Anonimização e pseudonimização: diferenças com consequência jurídica

Existe uma frase que aparece em reunião de produto com a regularidade de um bug conhecido: "a gente anonimiza e pode usar". Na maioria das vezes, o que o sistema faz de verdade é trocar o nome por um código, guardar a tabela de correspondência e seguir tratando dado pessoal achando que não. A distância entre anonimizar e pseudonimizar parece semântica, mas é uma das fronteiras com mais consequência jurídica da LGPD: de um lado, dado fora do alcance da lei; do outro, dado pessoal com todas as obrigações de sempre.

Este artigo estabelece as definições pela letra da lei, mostra por que a reidentificação é mais fácil do que a intuição sugere, com os números dos estudos clássicos, e aterrissa no contexto de verificação de identidade: o que dá para anonimizar de verdade num sistema de KYC, e o que nunca vai dar.

O que a lei define, e onde

A LGPD, Lei 13.709/2018, define anonimização no artigo 5º, inciso XI: a utilização de meios técnicos razoáveis e disponíveis na ocasião do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo. O artigo 12 entrega a consequência: dados anonimizados não são considerados dados pessoais para os fins da lei, salvo quando o processo puder ser revertido com esforços razoáveis. É a única porta de saída do escopo da LGPD que não envolve eliminar o dado.

A pseudonimização é outra coisa, e a própria lei a define no artigo 13, parágrafo 4º: o tratamento por meio do qual um dado perde a possibilidade de associação direta ou indireta a um indivíduo, senão pelo uso de informação adicional mantida separadamente pelo controlador em ambiente controlado e seguro. A palavra decisiva é "senão": a ponte de volta existe, está guardada em algum lugar, e enquanto ela existir o dado segue sendo pessoal. Pseudonimizar é uma medida de segurança excelente e recomendável; o que ela não é, nunca, é uma saída do escopo da lei.

Reidentificação: os números que curam o otimismo

A intuição diz que remover nome e CPF de uma base a torna anônima. A pesquisa diz o contrário há décadas. Latanya Sweeney demonstrou no estudo Simple Demographics Often Identify People Uniquely (Universidade Carnegie Mellon, 2000) que 87% da população dos Estados Unidos era identificável de forma única pela combinação de apenas três atributos banais: código postal, data de nascimento e sexo. Nenhum dos três é "identificador" sozinho; juntos, apontam uma pessoa.

Arvind Narayanan e Vitaly Shmatikov levaram a lição às bases comportamentais no estudo Robust De-anonymization of Large Sparse Datasets (IEEE Symposium on Security and Privacy, 2008), reidentificando usuários da base "anônima" de avaliações de filmes do Prêmio Netflix por cruzamento com avaliações públicas em outro site: em base esparsa, o próprio padrão de comportamento é a impressão digital. A resposta acadêmica a esse problema, o conceito de k-anonimato proposto por Sweeney em 2002, exige que cada combinação de atributos indiretos apareça em pelo menos k registros, e mostra na prática o custo da anonimização honesta: ela destrói detalhe, e destruir detalhe é o preço.

O caso do hash de CPF, e por que ele engana

O exemplo brasileiro perfeito da confusão é o hash de CPF. Aplicar uma função de resumo criptográfico ao CPF parece anonimizar: o número vira uma sequência irreconhecível e a função não tem inversa. O problema é aritmético: o espaço de CPFs válidos é minúsculo para uma máquina, na casa de um bilhão de combinações, e qualquer um pode calcular o hash de todos eles e montar a tabela reversa completa em hardware comum. O resultado é, na melhor hipótese, uma pseudonimização sem a parte do "ambiente controlado e seguro", porque a informação adicional que reverte o processo é pública: o próprio algoritmo. Pela régua do artigo 12, reversão com esforços razoáveis descaracteriza a anonimização, e poucas coisas são tão razoáveis quanto uma tabela pré-computada.

A versão honesta desse desenho existe e é padrão em segurança: hash com chave secreta (HMAC), com a chave guardada separada e rotacionável. É útil, defensável e continua sendo pseudonimização: dado pessoal, dentro do escopo, com a ponte de volta trancada em vez de destruída.

No KYC: o que cada categoria pode ser

Aterrissando no fluxo de verificação de identidade, as três categorias convivem:

• O que permanece pessoal por natureza: o dossiê de verificação, a mídia, o vínculo entre CPF e decisão. É o coração do serviço e das obrigações regulatórias de guarda; não existe versão anônima de "quem é esta pessoa". Vale retenção com prazo e as réguas do artigo sobre retenção de dados de verificação.
• O que merece pseudonimização como higiene: identificadores em logs, referências internas entre sistemas, bases de análise interna. Reduz o dano de cada exposição acidental sem fingir que saiu da lei.
• O que pode ser anônimo de verdade: métricas agregadas com granularidade controlada, taxas de aprovação por período, distribuições de tempo de conclusão, desde que os recortes não afunilem em grupos pequenos o bastante para reidentificar, que é exatamente a lição do k-anonimato.

A fronteira também responde uma pergunta recorrente de atendimento a titular: eliminação a pedido, tratada no artigo sobre direitos do titular em KYC, não se satisfaz com pseudonimização, porque o dado segue pessoal. Chamar as coisas pelo nome certo, anônimo só o que não volta, é menos uma formalidade e mais a diferença entre uma arquitetura que se defende e uma que desmorona na primeira pergunta técnica da fiscalização.

Fontes citadas

• Lei 13.709/2018 (LGPD), artigos 5º, 12 e 13, disponível no portal do Planalto: planalto.gov.br
• Latanya Sweeney, Simple Demographics Often Identify People Uniquely, Carnegie Mellon University, Data Privacy Working Paper 3 (2000): dataprivacylab.org
• Arvind Narayanan e Vitaly Shmatikov, Robust De-anonymization of Large Sparse Datasets, IEEE Symposium on Security and Privacy (2008), preprint How To Break Anonymity of the Netflix Prize Dataset: arxiv.org/abs/cs/0610105
• Latanya Sweeney, k-anonymity: a model for protecting privacy, International Journal on Uncertainty, Fuzziness and Knowledge-based Systems (2002)