Anonimizar dados exige demonstrar que o resultado já não permite identificar pessoas pelos meios razoavelmente suscetíveis de serem utilizados. Apagar nomes e números de identificação é apenas uma operação inicial. Uma combinação de local, idade, profissão e data pode revelar a pessoa que a equipa pretendia proteger, mesmo quando nenhuma coluna contém o seu nome.
O objetivo deste método é preparar uma decisão de divulgação: qual o resultado que pode sair, para quem, com que utilidade e com que avaliação de reidentificação. A mesma transformação pode ter consequências diferentes num relatório público e num ambiente de investigação com acesso controlado. Por isso, a decisão deve identificar o contexto concreto, sem tratar o nome de uma técnica como garantia de anonimato.
Distinguir o resultado anónimo do ficheiro apenas codificado
O considerando 26 do RGPD relaciona a identificação com os meios razoavelmente utilizáveis, considerando fatores como custo, tempo e tecnologia. A operação de anonimização sobre dados pessoais continua a ser um tratamento que exige análise de finalidade, fundamento e segurança. Um resultado efetivamente anónimo não torna retroativamente lícita uma recolha inicial inadequada.
Na pseudonimização, a atribuição a uma pessoa depende de informação adicional protegida separadamente. Para o responsável que conserva a correspondência e pode utilizá-la, os dados continuam pessoais. Substituir o nome por um número estável facilita ainda a ligação de registos ao longo do tempo. A eliminação da tabela de correspondência também não resolve automaticamente a identificação através das restantes características.
A cifragem responde a outra pergunta: quem consegue ler o conteúdo com a chave adequada? Um ficheiro cifrado que a organização pode decifrar continua a exigir proteção como dado pessoal. Confundir estas operações leva a retirar controlos precisamente dos ficheiros que ainda podem revelar pessoas.
Situar as orientações técnicas
O Parecer 05/2014 do Grupo do Artigo 29 analisa técnicas e riscos de individualização, ligação e inferência. É uma referência técnica histórica útil para construir cenários de ataque, não uma lista de técnicas automaticamente aprovadas para qualquer utilização.
Em 8 de setembro de 2026, as Orientações 02/2026 do CEPD sobre anonimização estão em consulta pública, com período indicado de 8 de julho a 30 de outubro de 2026. A versão disponibilizada deve ser identificada como projeto sujeito a consulta. Não a apresente como texto final nem ignore esta evolução quando mantiver um protocolo baseado em documentos anteriores.
A explicação técnica da CNIL sobre anonimização ajuda a compreender os riscos residuais e a necessidade de vigilância. As referências francesas aqui usadas apoiam a análise técnica; não transferem para Portugal regras nacionais francesas de publicação de documentos.
Definir a pergunta estatística antes de transformar
Uma associação fictícia quer publicar a participação nos seus cursos. O objetivo é comparar a procura por grandes áreas de formação e por trimestre. Não precisa de mostrar percursos individuais, datas exatas de presença ou comentários dos participantes. Esta definição permite retirar informação sem prejudicar a pergunta que justifica a publicação.
A equipa começa por separar três objetos: o ficheiro operacional de inscrições, a base de trabalho usada para calcular indicadores e o relatório destinado ao público. Cada objeto tem destinatários e regras de conservação próprios. O facto de o relatório passar a conter apenas estatísticas não autoriza a publicação da base de trabalho nem a conservação ilimitada das inscrições.
A minimização dos campos recolhidos ajuda a evitar que o problema se multiplique na origem. Se um campo nunca é necessário para gerir o curso ou produzir o indicador, a melhor decisão pode ser deixar de o recolher, em vez de criar uma transformação complexa para o retirar mais tarde.
Examinar três formas de revelar uma pessoa
A individualização ocorre quando é possível isolar uma pessoa ou um percurso no conjunto. Num exemplo fictício, uma única participante de uma determinada faixa etária frequentou um curso raro numa pequena localidade. A ausência do nome não impede que a combinação a distinga.
A ligação permite relacionar dados com outros registos. Uma publicação da associação pode ser cruzada com uma notícia local, uma lista pública de participantes ou um relatório anterior. O avaliador deve considerar fontes realisticamente acessíveis, sem limitar a análise às bases que a própria associação utiliza.
A inferência revela um atributo com elevada probabilidade, mesmo sem identificar uma linha individual. Se todos os participantes de um grupo conhecido receberam um determinado apoio social, saber que uma pessoa pertence ao grupo pode revelar essa circunstância. Aumentar o número de linhas com o mesmo atributo não elimina o problema.
Estes cenários têm de ser descritos com os conhecimentos prévios do possível observador. Um vizinho, um empregador e um leitor distante não dispõem necessariamente da mesma informação. Registe essas diferenças e explique quais foram relevantes para a decisão de divulgação.
Escolher técnicas e reconhecer as suas limitações
A generalização reduz a precisão: a idade exata passa a intervalo, a data a trimestre e a localidade a uma área mais ampla. A supressão retira uma coluna, um registo ou um resultado demasiado revelador. A agregação produz indicadores por grupo. Estas operações podem preservar a comparação pretendida, mas precisam de avaliação conjunta: uma categoria ampla numa coluna pode continuar rara quando combinada com outras.
O k-anonimato procura que combinações escolhidas de quase identificadores sejam partilhadas por pelo menos k registos. O valor escolhido não constitui um limiar legal universal. Também não impede, por si só, que todos os elementos do grupo tenham o mesmo atributo sensível. A diversidade desse atributo e a proximidade da sua distribuição à população são problemas adicionais que outras técnicas procuram tratar.
A aleatorização altera valores, por exemplo através de ruído. Na privacidade diferencial, a proteção depende de uma definição matemática e de parâmetros, incluindo a forma como consultas sucessivas consomem o orçamento de privacidade. «Adicionámos ruído» é insuficiente para avaliar o mecanismo. É necessário perceber o que foi limitado, com que parâmetros e como o resultado continua útil.
Dados sintéticos também precisam de avaliação. Um modelo pode reproduzir exemplos raros ou memorizar elementos do conjunto usado na sua construção. A aparência artificial de uma linha não demonstra que nenhuma informação pessoal foi preservada.
Exemplo preenchido: rever o relatório da associação
A primeira versão do relatório apresenta curso, freguesia, idade exata e número de presenças mensais. A equipa encontra uma combinação única num curso especializado. Encontra também comentários com referências a situações familiares. Decide rejeitar essa versão para publicação e produzir uma segunda versão orientada apenas à procura por área de formação.
| Elemento | Decisão na segunda versão | Razão concreta |
|---|---|---|
| Nome e contacto | Excluídos de toda a exportação pública | Não contribuem para o indicador |
| Idade exata | Intervalos definidos para a análise | Reduzir pormenor desnecessário |
| Freguesia | Área geográfica mais ampla | Evitar grupos locais isolados |
| Curso raro | Integrado numa área de formação | Impedir combinação única observada |
| Presença mensal | Resultado trimestral | Reduzir ligação a eventos individuais |
| Comentário livre | Não publicado | Contém contexto identificador não estruturado |
| Código de inscrição | Retirado | Evitar ligação de trajetórias entre versões |
A segunda versão não é aprovada apenas porque estas alterações foram aplicadas. O responsável pela análise verifica as combinações restantes e compara o relatório com publicações anteriores. Uma soma total pode permitir reconstruir uma célula suprimida por subtração. Nessa situação, é necessário rever também os totais ou outras células, e confirmar que o indicador continua compreensível.
A equipa decide não publicar a distribuição geográfica de uma área muito pequena, mantendo apenas o total global dessa área. O relatório explica a ausência de detalhe por razões de proteção das pessoas, sem revelar quantos casos raros provocaram a decisão. Esta é uma perda de precisão aceite conscientemente, não um erro de cálculo a corrigir com nova exposição.
Avaliar a sequência de publicações
Considere agora que a associação publica um relatório na segunda-feira e outro na sexta-feira. A diferença revela a entrada de um único participante num curso. Mesmo que cada relatório isolado tenha grupos maiores, a comparação pode revelar o novo elemento e os seus atributos.
O protocolo deve, portanto, indicar frequência de divulgação, histórico acessível e alterações previstas. Repetir uma consulta com ligeiras variações também pode permitir reconstruir informação. Se a organização disponibiliza consultas interativas, o controlo deve abranger o conjunto das respostas e os utilizadores que podem combiná-las.
Esta análise é especialmente relevante em inquéritos e questionários, onde perguntas abertas, pequenos grupos e conhecimento entre participantes aumentam a capacidade de reconhecimento. A classificação «resposta anónima» precisa de corresponder ao desenho real da recolha e do resultado, incluindo metadados técnicos disponíveis.
Formar um dossiê que permita rever a decisão
Guarde a identificação da versão analisada, o objetivo, os destinatários, os parâmetros de transformação, as fontes externas consideradas e os resultados dos cenários examinados. Indique as limitações e as razões para aceitar ou rejeitar a divulgação. O documento deve permitir que outra pessoa competente compreenda o percurso, sem receber desnecessariamente todas as inscrições originais.
O serviço responsável explica a utilidade dos indicadores; a equipa técnica descreve as transformações; a função de proteção de dados aconselha sobre o enquadramento e os riscos. Se existir EPD, envolva-o adequadamente. A avaliação de impacto pode ser necessária para o tratamento quando estejam reunidas as condições aplicáveis, mas não substitui a demonstração relativa ao resultado que se pretende publicar.
Mantenha o registo de atividades coerente com o processo e atribua um responsável pela conservação das fontes e das cópias intermédias. A política de conservação deve tratar separadamente esses ficheiros e o resultado avaliado.
Agir quando o contexto muda
Uma nova base pública, uma alteração no detalhe dos indicadores ou uma técnica de reidentificação relevante pode exigir revisão. Defina estes acontecimentos como gatilhos, em vez de presumir que a decisão inicial vale para sempre. Não existe neste método uma periodicidade legal única aplicável a todos os conjuntos.
Se for identificada uma possibilidade concreta de reidentificação após divulgação, limite o acesso quando possível, preserve elementos necessários à análise e avalie se ocorreu uma violação de dados pessoais. A retirada do sítio não elimina necessariamente cópias já obtidas. A notificação de violações à CNPD deve ser apreciada segundo os factos e o risco, com uma decisão documentada.
O resultado final é uma autorização delimitada: esta versão, para esta finalidade, nestas condições e com estes pontos de revisão. Quando a análise permanece inconclusiva, mantenha os controlos de dados pessoais e escolha uma divulgação menos detalhada ou um acesso restrito. A necessidade de publicar não resolve uma dúvida técnica sobre quem pode ser reconhecido.