1. Da Proteção de Dados à Liberdade de Uso: por que a anonimização importa?

A anonimização ocupa um lugar singular no setor de Privacidade e Proteção de Dados. Ela tem um efeito muito mais profundo quando analisada junto à outras medidas de conformidade, como medidas de segurança. Quando realizada de forma efetiva, a anonimização faz com que o dado deixe de ser considerado pessoal. Nos termos do Considerando 26 (RGPD), dados anônimos são informações que não se referem a uma pessoa natural identificada ou identificável. Uma vez alcançado esse estado, o conjunto de dados deixa de estar submetido ao regime jurídico do GDPR. 

Em razão desse cenário de anonimização, bases de dados anônimas podem ser utilizadas com muito mais liberdade para pesquisa científica, estatísticas, desenvolvimento de IA, inovação e compartilhamento de informações, sem a incidência de obrigações próprias da legislação de proteção de dados. Entretanto, essa possibilidade vem acompanhada de uma responsabilidade igualmente relevante: a anonimização precisa ser eficaz. Caso contrário, dados que ainda permitam identificar indivíduos podem ser  tratadas como se estivessem fora da proteção legal, o que expõe os direitos fundamentais à privacidade e à proteção de dados dos usuários. 

Nesse cenário, o  European Data Protection Board - EDPB publicou as Diretrizes 02/2026 sobre Anonimização para enfrentar esse desafio. O documento reconhece que ocorreram profundas transformações jurídicas e tecnológicas no cenário europeu. Essas mudanças foram impulsionadas pela consolidação da jurisprudência do Tribunal de Justiça da União Europeia sobre o tema, pela criação dos espaços europeus de dados e pelo avanço acelerado da inteligência artificial. Diante desse novo contexto, tornou-se necessário atualizar os parâmetros para avaliar quando um conjunto de dados efetivamente deixou de ser pessoal.

O documento aborda a anonimização a partir de duas metodologias distintas: a) uma abordagem contextual, que leva em consideração as capacidades concretas de cada agente para reidentificar indivíduos; e b) uma abordagem simplificada, concebida para facilitar a análise em situações práticas. Em outras palavras, o EDPB reorganiza completamente a forma como aplicar os três critérios clássicos (isolamento, vinculação e inferência) inaugurados em 2014. Assim, se os dados atenderem os três critérios em qualquer uma dessas abordagens, poderão ser considerados anônimos. Caso contrário, será necessária uma análise complementar para verificar se ainda permanecem como dados pessoais.

Mais do que atualizar conceitos técnicos, as Diretrizes representam uma evolução metodológica. A pergunta deixa de ser simplesmente “os dados são anônimos?” para se transformar em outra mais sofisticada: “esses dados são anônimos para quem?”. É essa reorientação de perspectiva que estrutura toda a nova orientação do EDPB e que diferencia as Diretrizes 02/2026 do entendimento consolidado desde 2014.

2. A Análise Jurídica: Relação, Identificabilidade e a Fragmentação por Perspectivas

Quando uma informação deixa de ser um dado pessoal? Essa pergunta é central no tópico de análise jurídica das Diretrizes. Para responder essa questão, o EDPB decompõe o teste da anonimização em dois questionamentos sucessivos: (i) a informação relaciona-se a uma pessoa natural? Em caso afirmativo, (ii) essa pessoa é identificada ou identificável? A resposta negativa a qualquer uma delas basta para afastar a natureza pessoal do dado. Entretanto, essas respostas podem variar de entidade para entidade, sobre o mesmo conjunto de dados. A anonimização deixa de ser uma característica absoluta do dado e passa a assumir uma natureza essencialmente relacional. 

2.1. Sobre o Critério da Relação: Conteúdo, Finalidade e Efeito

Retomando a tríade já consolidada desde o Parecer 4/2007, do antigo Grupo de Trabalho do Artigo 29 (Article 29 Working Group), e, posteriormente, confirmada pelo TJUE no caso Nowak v Data Protection Commissione (C-434/16), o EDPB reafirma que uma informação pode ser relacionar a uma pessoa por conteúdo, finalidade ou efeito: 

1. Conteúdo: quando a informação descreve características, comportamentos ou atributos de determinado indivíduo (ex.: prontuários e exames médicos, registros de imagem, dossiês de RH);

2. Finalidade: quando os dados são utilizados para avaliar, influenciar ou tomar decisões sobre essa pessoa (ex.: avaliação patrimonial, monitoramento de produtividade via objetos, dados de dispositivos);

3. Efeito: quando seu tratamento é capaz de produzir impactos concretos sobre seus direitos ou interesses, permitindo que ela seja tratada de forma diferenciada e impactando os seus direitos (ex.: dados de localização de táxis usados para monitorar o desempenho dos motoristas, dados de consumo de energia podem revelar padrões de vida dos moradores). 

Essas novas Diretrizes reforçam que tais relações não precisam ser evidentes. Dados agregados que parecem falar apenas de grupos podem ser considerados dados pessoais se existirem técnicas capazes de extrair informações individuais a partir deles.

2.2. Sobre a Identificabilidade e os “Meios Razoavelmente Prováveis de serem utilizados”

Sob a ótica do EDPB, identificar um indivíduo significa distingui-lo de outros em um determinado contexto, permitindo que ele seja tratado de forma diferenciada. As Diretrizes esclarece que essa identificação pode ocorrer de duas maneiras: 

1. Direta: quando a própria entidade possui os meios imediatos para identificar o titular; 

2. Indireta: quando depende da obtenção de informações adicionais ou do uso de métodos controlados por terceiros. 

Nesse sentido, o ponto central é que a identificabilidade deve ser vista como um juízo de probabilidade, isto é, não se exige a impossibilidade teórica absoluta de reidentificação, mas sim que o risco de tal evento ocorra seja insignificante na realidade prática.

A identificação pode ocorrer por meio de identificadores diretos únicos (ex.: nome, IP ou CPF) e também através de uma combinação de atributos que, juntos, tornam o indivíduo singular. O espectro dessas características é amplo, podendo incluir aspectos físicos, comportamentais, econômicos ou culturais, por exemplo. 

O EDPB destaca técnicas modernas como “fingerprinting” de dispositivos. Tal método é uma combinação de atributos técnicos (como resolução de tela, navegador e fuso horário, por exemplo) que permite distinguir e rastrear os usuários mesmo sem o uso de nomes. Assim, informações que não parecem pessoais isoladamente podem se tornar identificadores potentes quando analisadas em conjunto. 

Essa capacidade de identificação é o que aciona a necessidade do teste dos “means reasonably likely to be used” (MRLTBU), que, em tradução livre, significa “meios razoavelmente prováveis de serem utilizados”. A partir disso, as Diretrizes consolidam que a identificabilidade é uma questão de probabilidade em vez de uma impossibilidade teórica. Ou seja, a chance de reidentificação deve ser insignificante para que um dado seja considerado anônimo,. Assim, consideram-se fatores objetivos como custo, o tempo necessário para identificar e a tecnologia disponível. 

Para consolidar a sua tese, o EDPB incorpora vários casos ao longo do texto, como Breyer v Bundesrepublik Deutschland (C-582/14). Esse julgamento representa um marco no TJUE por ter determinado que um endereço IP dinâmico constitui dado pessoal sob o RGPD, mesmo que apenas o Provedor de Internet possua os dados necessários para identificar o usuário. Em outras palavras, esse caso é a base jurídica para a ideia de que a anonimização é relativa, já que ele prova que um endereço IP pode ser dado pessoal para quem tem meios de vinculá-lo a um nome, podendo ser anônimo para quem não tem meios (legais ou técnicos) de fazê-lo.

Nesse cenário, três aportes das novas Diretrizes merecem destaque: 

1. A rejeição da "falta de motivação" como fator de exclusão: O EDPB adverte que a motivação subjetiva de um agente não deve ser usada para descartar um meio de identificação porquê motivações são difíceis de aferir objetivamente e podem mudar (por acidente, negligência ou pressão externa). Assim, o foco deve permanecer na viabilidade técnica e no valor potencial dos dados.

2. O tratamento da ilegalidade como barreira relativa: Meios proibidos por lei podem ser desconsiderados apenas quando a proibição é efetivamente observada na prática. O EDPB lista fatores que podem rebater a presunção de legalidade, como fiscalização deficiente ou quando os ganhos da violação superam os riscos, aproximando o teste de um juízo de efetividade normativa. Além disso, cláusulas contratuais são expressamente rebaixadas, pois não equivalem a proibições legais e devem servir apenas como reforço a medidas técnicas.

3. A ampliação subjetiva dos "atores relevantes": A análise de identificabilidade não deve ser feita apenas a partir de um "adversário médio", mas considerando o espectro real de agentes que podem ter acesso à base. O rol exemplificativo das diretrizes inclui desde controladores e funcionários desleais até jornalistas investigativos, agências de inteligência estrangeiras e cibercriminosos, lembrando que atores maliciosos podem simplesmente ignorar a lei para acessar dados.

2.3. Sobre as Considerações Adicionais: conjuntos de dados mistos e a conformidade com o GDPR

Além do framework técnico, as diretrizes abordam a necessidade de uma gestão contínua, lembrando que a anonimização não é um "evento único", mas um processo dinâmico. As entidades devem realizar reavaliações periódicas para garantir que o risco permaneça insignificante à medida que o progresso tecnológico e o aumento da disponibilidade de dados externos podem facilitar reidentificações futuras. Essa visão reforça que a anonimização é uma condição de conformidade que exige monitoramento constante por parte do controlador.

Um caso comentado pelas Diretrizes é a gestão de datasets que contêm uma mistura de registros anônimos e dados pessoais, situação que ocorre quando a técnica de anonimização falhou para alguns indivíduos do grupo. Para o EDPB, esse conjunto de dados como um todo deve ser tratado como dado pessoal, ficando sobre o escopo integral do GDPR. Essa decisão ocorre quando as partes anônimas e pessoais não podem ser processadas e tratadas de forma estritamente separada. 

Inclusive, a própria atividade de anonimizar é uma operação de tratamento que exige base legal sob o Art. 6 e, se envolver dados sensíveis, uma exceção sob o Art. 9, ambos do GDPR. O controlador deve manter uma postura de prestação de contas (accountability), documentando detalhadamente o processo e os testes de eficácia da anonimização, além de cumprir deveres de transparência. 

O efeito prático disso é a fragmentação da noção de "base anônima": um mesmo dataset pode ser anônimo para o destinatário independente (como um instituto de pesquisa), mas continua sendo dado pessoal para o controlador original se este estiver chaves ou meios de reidentificação (como ilustrado nos Exemplos 3 e 4 das Diretrizes).

O Exemplo 3 descreve um cenário de subordinação técnica, em que um varejista de e-commerce envia dados de clientes para uma agência realizar análises em seu nome. Nesse caso, a perspectiva do varejista é aplicada a ambos, já que a agência atua como operadora seguindo as instruções do varejista (controlador). Isto é, os dados são considerados pessoais para ambas as partes porquê o varejista também possui os meios para identificar os clientes. 

Por outro lado, o Exemplo 4 ilustra o tratamento  de dados de agentes de tratamento independentes. Na ocasião, um hospital envia trechos de registros de pacientes para um instituto de pesquisa. Tal instituto decide de forma autônoma os fins e meios do tratamento, e não compartilha novamente esses dados com o hospital. Ou seja, a natureza pessoal dos dados para o instituto é avaliada sob a sua própria perspectiva.

3. A Análise Técnica: dos critérios às duas abordagens metodológicas

Se o capítulo 02 revolve “quem” e o “quando” da avaliação, o capítulo 03 busca responder o “como”. O EDPB reconstrói os três critérios do Parecer 05/2014. Ele não altera os seus nomes, mas amplia sensivelmente os seus escopos e os insere dentro de duas metodologias de aplicação concorrentes. É nesse momento que as Diretrizes dão sua contribuição mais original em relação ao entendimento de 2014.

3.1. O mapeamento de dados (data mapping) e as duas portas de entrada

Antes de acionar qualquer framework, o EDPB recomenda um passo preliminar de ‘bom senso’, que se chama mapeamento de dados (data mapping) da organização. Basicamente, a natureza pessoal já está evidente se a base de dados mapeada contiver identificadores diretos, como nomes, e-mails, CPFs, etc. Nesses casos, não há a necessidade de testes técnicos. 

Uma vez superado o mapeamento inicial, o controlador deve escolher (ou combinar) uma metodologia de aplicação:

1. Abordagem Contextual: É a leitura mais fiel ao padrão legal do Art. 4(1) do GDPR/LGPD. Ela exige avaliar a capacidade concreta de cada entidade relevante a partir de sua própria perspectiva. Embora seja juridicamente mais precisa, é operacionalmente complexa e sujeita a falsos positivos. Tal falso positivo ocorre quando o avaliador conclui que os dados são anônimos por desconhecer um meio de identificação disponível a um terceiro. 

2. Abordagem Simplificada: Ignora as diferenças de capacidade entre entidades e testa a reidentificação de forma unificada, como se qualquer meio teoricamente existente estivesse ao alcance de todos. O EDPB esclarece que esta não é uma alternativa jurídica, mas uma escolha de conveniência que desloca o risco de falso positivo para falso negativo. Ela é mais protetiva e oferece maior confiança de que o dado é realmente anônimo, mesmo que acabe tratando como pessoais dados que, na prática, seriam anônimos para certas entidades.

As Diretrizes sugerem a combinação das duas (como visto no Exemplo 9): iniciar pela abordagem simplificada como triagem e migrar para a contextual se houver risco de reidentificação, verificando se tal risco é "razoavelmente provável" na realidade de quem acessa o dado. No caso mencionado, um controlador testa de forma simplificada se dados demográficos combinados a informações médicas adicionais permitiram reindentificação. Ao constatar que sim, ele então migra para a abordagem contextual, verificando se as entidades relevantes realmente teriam acesso a essa informação médica complementar por meios razoavelmente prováveis.

3.2. Os Três Critérios: Isolamento, Vinculação e Inferência

Nesse momento, as Diretrizes baseiam-se em três testes de resistência que determinam a eficácia da anonimização. Para que os dados sejam seguros, eles devem superar todos os três seguintes critérios (sob a abordagem escolhida - simplificada ou contextual): 

1. No Record Isolation - Ausência de Isolamento: Este critério é satisfeito quando a base não contém uma combinação única de atributos capaz de isolar um indivíduo. O desafio reside na dimensionalidade e na resolução dos dados. Ou seja, quanto mais atributos um registro reúne (ex: idade exata, CEP e profissão), maior a probabilidade de ele ser único dentro do conjunto. Como regra, dados agregados corretamente construídos tendem a satisfazer este critério, pois devem referir-se a grupos e não a registros individuais isoláveis. No entanto, se o isolamento ocorrer, deve-se avaliar se ele permite "apontar o dedo" (singling out) para o titular de forma a tratá-lo diferentemente.

2. No Linkage - Ausência de Vinculação: Ocorre quando nenhum registro pode ser associado, com alta probabilidade, a um registro de outra base referente ao mesmo indivíduo. Diferente do critério anterior (testável sobre a própria base), a vinculação depende do conhecimento sobre o universo de bases externas potencialmente conectáveis através de um elo de ligação. É o critério mais sensível à escolha metodológica: (i) sob a abordagem contextual, avaliam-se apenas as bases às quais uma entidade específica teria acesso por meios razoavelmente prováveis; e (ii) sob a simplificada, qualquer base externa teoricamente vinculável já compromete o resultado.

3. No Inference - Ausência de Inferência: É o critério mais sofisticado, desenhado para barrar ataques que utilizam raciocínio lógico ou algoritmos para deduzir informações. O EDPB propõe um teste duplo: para qualificara anonimidade do dado, a inferência deve ser específica (relacionar-se a um único indivíduo identificável) e significativa (produzir efeito sobre os direitos do titular, depender da base de dados de origem e não ser obtida por conhecimento geral da população).

As novas diretrizes detalham como o processo de inferência desafia os modelos tradicionais de proteção ao permitir que informações "adicionem" camadas aos dados, revelando sua natureza pessoal mesmo quando esse vínculo não era previamente óbvio. Para o EDPB, o anonimato só é preservado se não for possível extrair inferências que sejam simultaneamente específicas (relacionadas a um único indivíduo) e significativas (que impactem direitos e não possam ser obtidas por conhecimento geral da população). Algumas delas são: 

1. Adição de Atributos Inferidos: Consiste em deduzir e associar novas informações a um registro de nível individual. O Exemplo 15 das diretrizes ilustra como trilhas de localização de 24 horas de um aplicativo, mesmo sem identificadores diretos, permitem inferir de forma específica e significativa os endereços residenciais e profissionais de um usuário

2. Dedução de Dados Individuais em Bases Agregadas: É a capacidade de extrair dados de nível individual através da análise e combinação de estatísticas. O Exemplo 16 demonstra que o cruzamento de relatórios agregados distintos (como a folha salarial total de uma categoria vs. o gasto de uma subequipe) pode revelar o salário exato de um funcionário.

3. Inferência de Pertencimento (Membership Inference): Ocorre quando se descobre que os dados de um indivíduo específico integravam a base original utilizada para gerar o dado anônimo. Como mostra o Exemplo 18, identificar que Alex faz parte de um conjunto de dados de um clube de remo revela, por si só, sua condição de membro daquela organização, violando sua privacidade. 

4. Vinculação por Inferência: Diferente da vinculação direta 1:1, este processo ocorre quando um atributo aparece em um número esmagador de registros correspondentes em diferentes bases, permitindo deduções precisas sobre o titular mesmo sem um identificador comum.

3.3. Quando um Critério Falha: Singularização (Singling Out) e a Análise de Segundo Nível

Um dos pontos mais relevantes das novas diretrizes é o esclarecimento de que a violação de um dos três critérios técnicos (Isolamento, Vinculação ou Inferência) não implica, automaticamente, na classificação da informação como dado pessoal. As Diretrizes estabelecem um segundo nível de análise para verificar se a falha técnica de fato permite o "singling out" (singularização) do indivíduo, ou seja, se é possível distinguí-lo de outros para tratá-lo de forma diferenciada na prática.

O Exemplo 24 das diretrizes traduz essa lógica: uma pesquisa de cinema com dezenas de perguntas de resposta livre pode gerar registros que são estatisticamente únicos no dataset, violando tecnicamente o critério de No Record Isolation. Contudo, se essas respostas não puderem ser vinculadas a uma identidade real, nem a qualquer outra base disponível através de meios razoavelmente prováveis, a singularização estatística não se converte em identificabilidade jurídica. Nesse caso, a base permanece anônima, pois a probabilidade de reidentificação continua insignificante na realidade prática.

Essa distinção entre unicidade estatística e identificabilidade jurídica é um dos avanços mais importantes do documento, pois evita que bases de dados seguras sejam descartadas apenas por conterem registros singulares que não podem ser atribuídos a ninguém. Para auxiliar nessa decisão complexa, o documento fornece ferramentas estruturadas de suporte:

1. Tabela de Compilação (§97): Oferece um guia visual sobre como interpretar as violações sob as abordagens simplificada e contextual, sugerindo quando o controlador deve aprofundar a análise ou quando o dado deve ser sumariamente considerado pessoal.

2. Fluxograma Técnico (Anexo 1): Atua como um roteiro de decisão (step-by-step) que orienta o controlador desde o mapeamento inicial até a conclusão final sobre o status do dado.

O fechamento desse raciocínio reforça o pilar da Prestação de Contas (Accountability). A eficácia da anonimização não é atestada apenas por um "score" técnico, mas pela capacidade do controlador de reconstruir, documentar e comprovar o raciocínio jurídico-técnico que fundamenta a saída do dado do escopo do GDPR.

4. Conclusão: o que muda na prática? e o que ainda fica em aberto?

As Diretrizes 02/2026 promovem uma mudança fundamental na forma como a anonimização é avaliada ao estabelecer que tal processoo é uma condição relativa à perspectiva de cada entidade envolvida. 

Essa nova estrutura técnica exige que os controladores superem os critérios de ausência de isolamento, vinculação e inferência, incorporando inclusive os riscos trazidos por tecnologias avançadas como a inteligência artificial. A metodologia precisa considerar os meios razoavelmente prováveis de reidentificação sob as óticas contextual e simplificada, o que garante que o dado seja tratado de acordo com o risco real de identificação em cada cenário específico.

Na prática, a conformidade depende da capacidade do controlador em documentar e comprovar o raciocínio metodológico utilizado para assegurar que a probabilidade de reidentificação seja insignificante na prática. Essa abordagem reforça o princípio da prestação de contas e exige uma governança proativa, na qual a escolha entre os métodos simplificado ou contextual deve equilibrar o rigor de proteção e a viabilidade dos usos legítimos dos dados. 

O legado dessas orientações é a criação de um vocabulário comum que permite gerenciar a tensão entre a segurança jurídica e a inovação tecnológica, vinculando definitivamente o processo técnico ao regime de responsabilidade previsto na proteção de dados.

Até a próxima!