Como fazer a AIPD de um projeto de anonimização de documentos

Anonimizar documentos parece uma medida de proteção e não um risco. No entanto, a anonimização é, ela própria, um tratamento de dados pessoais: alguém — ou uma ferramenta — tem de ler sentenças, processos clínicos, processos administrativos ou recibos de vencimento completos para decidir o que ocultar, muitas vezes com inteligência artificial e em grande escala. Se o resultado for publicado ou partilhado, um erro expõe dados de forma definitiva. Por isso, muitos projetos de anonimização exigem uma avaliação de impacto sobre a proteção de dados (AIPD). Este artigo explica quando é obrigatória e como fazê-la, passo a passo.

O seu projeto precisa de uma AIPD?

O artigo 35.º do RGPD exige uma AIPD quando um tratamento for suscetível de implicar um elevado risco para os direitos e liberdades das pessoas, em especial se utilizar novas tecnologias. As orientações WP248 rev.01, subscritas pelo Comité Europeu para a Proteção de Dados, propõem nove critérios; se se verificarem dois ou mais, em regra a AIPD é necessária. Num projeto de anonimização é frequente verificarem-se vários:

• Dados sensíveis ou de natureza muito pessoal: saúde, dados penais, menores, vítimas, situação financeira.
• Tratamento em grande escala: arquivos inteiros, milhares de decisões, fundos documentais históricos.
• Utilização inovadora de tecnologia: deteção automática de dados pessoais com IA.
• Titulares vulneráveis: doentes, menores, partes em processos judiciais, trabalhadores.
• Cruzamento de conjuntos de dados: quando o documento anonimizado é publicado e pode ser combinado com outras fontes.

A CNPD aprovou, ao abrigo do artigo 35.º, n.º 4, a lista de tratamentos sujeitos a AIPD (Regulamento n.º 798/2018) e reúne a informação relevante na sua página sobre avaliação de impacto. Mesmo que conclua que a AIPD não é obrigatória, documente a análise prévia: o princípio da responsabilidade (artigo 5.º, n.º 2) exige que possa justificar a decisão. Para uma definição rápida, veja no glossário a entrada avaliação de impacto.

Passo 1: descrever o tratamento e o seu âmbito

O artigo 35.º, n.º 7, define o conteúdo mínimo: descrição sistemática do tratamento e das finalidades, avaliação da necessidade e proporcionalidade, avaliação dos riscos e medidas previstas. Num projeto de anonimização, a descrição deve responder com precisão a estas perguntas:

• Que documentos: tipologias (sentenças, relatórios clínicos, contratos), formatos (PDF nativo, digitalizados, Word, e-mails com anexos) e volume estimado.
• Para quê: publicação, acesso a documentos administrativos ao abrigo da Lei n.º 26/2016, partilha com investigadores, transmissão a terceiros, reutilização para treinar modelos, arquivo.
• Que resultado: anonimização irreversível ou pseudonimização reversível. Não é o mesmo: o dado pseudonimizado continua a ser pessoal.
• Quem intervém: equipa de revisão, fornecedor da ferramenta (subcontratante), destinatários do resultado.
• Onde e durante quanto tempo: localização dos servidores, conservação dos originais, das versões anonimizadas e das tabelas de correspondência.

Na parte da necessidade e proporcionalidade, explique porque não basta publicar menos e porque o nível de anonimização escolhido é adequado à finalidade. Solicite o parecer do encarregado de proteção de dados, obrigatório nos termos do artigo 35.º, n.º 2, quando exista.

Passo 2: identificar os riscos próprios da anonimização

Os riscos genéricos (acessos indevidos, violações de dados) continuam presentes, mas um projeto de anonimização tem riscos específicos que a AIPD deve identificar. A tabela é indicativa; a probabilidade e a gravidade dependem do contexto:

Não esqueça o risco inverso: rasurar em excesso pode esvaziar de sentido uma decisão publicada ou um conjunto de dados de investigação. Não é um risco para a privacidade, mas compromete a finalidade, e a AIPD deve justificar o equilíbrio. Quanto ao risco de reidentificação, seja concreto: com que fontes públicas o documento poderia ser cruzado e quem teria interesse em fazê-lo.

Passo 3: medidas e risco residual

Para cada risco, descreva as medidas técnicas e organizativas e avalie o risco que subsiste. As medidas que costumam fazer a diferença:

A nossa checklist de anonimização conforme o RGPD ajuda a não esquecer nenhum controlo. Se o risco residual for aceitável, a AIPD termina com a aprovação do responsável pelo tratamento e um plano de acompanhamento.

Passo 4: é preciso consulta prévia à CNPD?

O artigo 36.º obriga a consultar a autoridade de controlo antes de iniciar o tratamento se a AIPD indicar um risco elevado que as medidas não consigam atenuar. A CNPD dispõe de até oito semanas para responder, prorrogáveis por seis semanas em tratamentos complexos, e disponibiliza um formulário próprio para a consulta prévia. Na prática, um projeto de anonimização bem desenhado raramente deveria chegar aí: um risco residual elevado indica que é preciso reforçar as medidas (mais revisão, menos dados divulgados, mais generalização). Se a consulta continuar a ser necessária, envie a AIPD completa e as informações previstas no artigo 36.º, n.º 3.

O contributo do Anonimatum para a AIPD

A escolha da ferramenta faz parte da AIPD. O Anonimatum facilita a demonstração de várias das medidas acima: a IA própria é executada em servidores na União Europeia, sem enviar o texto para APIs externas de modelos de linguagem; combina deteção por IA e por padrões; exige pré-visualização e revisão humana antes de aplicar; a rasura elimina o conteúdo e os metadados podem ser removidos; as tabelas de pseudonimização são guardadas cifradas; e o painel de grupo inclui registo de auditoria. A Politeia Soft tem certificação ENS (o esquema de segurança espanhol) de categoria média, com o Anonimatum no âmbito; mais detalhes na página de segurança. Compare os planos e comece online.