Desde a aprovação da LGPD, sigla para Lei Geral de Proteção de Dados, em 2018, diversas dúvidas surgiram quanto aos conceitos mais importantes trazidos em seu texto, como a anonimização de dados.
Mas afinal, o que significa anonimização de dados e o que isso tem a ver com o tratamento de dados pessoais ? Vamos conhecer os principais pontos sobre esse tema neste artigo.
O que é anonimização de dados, de acordo com a LGPD?
De acordo com a LGPD, a anonimizaçao de dados trata-se da “utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo“.
Isso quer dizer que um dado anonimizado é qualquer dado pessoal ou dado sensível relativo a uma pessoa natural que é tratado de maneira que não possa mais ser vinculado a ela. Ou seja, tornaram-se dados anônimos.
A LGPD fixa ainda a anonimização de dados pessoais do titular como um direito quando esses são desnecessários ou excessivos, conforme descreve seu artigo 18, IV.
Mas um dos pontos mais importantes trazidos pelo seu texto é a não aplicação da lei para dados que foram anonimizados.
Isto é, uma vez que o tratamento torna os dados anônimos, não há mais exigências legais aplicadas a eles.
Isso porque tais dados já não podem ser associados a uma pessoa natural, o que dá à empresa controladora maior liberdade no tratamento desses dados.
Contudo, conforme estabelece o artigo 12, as informações poderão ser consideradas anônimas somente quando o processo de anonimização sob o qual foram submetidas não puder ser revertido.
Ou seja, se por meio de “esforços razoáveis” esses dados puderem ser revertidos e, assim, associados a uma pessoa natural, a lei deverá ser aplica a eles.
Portanto, o tratamento deve ser realizado com base nas hipóteses legais previstas, como por meio do consentimento do titular ou legítimo interesse do controlador, por exemplo.
Como saber se o processo de anonimização é seguro e irreversível?
Ainda de acordo com o artigo 12, a determinação de “esforços razoáveis” deve levar em consideração fatores objetivos – como custo e tempo necessários para reverter o processo de anonimização – segundo as tecnologias disponíveis e utilização de meios próprios.
Dessa forma, um problema que se discute sobre o tema é a efetividade de anonimização dos dados, uma vez que há a possibilidade de que a reversão possa ser realizada com certa facilidade.
Portanto, para avaliar se as técnicas de anonimização adotadas são efetivas, podem ser observadas duas interpretações jurídicas:
- risk-based approach: análise baseada no risco, onde se verifica se houve a reidentificação dos dados;
- procedure-based approach: análise baseada nos procedimento adotados, onde verifica-se apenas a implementação de procedimentos adequados de acordo com riscos identificados previamente.
As interpretações consideram que nem sempre a anonimização dos dados pode ser realizada de forma completa, tornando-se até mesmo impossível em determinados casos.
Por isso, a garantia de efetividade de anonimização deve ser analisada de acordo com cada contexto.
Uma forma de garantir essa efetividade, por exemplo, é por meio da contratação de auditorias externas que possam comprová-la por meio de testes.
Vale lembrar que é preciso estar atento à efetividade da anonimização também em casos de compartilhamento desses dados pessoais com terceiros.
Desse modo, é preciso garantir que não há possibilidade de irreversibilidade da anonimização desses dados por terceiros.
Compartilhamento de dados anônimos e disponibilização pública
Visto que o dado anonimizado deixa de ser considerado dado pessoal e, portanto, não se enquadra ao escopo da lei, o compartilhamento de dados pessoais não deverá, necessariamente, ser realizado mediante consentimento do titular.
Porém, é preciso tomar certos cuidados para garantir que esses dados pessoais continuarão anônimos de maneira que, após serem compartilhados, não sejam reidentificados pela outra parte.
Quando se trata do compartilhamento dos dados para um controlador específico, avaliar a capacidade técnica de reidentificação do terceiro pode ser mas fácil, havendo possibilidade de garantir a anonimização por meio de contrato, por exemplo.
No caso de haver a reidentificação pelo terceiro, desde que o controlador que compartilhou os dados tenha tomado todas as medidas cabíveis para preservar a anonimização, podemos entender que a responsabilidade recai sobre a outra parte.
Sendo assim, uma vez que o dado deixa de ser anônimo, torna-se pessoal novamente. Portanto, deve ser tratado pela outra parte com base nas hipóteses de tratamento determinadas pela lei.
Quando, por outro lado, os dados anonimizados são disponibilizados de forma pública, tanto a avaliação de riscos quanto possíveis reidentificações tornam-se mais complicadas.
Isso porque que o número de agentes de tratamento com acesso aos dados pode ser extenso.
Qual a diferença entre anonimização e pseudonimização de dados?
Além do conceito de anonimização, o texto da LGPD apresenta ainda outro termo em seu artigo 13: pseudonimização.
Assim, o texto o descreve como:
“Art. 13. §4º. Para os efeitos deste artigo, a pseudonimização é o tratamento por meio do qual um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo, senão pelo uso de informação adicional mantida separadamente pelo controlador em ambiente controlado e seguro”
Ao contrário do que ocorre com os dados anonimizados, onde, nessas circunstâncias, não há aplicabilidade da LGPD, a lei não define vantagens ou desvantagens sobre a pseudonimização.
No entanto, podemos chegar à algumas conclusões se compararmos nossa lei ao GDPR, ou Regulamento Geral sobre Proteção de Dados, em português.
O GDPR é o regulamento europeu sobre proteção de dados que serviu como inspiração para a lei brasileira. Portanto, apesar das diferenças entre ambas, é possível realizar um comparativo entre as lei, buscando interpretações para o termo.
No artigo 25, por exemplo, o GDPR relaciona a pseudonimização como uma forma de se efetivar o princípio de privacy by design.
Ou seja, a pseudominização trata a privacidade do titular como prioridade. Dessa forma, as consequências de eventuais problemas, como o vazamento de dados pessoais, por exemplo, afetarão apenas dados não-identificáveis, evitando danos ao titular.
Como implantar a anonimização de dados na empresa?
Para implantar a anonimização no banco de dados da sua empresa é preciso:
- garantir boas técnicas de segurança, uma vez que um padrão compreendido pode ser facilmente revertido;
- priorizar boas tecnologias e ferramentas para realizar a anonimização;
- contar com a possibilidade de terceirizar esse processo, a fim de garantir sua eficácia quando a empresa, por si, não puder contar com boas tecnologias;
- submeter seus processos à auditoria externa, garantindo a efetividade da anonimização.
Isso garantirá a segurança das informações dos titulares dos dados pessoais, além de evitar possíveis dores de cabeça no compartilhamento de dados, prevenido reversões e reidentificações por outras parte, por exemplo.
Com isso, a empresa estará segura em realizar a anonimização de dados de forma efetiva.
