Tratamento por meio do qual um dado perde a possibilidade de associação

Você sabia que dados Anonimizados não são considerados dados pessoais?

Primeiro o que é um dado Anonimizado?

É o dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;

E Pseudonimização?

É o tratamento por meio do qual um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo, senão pelo uso de informação adicional mantida separadamente pelo controlador em ambiente controlado e seguro.

Sendo assim:

O dado pessoal que passa por um processo de anonimização não é considerado dado pessoal, pois perde o potencial de tornar seu titular identificado, até mesmo pelo controlador.
Diante da gama de tecnologias disponíveis e do avanço tecnológico exponencial, é possível afirmar que a utilização de novas tecnologias e o cruzamento de bases de dados eventualmente poderia reverter o caráter pessoal do dado anteriormente anonimizado.
Neste sentido, a LGPD considera válida a anonimização que demanda custos e prazos além dos considerados razoáveis para sua reversão ao tempo do tratamento.
No que se refere a perfis comportamentais, estes poderão ser considerados dados pessoais, sempre que possível a identificação do titular. Neste caso deverão receber o tratamento atribuído aos dados pessoais comuns e sensíveis.

Apesar de dados Anonimizados não serem considerados dados pessoais pela LGPD e no caso de Pseudonimização requerem informação extra para identificação do titular, na verdade, eles não podem ser considerados como exceções da lei, mas sim como informações que podem ser manejadas com mais liberdade desde que mantenham a privacidade dos titulares da informação, tornando mais seguras as operações de tratamento.

Em outras palavras: bases de dados anonimizados ou que passaram por um processo de pseudonimização não são imunes a consultas com cruzamento de informações e identificação de padrões, ou que adotam engenharias sociais distintas e informações externas.

Significa dizer que só esta ação não basta, e que as empresas continuam responsáveis nos casos de incidentes como vazamentos de dados, uso não autorizado, mas também nos casos em que houver reversão de dados anonimizados, pseudonimizados, encriptados, quaisquer que sejam, ainda que a LGPD não considere alguns deles como dados pessoais.

Os dados anonimizados são essenciais para o crescimento da inteligência artificial, da internet das coisas, do aprendizado das máquinas, das cidades Inteligentes, da análise de comportamentos, entre outros. Sempre que possível, realize a anonimização dos dados pessoais, pois isso aperfeiçoa a segurança da informação na organização e gera, assim, mais confiança em seus serviços. Porém não relaxe na adoção de medidas técnicas e organizacionais para proteção dos seus dados, mesmo os anonimizados.

Quer aprender tudo o que você precisa para se adequar à LGPD? Conheça nosso Curso Online

- Agentes de tratamento: o controlador e o operador.

- Anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo.

- Autoridade Nacional: órgão da administração pública responsável por fiscalizar e implementar o cumprimento da LGPD em todo o território nacional e zelar por ele.

- Banco de dados: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico.

- Bloqueio: suspensão temporária de qualquer operação de tratamento, mediante guarda do dado pessoal ou do banco de dados.

- Consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada.

- Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais.

- Dado anonimizado: dado relativo a titular que não possa ser identificado, considerando-se a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento.

- Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.

- Dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente a saúde ou vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.

- Eliminação: exclusão de dado ou de conjunto de dados armazenados em banco de dados, independentemente do procedimento empregado.

- Encarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).

- Interoperável: formato capaz de operar, funcionar ou atuar com outro; estruturado para o uso compartilhado, com vistas à execução de políticas públicas, à prestação de serviços públicos e à disseminação e ao acesso das informações pelo público em geral.

- Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador.

- Órgão de pesquisa: órgão ou entidade da administração pública direta ou indireta ou pessoa jurídica de direito privado sem fins lucrativos, legalmente constituído(a) sob as leis brasileiras, com sede e foro no País, que inclua, em sua missão institucional ou em seu objetivo social ou estatutário, a pesquisa básica ou aplicada de caráter histórico, científico, tecnológico ou estatístico.

- Pseudonimização: é o tratamento por meio do qual um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo, senão pelo uso de informação adicional mantida separadamente pelo controlador em ambiente controlado e seguro.

- Relatório de impacto na proteção de dados pessoais: documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco.

- Titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento.

- Transferência internacional de dados: transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o País seja membro.

- Tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.

- Uso compartilhado de dados: comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais por órgãos e entidades públicos no cumprimento de suas competências legais, ou entre estes e entes privados, reciprocamente, com autorização específica, para uma ou mais modalidades de tratamento permitidas por esses entes públicos, ou entre entes privados.