O mito da anonimização perfeita: por que precisamos repensar as técnicas de desidentificação de dados
Análise crítica sobre as limitações das técnicas de anonimização de dados pessoais e os riscos de reidentificação em um contexto de big data e cruzamento de bases de dados. Argumenta-se pela necessidade de uma abordagem baseada em riscos, em vez da dicotomia binária entre dado pessoal e dado anônimo.
A promessa da anonimização como solução definitiva para os conflitos entre utilização de dados e proteção da privacidade tem sido um dos mantras mais repetidos — e menos questionados — do ecossistema de proteção de dados pessoais. A ideia é sedutora em sua simplicidade: se removemos os identificadores diretos de um conjunto de dados, esses dados deixam de ser pessoais e, portanto, escapam do escopo regulatório da LGPD e do GDPR.
No entanto, a pesquisa científica sobre privacidade computacional tem demonstrado, de forma cada vez mais convincente, que a anonimização perfeita é, em muitos contextos, uma quimera. Os trabalhos seminais de Latanya Sweeney sobre reidentificação de registros médicos, as pesquisas de Yves-Alexandre de Montjoye sobre a unicidade de traços de mobilidade, e os estudos de Luc Rocher sobre a completude de datasets demonstram que a combinação de poucos atributos aparentemente inócuos pode ser suficiente para identificar indivíduos em bases de dados supostamente anonimizadas.
Essa realidade impõe uma reflexão séria sobre o modelo regulatório adotado pela LGPD, que exclui de seu âmbito de aplicação os dados anonimizados (art. 12). Se a anonimização não é absoluta, mas contextual e probabilística, a fronteira entre dados pessoais e dados anônimos torna-se fluida e instável — o que coloca em xeque a segurança jurídica das operações de tratamento fundamentadas na suposta anonimização.
