Técnicas de anonimização de dados explicadas com exemplos

As principais técnicas de anonimização de dados são a mascaragem, a generalização, a agregação, a introdução de ruído, a troca, a tokenização, a pseudonimização e o hashing, além de duas formas de medir o resultado: k-anonimato e privacidade diferencial. Nenhuma é suficiente por si só. Os reguladores europeus afirmam que todas as técnicas deixam algum risco de reidentificação, e o resultado só é considerado anónimo quando ninguém consegue, por meios razoáveis, determinar a quem diz respeito um registo.

O teste pelo qual se mede cada técnica

Ao abrigo do RGPD e do UK GDPR, a informação anónima está fora do âmbito da legislação de proteção de dados, enquanto os dados pessoais estão abrangidos. O considerando 26 define a fronteira: devem ser tidos em conta todos os meios «razoavelmente suscetíveis de ser utilizados», como a individualização, para identificar alguém direta ou indiretamente. O mesmo considerando afirma que os dados pseudonimizados que podem ser atribuídos a uma pessoa mediante informações adicionais continuam a ser informações sobre uma pessoa identificável.

Os então reguladores europeus de proteção de dados, o Grupo de Trabalho do Artigo 29.º, transformaram esta ideia em três perguntas no seu Parecer 05/2014 sobre Técnicas de Anonimização (WP216). Ainda é possível individualizar uma pessoa? Associar dois registos relativos à mesma pessoa? Inferir algo sobre uma pessoa? O parecer conclui que cada técnica analisada falha pelo menos uma destas perguntas em algumas situações, razão pela qual se combinam técnicas. As orientações do regulador do Reino Unido sobre anonimização e pseudonimização, publicadas em 28 de março de 2025, adotam a mesma abordagem baseada no risco.

Se precisar primeiro de distinguir anonimização, pseudonimização e redação, comece por qual delas precisa para a IA. Este artigo aborda as técnicas individuais.

O registo de exemplo

Todos os exemplos abaixo partem do mesmo registo fictício de um ficheiro de recursos humanos:

Anna Kowalski, born 12.03.1989 (37), 14 Elm Street, Leeds,
anna.kowalski@example.com, staff nurse, 12 days of sick leave

Técnicas que removem ou desfocam valores

Mascaragem e supressão

A mascaragem oculta parte de um valor; a supressão elimina o valor, a coluna ou o registo inteiro.

A***** K*******, born **.**.1989, [address removed], staff nurse

Protege contra a identificação direta. Compromete tudo o que precise do valor removido e não é reversível a partir do resultado. O que resta ainda pode apontar para a Anna: não é difícil encontrar uma enfermeira de um serviço pequeno que tenha nascido em 1989. A mascaragem, por si só, raramente torna os dados anónimos.

Generalização

A generalização substitui um valor preciso por um mais abrangente.

age 37 → 30-39; 14 Elm Street, Leeds → Leeds; staff nurse → healthcare worker

Protege contra a individualização ao fazer com que muitas pessoas pareçam iguais. Compromete a precisão: deixa de ser possível dizer quem é mais velho. Não é reversível. A possibilidade de considerar o resultado anónimo depende do número de pessoas que partilham cada combinação, que é o que o k-anonimato mede (ver abaixo).

Agregação

A agregação apresenta totais ou médias em vez de linhas individuais.

Ward 4, 2025: 23 nurses, average sick leave 9.4 days

Protege as pessoas desde que cada grupo seja suficientemente grande. Impede qualquer pergunta sobre uma pessoa específica. Se o grupo tiver uma ou duas pessoas, a média revela o valor individual, pelo que normalmente se suprimem as células pequenas.

Ruído (perturbação)

O ruído altera ligeiramente os valores de forma aleatória.

age 37 → 39; sick leave 12 days → 10 days

Mantém as estatísticas aproximadamente corretas, tornando cada valor pouco fiável. Impede a obtenção de valores exatos. O WP216 alerta que, se o ruído não superar a informação, não é um método de anonimização autónomo: um valor atípico, como o da única pessoa com 90 dias de licença, continua a ser reconhecível.

Troca (permutação)

A troca permuta valores entre registos, pelo que cada coluna mantém os seus totais, mas as linhas deixam de pertencer a uma só pessoa.

Anna's 12 days of leave ↔ another nurse's 3 days

Protege contra a associação de um valor a uma pessoa. Compromete as relações entre colunas, e o WP216 demonstra que falha quando os valores trocados estão associados a outras colunas: um salário de gestor transferido para um cargo júnior destaca-se.

Técnicas que substituem identificadores

Tokenização

A tokenização substitui um identificador por um token aleatório e mantém a ligação numa tabela separada e protegida.

anna.kowalski@example.com → TKN-8F3K2Q

O ICO observa que um token aleatório não tem qualquer relação matemática com o original, pelo que o token, por si só, não revela nada. Quem tiver a tabela pode reverter o processo, razão pela qual, para essa pessoa, o resultado continua a ser dado pessoal.

Pseudonimização com marcadores de posição consistentes

Cada pessoa, empresa ou morada recebe um marcador de posição legível, e o mesmo valor recebe sempre o mesmo marcador.

Person_1, born [Date_1], [Address_1], staff nurse.
Person_1 asked Person_2 to approve the leave.

Oculta os identificadores diretos e mantém legível quem fez o quê, o que é importante para o texto. A lógica do documento mantém-se. É reversível através do mapeamento e, ao abrigo do considerando 26, continua a ser dado pessoal. A questão de quem detém a chave é explicada em detalhe no nosso artigo sobre se os dados pseudonimizados continuam a ser dados pessoais.

Hashing

O hashing aplica uma função unidirecional a um valor e guarda o resultado.

anna.kowalski@example.com → 3f9a…c71e (SHA-256)

Parece irreversível, mas muitas vezes não o é no caso de nomes e endereços de correio eletrónico. Qualquer pessoa com uma lista de valores prováveis pode aplicar o hash a cada um e comparar os resultados: há apenas um número limitado de nomes de funcionários ou moradas de empresas. O WP216 salienta este ponto a propósito dos intervalos de valores conhecidos, e o ICO desaconselha o hashing sem salt, pepper ou chave, bem como algoritmos desatualizados como MD5 e SHA-1, por estarem sujeitos a ataques de força bruta. Um hash com chave é pseudonimização; um hash simples de um endereço de correio eletrónico mal chega a ser isso.

k-anonimato e privacidade diferencial

Estas não são formas de alterar um valor. São formas de verificar ou garantir o grau de proteção de um conjunto de dados inteiro.

k-anonimato significa que cada combinação de atributos identificadores (faixa etária, cidade, profissão) é partilhada por pelo menos k registos. Com k = 5, a Anna fica indistinguível entre pelo menos cinco pessoas com características iguais. Isto não impede inferências: se todos os cinco profissionais de saúde com idades entre 30 e 39 anos em Leeds tiveram mais de dez dias de licença, fica a saber isso sobre a Anna. l-diversidade acrescenta a regra de que cada grupo tem de conter pelo menos l valores diferentes do atributo sensível.

Privacidade diferencial aplica-se às respostas, e não às linhas. A cada estatística publicada é acrescentado ruído, calibrado de modo a que a resposta quase não se altere, quer uma determinada pessoa conste ou não dos dados. A proteção é definida por um parâmetro, e uma proteção mais forte implica valores menos precisos. O U.S. Census Bureau utilizou-a nos produtos de dados do Censo de 2020 , exceto nos totais por estado utilizados para a repartição de lugares. É adequada para estatísticas; não serve para um documento que alguém precisa de ler.

No caso das tabelas, as ferramentas fazem esta medição por si. ARX, uma ferramenta de ambiente de trabalho gratuita e de código aberto, bem como uma biblioteca Java (licença Apache 2.0, versão 3.9.2 em outubro de 2026), aplica generalização, supressão e microagregação a dados estruturados e verifica o resultado em função do k-anonimato, da l-diversidade, da t-proximidade e da privacidade diferencial. Também estima o risco de reidentificação restante. Foi concebida para conjuntos de dados como ficheiros CSV, folhas de cálculo Excel e tabelas de bases de dados, não para contratos ou cartas.

Todas as técnicas lado a lado

A maioria das linhas diz «depende» porque a anonimidade de um conjunto de dados é determinada para o conjunto inteiro e no seu contexto, não por técnica. Se pretende publicar ou partilhar algo como anónimo, consulte o seu encarregado da proteção de dados ou um advogado especializado em proteção de dados.

Que técnicas são adequadas para documentos que fornece à IA

Um conjunto de dados para estatísticas e um documento destinado a um chatbot de IA precisam de coisas opostas. As estatísticas precisam de muitas linhas e de não incluir indivíduos; a agregação, a generalização, o k-anonimato e a privacidade diferencial foram concebidos para isso. Um contrato, uma sequência de mensagens de correio eletrónico ou uma carta de reclamação diz respeito a pessoas específicas, e a IA tem de conseguir acompanhá-las.

Para documentos, três técnicas fazem a maior parte do trabalho:

• Pseudonimização com marcadores de posição consistentes para nomes, empresas, moradas, endereços de correio eletrónico e números de identificação. Person_1 mantém-se Person_1 ao longo de todo o texto, para que a IA consiga perceber quem escreveu o quê e quem deve o quê. Barras pretas ou um único «[REDACTED]» apagam essa informação; consulte por que razão os marcadores de posição funcionam melhor.
• Generalização para datas e locais cuja precisão não seja necessária para a pergunta: «março de 2025» em vez de um dia específico, «uma cidade no norte de Inglaterra» em vez de uma rua.
• Supressão de tudo aquilo de que a pergunta não precisa, como um dado de saúde num documento sobre o qual só quer perguntar os prazos de aviso prévio.

O ruído, a troca e a privacidade diferencial não têm lugar neste caso: alterar os factos de um documento faz com que a resposta da IA esteja errada. O hashing transforma nomes em sequências que ninguém, incluindo a IA, consegue interpretar no contexto.

O resultado é pseudonimizado, pelo que as regras de proteção de dados continuam a aplicar-se a si. O que muda é aquilo que sai do seu PC. Se estiver a escolher software para este efeito, a nossa lista de verificação sobre o que procurar numa ferramenta de pseudonimização explica para onde vão os dados e como os nomes são recuperados.

Perguntas frequentes

Qual é a técnica de anonimização de dados mais eficaz?

Não existe uma única técnica. O WP216 concluiu que, em algumas situações, todas as técnicas analisadas falham pelo menos um dos três testes. Para conjuntos de dados estatísticos, a generalização e a supressão avaliadas com k-anonimato, ou a privacidade diferencial, proporcionam os resultados mais sólidos. Para documentos que uma IA tem de ler, a opção prática é a pseudonimização com generalização de datas e locais, mas isso não é anonimização.

É suficiente aplicar hashing a um endereço de correio eletrónico para o anonimizar?

Não. Os endereços de correio eletrónico seguem padrões previsíveis, pelo que um atacante pode aplicar hashing a uma lista de endereços prováveis e comparar os resultados. Um hash com chave ou um token aleatório são opções mais seguras, mas ambos continuam a ser pseudonimização, não anonimização.

O que são ferramentas de anonimização de dados para tabelas?

ARX é um exemplo gratuito e de código aberto: carrega um ficheiro CSV, um ficheiro Excel ou uma tabela de uma base de dados, define regras de generalização e supressão, escolhe um modelo de privacidade como o k-anonimato e a ferramenta indica o risco restante. Este tipo de ferramenta trabalha com colunas e linhas, não com texto corrido.

Os dados anonimizados estão abrangidos pelo RGPD?

Os dados verdadeiramente anónimos não estão, de acordo com o considerando 26. Os dados pseudonimizados estão. A parte difícil é demonstrar que ninguém consegue reidentificar os dados por meios razoáveis, razão pela qual os reguladores tratam a anonimização como uma avaliação de risco, e não como um passo isolado.

ClientSafe pseudonimiza documentos no seu PC: substitui nomes, empresas, moradas, números de telefone, endereços de correio eletrónico, números de conta e de identificação e datas de nascimento por marcadores de posição, como Person_1, e mantém o mesmo marcador para o mesmo nome em todos os documentos de um processo. A deteção não é perfeita, por isso reveja a lista antes de a copiar.