Anonimização

Um conjunto de dados só é anonimizado quando ninguém que o detenha pode razoavelmente reidentificar as pessoas nele. Excluir identificadores óbvios, como nomes e números de documento, não basta, porque o restante do registro ainda pode descrever uma pessoa real. Registros com dados sensíveis exigem o teste mais rigoroso.

Reguladores e órgãos de normalização avaliam isso no contexto completo. Perguntam quais outras fontes de dados existem, quem poderia combiná-las e quanto esforço a reidentificação exigiria. Remover o nome mas manter uma combinação rara de CEP, data de nascimento e gênero é uma forma conhecida de falhar nesse teste, pois só essa combinação pode identificar alguém em registros públicos.

Quatro técnicas cobrem a maioria dos casos. Não as confunda com o mascaramento de dados, que oculta valores sem necessariamente eliminar a possibilidade de identificar pessoas.

Modelos formais como k-anonimato, l-diversidade e privacidade diferencial dão a essas técnicas uma garantia mensurável. Por exemplo, o k-anonimato garante que cada combinação de quase-identificadores corresponda a pelo menos k pessoas no conjunto de dados.

Os dois termos são frequentemente confundidos, mas as regulamentações os tratam de forma muito diferente. A pseudonimização substitui valores identificadores por marcadores consistentes, como um ID de cliente mapeado para um token. Uma chave separada pode reverter o processo, então os dados continuam sendo dados pessoais, apenas protegidos.

A anonimização elimina essa possibilidade. Não há chave nem caminho legítimo de volta ao indivíduo. Por isso, dados pseudonimizados continuam sob a proteção de dados pessoais, enquanto dados devidamente anonimizados geralmente não.

A anonimização funciona como um processo, e cada etapa reduz o risco. Comece pela classificação de dados, que marca cada campo antes de qualquer alteração.

1. 1

   Defina a finalidade

   Decida quem vai receber os dados e para quê. A resposta define quanto detalhe pode permanecer.

2. 2

   Classifique cada campo

   Marque identificadores diretos, quase-identificadores como CEP ou data de nascimento e atributos sensíveis, como diagnósticos.

3. 3

   Aplique as técnicas

   Generalize, suprima ou agregue os campos de risco e remova totalmente os identificadores diretos.

4. 4

   Teste com dados externos

   Pergunte se alguém com outros conjuntos de dados poderia associar um registro a uma pessoa. Se sim, repita a etapa anterior com alterações mais fortes.

Antes de anonimizar um conjunto de dados, é preciso localizar seus identificadores. O console do Anexet DLP inclui tesauros integrados para SSN, cartão de crédito e dados financeiros, além de expressões regulares para valores como CEP e contas bancárias. Os dois quadros abaixo mostram esses dicionários e padrões.

1 / 2

• 
• 

As organizações usam a anonimização em quatro situações comuns:

• Pesquisa e divulgação pública de dados. Dados de saúde, censo e pesquisas são anonimizados antes de serem publicados ou compartilhados fora da organização que os coletou.
• Análise e aprendizado de máquina. Dados de treinamento e estatísticas de uso são anonimizados para que padrões possam ser estudados sem expor as pessoas por trás deles.
• Conformidade regulatória. Dados genuinamente anônimos geralmente deixam de ser regulados como dados pessoais pela LGPD.
• Retenção de dados. Registros antigos mantêm o valor estatístico sem ser rastreáveis a indivíduos, em vez de serem excluídos por completo.

Ataques de reidentificação já mostraram repetidamente que conjuntos de dados supostamente anônimos podem ser desmascarados ao serem cruzados com outros dados, aparentemente não relacionados, como rastros de localização, históricos de compra ou publicações em redes sociais. O texto livre é o caso mais difícil, porque nomes e lugares se escondem em dados não estruturados e são fáceis de deixar passar.

O risco cresce com a riqueza do conjunto de dados. Quanto mais atributos um registro carrega, maior a chance de alguma combinação deles ser única para uma pessoa. Por isso a anonimização é uma avaliação contínua de risco, e não uma etapa técnica única.

Comece pelos conjuntos de dados que causariam mais dano se vazassem e, depois, pelos campos que, combinados, formam uma identidade. Anonimize-os primeiro.

Um conjunto de dados que passa no teste hoje pode falhar no ano que vem, quando surgirem novos dados públicos que possam ser cruzados com ele.

Leitura adicional: Como manter meus dados pessoais seguros?; Use o sistema Anexet Ultimate DLP para atender ao RGPD.