Anonimização de dados pessoais segundo a LGPD

Como a lei define dado anonimizado, quando a anonimização é a medida adequada e o que muda nas obrigações da organização.

A LGPD não impõe anonimização a todo documento, mas a prevê em hipóteses específicas. O artigo 16, IV, por exemplo, condiciona a conservação para uso exclusivo do controlador, após o término do tratamento, à anonimização e à vedação de acesso por terceiros. Nos demais casos, a escolha da medida depende da finalidade, da necessidade e dos riscos do tratamento.

Esta página reúne o que a lei diz sobre dado anonimizado, o que distingue anonimização de pseudonimização e como organizar o processo dentro de uma rotina verificável.

O conteúdo tem caráter informativo e não substitui a avaliação do encarregado pelo tratamento de dados nem a orientação jurídica sobre um caso concreto.

O que a LGPD diz sobre dados anonimizados

A Lei nº 13.709/2018 define dado anonimizado como aquele relativo a um titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento. A anonimização, por sua vez, é descrita como o uso desses meios técnicos para que o dado perca a possibilidade de associação, direta ou indireta, a um indivíduo.

A consequência prática está no artigo 12: dados anonimizados não são considerados dados pessoais para os fins da lei, salvo quando a anonimização for revertida exclusivamente com meios próprios ou puder ser revertida com esforços razoáveis.

Duas ideias sustentam esse regime. A primeira é que a anonimização é avaliada pelo resultado, e não pela intenção: se o dado ainda pode ser associado a alguém com esforço razoável, ele continua sendo dado pessoal. A segunda é que o parâmetro do que é razoável muda com o tempo, acompanhando a evolução das técnicas disponíveis.

Anonimização e pseudonimização não são a mesma coisa

A LGPD trata da pseudonimização em dispositivo próprio, ao disciplinar estudos em saúde pública, descrevendo-a como o tratamento por meio do qual um dado perde a possibilidade de associação a um indivíduo, senão pelo uso de informação adicional mantida separadamente pelo controlador em ambiente controlado e seguro.

A diferença está no caminho de volta. No dado pseudonimizado ele existe e é controlado; no dado anonimizado, ele não deveria existir. Por isso o dado pseudonimizado continua sendo dado pessoal e permanece integralmente sujeito à lei.

  • Anonimizado: sem possibilidade de associação ao titular pelos meios técnicos razoáveis e disponíveis. A possibilidade de reversão com esforços razoáveis já afasta esse regime, mesmo sem reidentificação efetiva.
  • Pseudonimizado: reidentificação possível para quem detém a informação adicional. Continua sendo dado pessoal.
  • Tarjado visualmente: nenhuma das duas coisas, se o conteúdo original permanecer no arquivo.

Quando anonimizar um documento é a medida adequada

Alguns cenários se repetem nas organizações que tratam documentos com dados pessoais.

  • Compartilhamento com terceiros que não precisam conhecer a identidade dos titulares, como consultorias, peritos e prestadores de serviço.
  • Publicação de documentos, decisões e relatórios em canais abertos ou em portais de transparência.
  • Uso de documentos reais em testes, treinamentos internos, capacitações e demonstrações.
  • Envio de arquivos para plataformas de inteligência artificial generativa, especialmente as hospedadas fora do país.
  • Retenção de documentos cuja finalidade original já se encerrou, mas cujo conteúdo ainda tem valor estatístico ou histórico.

Em todos eles vale o mesmo raciocínio: se a finalidade pode ser alcançada sem os dados pessoais, mantê-los no documento é tratamento desnecessário.

O risco de reidentificação

Remover o nome nem sempre é suficiente. A combinação das informações que sobraram, como cargo, unidade, data, número de matrícula, valor ou uma doença rara, pode reconstruir a identidade de alguém dentro de um universo pequeno de pessoas.

A LGPD reconhece esse risco ao condicionar o regime dos dados anonimizados à impossibilidade de reversão com esforços razoáveis. Na revisão de um documento, isso se traduz em uma pergunta simples: com o que ficou na página, alguém que tenha acesso a outras bases conseguiria chegar ao titular?

Por isso a revisão humana não é um detalhe do processo. Só quem conhece o contexto do documento consegue avaliar o que a combinação das informações remanescentes revela.

Como demonstrar que o processo foi feito com cuidado

A conformidade não se demonstra com o arquivo final, e sim com o processo que levou até ele. Alguns elementos ajudam a construir esse registro.

  • Critério declarado: quais tipos de dado devem ser removidos em cada categoria de documento, e por quê.
  • Processo padronizado: a mesma identificação automática aplicada a todos os documentos, reduzindo a variação entre operadores.
  • Revisão identificada: uma pessoa responsável confirma as marcações antes da exportação.
  • Resultado verificável: combine busca e extração de texto com revisão visual e verificação de metadados e conteúdo oculto; a ausência de resultados na busca não comprova, sozinha, a anonimização.
  • Escopo definido: documentos que exigem tratamento diferente, como os que contêm dados sensíveis, seguem um critério próprio.

Perguntas frequentes

Dado anonimizado ainda é dado pessoal?

Em regra, não. O artigo 12 ressalva os casos em que a anonimização é revertida exclusivamente com meios próprios ou pode ser revertida com esforços razoáveis. Não é necessário que a reidentificação efetivamente ocorra para que essa segunda ressalva se aplique.

Anonimizar documentos dispensa a base legal para o tratamento?

A anonimização em si é um tratamento de dados pessoais e precisa de fundamento, assim como o tratamento anterior. O resultado deixa de ser tratado como dado pessoal se atender aos critérios da LGPD. Obrigações de sigilo profissional, contratual ou legal podem continuar restringindo a circulação do documento.

A DocSec garante conformidade com a LGPD?

Nenhuma ferramenta garante conformidade sozinha, porque a adequação depende de processos, políticas e decisões da organização. A DocSec atua sobre uma etapa específica: identificar dados pessoais em documentos, apoiar a revisão humana e produzir um arquivo com as informações efetivamente removidas.

Qual a diferença entre anonimização e pseudonimização na prática?

Na pseudonimização, o dado que identifica é trocado por um código e a associação com a pessoa pode ser refeita por quem guarda a informação adicional. Na anonimização, esse caminho de volta não deve existir. Por isso o dado pseudonimizado continua sendo dado pessoal para a LGPD.

Continue explorando