Anonimização e pseudonimização: a diferença jurídica
Anonimizar é tratar o dado de modo que ele perca a possibilidade de associação a uma pessoa, direta ou indiretamente, com os meios técnicos razoáveis e disponíveis no momento. Dado anonimizado deixa de ser dado pessoal e sai do escopo da LGPD. É a única operação que permite manter a informação e ficar fora do alcance da lei, e quase nada do que o mercado chama de anonimização atende ao critério.
O que o art. 5º, XI, exige
O inciso define anonimização como a utilização de meios técnicos razoáveis e disponíveis no momento do tratamento por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo.
O art. 12 dá a consequência e a armadilha. Dados anonimizados não são considerados dados pessoais, salvo quando o processo puder ser revertido usando meios próprios ou com esforços razoáveis. O mesmo artigo acrescenta que dados usados para formar perfil comportamental de uma pessoa natural identificada podem ser considerados dados pessoais.
A anonimização, então, precisa se sustentar diante de quem tenta reverter, e a avaliação se refaz sempre que a técnica de reversão melhora.
Pseudonimização, no art. 13, § 4º
A LGPD trata da pseudonimização no art. 13, § 4º: o dado perde a associação ao indivíduo exceto pelo uso de informação adicional mantida separadamente, em ambiente controlado e seguro. A diferença entre as duas operações decide quais obrigações continuam valendo.
| Anonimização | Pseudonimização | |
|---|---|---|
| Existe caminho de volta? | Não, com esforço razoável | Sim, com a informação adicional |
| Continua sob a LGPD? | Não, salvo reversão razoável | Sim, integralmente |
| Papel operacional | Reduz escopo | Reduz risco |
Hash sozinho quase nunca anonimiza
Aplicar SHA-256 a um e-mail, a um CPF ou a um IP produz uma sequência ilegível, e a conclusão apressada é que o dado foi anonimizado. Hash é determinístico: o mesmo IP gera sempre o mesmo valor. Quem tiver a lista de entradas possíveis recalcula os hashes e reidentifica, e o espaço de CPFs e de endereços IPv4 é pequeno para um computador. O resultado é pseudonimização, com o dado ainda pessoal.
O que o Concedo faz com o IP do visitante
O IP bruto nunca é persistido. O que fica gravado no log de consentimento é
visitor_hash = sha256(ip + "|" + user_agent + "|" + salt_do_dia). O salt muda a cada dia, então a
correlação entre visitas de dias diferentes se perde por construção, e mesmo quem tivesse a
semente só alcançaria o dia corrente.
Isso é minimização forte, e não uma declaração de que o dado deixou de ser pessoal. O
visitor_hash existe porque a prova de consentimento precisa distinguir visitantes dentro
do dia; ele é tratado como dado pessoal pseudonimizado, com as obrigações que isso implica.
Onde anonimizar compensa
Relatório agregado, estudo de comportamento por coorte, base de treinamento e, sobretudo, o fim do ciclo de vida do dado, quando a alternativa é guardar registro identificável para sempre. Onde a identificação é o próprio objetivo, anonimizar inviabiliza a operação: prova de consentimento, atendimento ao titular e faturamento precisam apontar para alguém.
Declarar anonimização e guardar a chave
O erro recorrente é escrever "dados anonimizados" na política de privacidade e manter a chave de reversão do lado de dentro. Se existe uma tabela, um salt fixo ou um mapeamento que devolve o identificador original, o dado é pseudonimizado e continua integralmente sob a lei. A declaração errada ainda serve de prova contra a empresa, porque documenta uma avaliação que ela não fez.
Termos relacionados
Continue lendo
ANPD: quem fiscaliza a LGPD e como dosa as sanções
Quem fiscaliza a LGPD no Brasil, o que a ANPD já publicou sobre cookies, como ela dosa as sanções e o que muda para empresa de pequeno porte.
Base legal na LGPD: as dez hipóteses do art. 7º
As dez bases legais do art. 7º, as oito hipóteses do art. 11 para dado sensível e por que consentimento não é a regra geral nem conserta tratamento antigo.
CMP: o que faz uma plataforma de consentimento
O que uma CMP faz além de mostrar banner: bloqueio prévio, sinal para as tags, registro auditável, revogação e prova de cada escolha do visitante.
Consent Mode v2: os sete sinais que o Google lê
Os sete sinais, os quatro que a v2 tornou obrigatórios, a diferença entre básico e avançado e por que ele não governa o Meta Pixel.