais técnicas de anonimização de dados existem?

As técnicas mais usadas no mercado são generalização, supressão, adição de ruído estatístico (differential privacy), k-anonymity, l-diversity e agregação, todas descritas na norma internacional ISO/IEC 20889:2018, um documento de referência terminológica e classificação de técnicas de desidentificação, sem processo de certificação formal associado — diferente, por exemplo, do modelo de certificação de sistema de gestão da ISO/IEC 27001.

Existem duas famílias de abordagem. As técnicas determinísticas – generalização, supressão, k-anonymity – transformam o dado de forma previsível, reduzindo granularidade (por exemplo, substituindo idade exata por faixa etária) até que cada registro se torne indistinguível de um grupo mínimo de outros registros. As técnicas probabilísticas, como differential privacy, injetam ruído matemático controlado no conjunto de dados ou nas consultas feitas a ele, oferecendo uma garantia matemática formal – cuja robustez real depende criticamente da calibração do parâmetro de privacidade (epsilon) escolhido, sobre a presença de qualquer indivíduo específico na base.

A escolha depende do tipo de dado e da finalidade pós-anonimização:

• Dados estruturados tabulares (RH, saúde, financeiro): k-anonymity combinado com l-diversity funciona bem para relatórios estatísticos e datasets analíticos.
• Dados usados em modelos de machine learning: differential privacy é geralmente considerado o padrão mais defensável tecnicamente contra ataques de inferência de membership (descobrir se um registro específico fez parte do treinamento), embora sua aplicação e calibração de parâmetros variem significativamente conforme o tipo e escala do modelo (de modelos estatísticos simples a LLMs), exigindo avaliação técnica específica para cada caso.
• Dados não estruturados (textos, imagens, logs de atendimento): supressão de entidades nomeadas e generalização semântica, muitas vezes com apoio de NLP para detectar dados pessoais em texto livre.

O documento técnico NISTIR 8053 — De-Identification of Personal Information, do NIST, é referência recorrente para equipes técnicas que precisam justificar a escolha de método perante auditoria, por detalhar cenários de risco de reidentificação para cada técnica.

Um ponto pouco discutido no mercado brasileiro: a escolha da técnica não deveria ser feita isoladamente pela TI. O nível de generalização ou ruído aceitável depende da finalidade declarada do dado pós-anonimização – um dataset anonimizado para publicação pública exige parâmetros de k-anonymity muito mais rígidos do que um dataset anonimizado para uso interno em modelo estatístico com acesso restrito.

Dado anonimizado pode ser reidentificado?

Sim, a reidentificação é um risco técnico documentado, com estudos acadêmicos que conseguiram reverter anonimização cruzando bases de dados supostamente independentes, como ocorreu no caso clássico do dataset de avaliações da Netflix, cujos identificadores diretos (nomes, e-mails) foram removidos, mas cujos padrões de avaliação (datas e notas) preservavam quasi-identificadores suficientes para permitir correlação estatística, e foi reidentificado por pesquisadores (Narayanan e Shmatikov, 2008) ao cruzá-lo com avaliações públicas do IMDb, o que exige da empresa uma avaliação contínua de risco residual, não uma validação única.

O conceito de risco residual é central aqui: mesmo uma anonimização tecnicamente correta no momento em que foi feita pode se tornar vulnerável com o surgimento de novas bases públicas de referência ou novas técnicas de correlação. Órgãos como o European Data Protection Board recomendam tratar anonimização como processo de gestão de risco contínuo, e não como evento pontual de “aplicar e esquecer”.

O RIPD – Relatório de Impacto à Proteção de Dados – é a ferramenta que formaliza essa avaliação contínua. Ele documenta a probabilidade de reidentificação, os vetores de ataque plausíveis (cruzamento com bases públicas, ataques de inferência, engenharia reversa de modelo) e as medidas mitigadoras adotadas. Sem esse documento, a empresa não tem como demonstrar à ANPD, em caso de incidente, que fez a diligência exigida pelo Art. 12.

Para o passo a passo desse relatório, veja o guia sobre como fazer um Relatório de Impacto à Proteção de Dados (RIPD).

Como aplicar anonimização de dados na prática da empresa?

Aplicar anonimização de forma defensável exige cinco etapas sequenciais: mapear o dado, definir a finalidade pós-anonimização, escolher a técnica adequada ao tipo de dado, validar estatisticamente o resultado e documentar todo o processo para eventual fiscalização da ANPD.

O fluxo recomendado segue esta ordem:

1. Inventário de dados: identificar onde estão os dados pessoais, incluindo cópias em planilhas, backups e ambientes de teste, pontos cegos frequentes em auditoria.
2. Classificação: separar dados pessoais comuns de dados sensíveis (saúde, biometria, origem racial), avaliando desde a coleta se sua manutenção é necessária e proporcional à finalidade (princípio da minimização, Art. 6º da LGPD), já que dados sensíveis exigem parâmetros de anonimização mais rígidos – a reidentificação desses dados pode gerar discriminação, estigmatização e exposição desproporcional de grupos vulneráveis (por raça, condição de saúde ou identidade de gênero), o que deve ser tratado como risco central, e não apenas técnico, na avaliação de impacto, conforme detalhado no artigo sobre dados pessoais sensíveis e o que a LGPD exige de proteção extra.
3. Escolha da técnica: alinhada à finalidade declarada e ao tipo de dado, conforme discutido na seção anterior.
4. Validação técnica: testar o dataset resultante contra ataques de reidentificação conhecidos (linkage attacks com quasi-identificadores, cálculo do parâmetro k mínimo em k-anonymity, verificação do orçamento de privacidade/epsilon em differential privacy), idealmente com equipe ou consultoria independente da que fez o processamento.
5. Documentação: registrar a técnica aplicada, os parâmetros usados, a data e a justificativa de adequação — essa documentação é a principal defesa em fiscalização.

O DPO deve atuar como validador do critério legal e de proporcionalidade, enquanto a equipe de TI executa a técnica. Um erro estrutural comum é a TI decidir sozinha o “quanto anonimizar”, sem input jurídico sobre o nível de risco aceitável para aquela finalidade específica.

Um cenário que ganhou urgência recente é o uso de dados anonimizados para treinar modelos de IA generativa. Aqui a anonimização precisa resistir não só a ataques de cruzamento de bases, mas a ataques de extração de dados de treinamento (model inversion e memorização de exemplos de treino, especialmente relevante em modelos generativos de grande porte), categorias de risco que boa parte dos times de dados ainda não avalia — e que técnicas pensadas para dados tabulares nem sempre mitigam adequadamente em dados textuais não estruturados. Além disso, mesmo com dados de treinamento anonimizados, o modelo resultante pode reproduzir e amplificar vieses discriminatórios presentes na base original, com impacto desproporcional sobre grupos já vulnerabilizados (por raça, gênero, condição de saúde, território, entre outros). Isso exige avaliação de impacto algorítmico prévia e contínua, medidas concretas de mitigação de discriminação, canais efetivos de contestação pelos afetados e garantia do direito à revisão humana em decisões automatizadas relevantes (Art. 20 da LGPD), não apenas conformidade formal com o texto legal. Esse tema tem tratamento dedicado no artigo sobre anonimização de dados para treinamento de modelos de IA. Vale notar que o PL 2338/2023 (Marco Legal da IA), ainda em tramitação no Congresso e sujeito a alterações substanciais até eventual aprovação, propõe na versão discutida até o momento, obrigações de transparência, governança e uma classificação de risco para sistemas de IA, mas não estabelece parâmetros técnicos de anonimização, esse tema continua regido pela LGPD e pelas orientações da ANPD.

Quais os riscos de anonimizar dados de forma incorreta?

Anonimização malfeita gera responsabilização como se o dado nunca tivesse sido anonimizado, incluindo as sanções administrativas previstas no Art. 52 da LGPD — que vão de advertência a multa de até 2% do faturamento do grupo econômico no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50 milhões por infração, além de passivo cível por vazamento de dado que a empresa apresentava como anônimo.

O ponto que mais pega empresas de surpresa é a diferença entre risco jurídico e risco reputacional. O risco jurídico nasce no momento em que a anonimização é tecnicamente insuficiente, mesmo que nenhum incidente tenha ocorrido ainda, a ANPD pode questionar o processo em fiscalização preventiva. O risco reputacional se materializa quando o vazamento ou a reidentificação se torna pública, e a empresa precisa explicar por que chamava de “anônimo” um dado que não era.

A ANPD tem publicado relatórios de fiscalização com número crescente de processos administrativos abertos, o que reforça que anonimização deixou de ser um tema apenas técnico e passou a compor risco de auditoria ativa. Consulte os Relatórios de Fiscalização e Sanções da ANPD para acompanhar decisões recentes envolvendo tratamento inadequado de dados.

A ANPD já regulamentou critérios técnicos de anonimização?

A ANPD publicou guias e notas técnicas orientativas sobre anonimização e pseudonimização, mas ainda não fixou uma norma técnica única, exaustiva e vinculante que estabeleça parâmetros numéricos obrigatórios (como nível mínimo de k em k-anonymity), o que exige das empresas acompanhamento constante de atualizações regulatórias.

Isso coloca as empresas em posição de usar como referência combinada: o texto legal da LGPD, os guias da ANPD disponíveis no portal gov.br/anpd, normas técnicas internacionais como a ISO/IEC 20889 e diretrizes de autoridades estrangeiras, como as guidelines on anonymisation do EDPB. Na ausência de um padrão nacional único, a defensabilidade técnica de um processo de anonimização depende de demonstrar alinhamento com essas múltiplas referências e de manter documentação atualizada sobre qual delas foi seguida e por quê.

A expectativa de mercado é que a ANPD avance para diretrizes mais específicas conforme os casos de fiscalização se acumulem, especialmente puxados por reclamações crescentes registradas no Painel de Reclamações da autoridade. A Mabex acompanha essas publicações e atualiza os projetos de clientes sempre que uma nova orientação técnica é emitida, evitando que processos de anonimização fiquem desalinhados com o entendimento mais recente do órgão regulador.

Perguntas Frequentes

Dado anonimizado ainda é dado pessoal para a LGPD?
Não, desde que a anonimização atenda ao critério do Art. 12, irreversibilidade com meios técnicos razoáveis e disponíveis. Se a reversão for possível com esforço proporcional, o dado continua sendo pessoal e segue sob todas as regras da LGPD.

Qual a diferença entre anonimização e pseudonimização?
Anonimização é irreversível e retira o dado do escopo legal da LGPD (Art. 12). Pseudonimização é reversível com uma chave guardada separadamente e mantém o dado como pessoal, sujeito a base legal e direitos do titular (Art. 13).

Anonimização de dados é reversível?
Não deveria ser, tecnicamente. Se um processo chamado de “anonimização” pode ser revertido com meios razoáveis — como uma chave, um dicionário de mapeamento ou cruzamento simples de bases, ele é, na verdade, pseudonimização, e a empresa precisa reclassificar o dado como pessoal.

Quais técnicas de anonimização a LGPD aceita?
A LGPD não lista técnicas específicas, mas o mercado usa como referência k-anonymity, l-diversity, generalização, supressão, agregação e differential privacy, todas classificadas pela ISO/IEC 20889:2018. A validade depende de resistir a ataques de reidentificação plausíveis no contexto do dado.

Anonimizar dados elimina totalmente o risco da empresa?
Não elimina o risco de reidentificação futura, apenas o risco de enquadramento como dado pessoal no momento do processamento. Por isso é necessário reavaliar periodicamente o risco residual, especialmente quando novas bases públicas ou técnicas de correlação surgem no mercado.

Anonimização de dados é, antes de tudo, um instrumento de proteção do direito fundamental à privacidade dos titulares (Art. 5º, X, da CF/88, e Art. 2º da LGPD), e também uma decisão técnica com consequência jurídica direta: errar o critério de irreversibilidade custa caro, em multa, em passivo cível, em exposição indevida das pessoas cujos dados foram tratados, e em credibilidade perante titulares e reguladores.

Fontes:

• Lei Geral de Proteção de Dados (Lei 13.709/2018), Art. 12 — Planalto, 2018
• Autoridade Nacional de Proteção de Dados (ANPD) — Guias e orientações técnicas
• ANPD — Relatórios de Fiscalização e Sanções
• ISO/IEC 20889:2018 — Privacy enhancing data de-identification terminology and classification of techniques
• NIST — De-Identification of Personal Information (NISTIR 8053), 2015
• IBM — Cost of a Data Breach Report
• Comitê Gestor da Internet no Brasil (CGI.br) — Pesquisa TIC Empresas
• European Data Protection Board (EDPB) — Guidelines on anonymisation