K-anonimato explicado: princípio, exemplo prático e limites

Identificadores diretos e quase-identificadores

Um identificador direto aponta para uma pessoa por si só: nome completo, número de identificação civil, NIF, número de utente do SNS, endereço de correio eletrónico. Um quase-identificador não identifica isoladamente, mas identifica em combinação: data de nascimento, código postal, sexo, profissão, nacionalidade, data de internamento. Retirar os identificadores diretos não torna uma tabela anónima se ficarem quase-identificadores cruzáveis com outra fonte, como um perfil profissional ou uma notícia local. Esse cruzamento está no centro da reidentificação.

As restantes colunas são, em regra, atributos sensíveis (diagnóstico, remuneração, sanção): precisamente o que se quer analisar e o que não pode ser atribuído a ninguém.

Como se obtém: generalização e supressão

• Generalização: substituir um valor por outro menos preciso. A idade 34 passa a «30-39»; o código postal 4050-123 passa a «4050»; a data de nascimento completa reduz-se ao ano.
• Supressão: eliminar valores ou linhas que continuam únicos após a generalização, por exemplo o único doente com 97 anos de uma freguesia pequena.
• Escolha de k: nenhuma lei fixa um valor. Um k maior reduz o risco mas sacrifica detalhe; depende de onde os dados serão divulgados e de quem lhes terá acesso.

Exemplo com uma tabela fictícia

Partimos de quatro doentes fictícios com nome, código postal, idade, sexo e diagnóstico. Eliminam-se os nomes, generalizam-se o código postal e a idade e suprime-se o sexo. O resultado é 2-anónimo: cada combinação de quase-identificadores aparece duas vezes.

Repare nas duas últimas linhas: não é possível saber qual corresponde à sua vizinha lisboeta de 45 anos, mas fica a saber que tem diabetes, porque ambas partilham o diagnóstico. É o ataque de homogeneidade, que mostra que o k-anonimato, sozinho, não impede a divulgação de informação.

l-diversidade e t-proximidade

Para corrigir esta falha foram propostos dois refinamentos. A l-diversidade (Machanavajjhala e outros, 2006) exige que cada grupo de linhas equivalentes contenha pelo menos l valores bem representados do atributo sensível. A t-proximidade (t-closeness; Li, Li e Venkatasubramanian, 2007) vai mais longe: a distribuição do atributo sensível em cada grupo não pode afastar-se mais de um limiar t da distribuição na tabela completa.

O Grupo de Trabalho do Artigo 29, no Parecer 05/2014 sobre técnicas de anonimização, enquadra as três técnicas como formas de generalização e conclui que nenhuma é infalível: reduzem o risco de singularização, mas podem continuar a permitir inferências ou ligações a outras bases de dados.

Limitações do k-anonimato

• Depende de quais quase-identificadores se consideram. Se o atacante conhece um dado não previsto, como a profissão ou a data exata de um acidente, a garantia desaparece.
• Degrada-se com muitas colunas. Com dezenas de atributos, formar grupos de k linhas obriga a generalizar tanto que os dados perdem utilidade.
• Não protege contra publicações sucessivas. Duas versões k-anónimas da mesma base, divulgadas com meses de intervalo, podem ser cruzadas.
• Não é um padrão jurídico. O RGPD não menciona o k-anonimato; o considerando 26 pede que se considerem todos os meios suscetíveis de ser razoavelmente utilizados para identificar uma pessoa.

Tabelas e documentos de texto livre

O k-anonimato nasceu para bases de dados e folhas de cálculo com colunas homogéneas. Numa lista de doentes ou num registo de processos, pensar em classes de equivalência faz sentido: convém anonimizar o ficheiro Excel por colunas e verificar depois que combinações continuam únicas.

Uma sentença, um relatório clínico ou um e-mail são diferentes: não há colunas, os dados identificativos estão misturados na narrativa. O decisivo é localizar e eliminar os identificadores diretos (nomes, NIF, moradas, telefones, matrículas) e rever o contexto: cargos únicos, datas muito concretas, factos raros ou referências que denunciam a pessoa mesmo com o nome ocultado. Um processo clínico anonimizado que ainda refere «a única cirurgiã do hospital distrital» continua a apontar para alguém.

O Anonimatum foi pensado para este segundo cenário: deteta com IA e padrões nomes, datas, moradas, montantes e números de identificação em PDF, Word, Excel e outros formatos, e permite rever cada proposta antes de aplicar uma ocultação irreversível. Decidir que detalhe de contexto deve sair continua a ser uma decisão humana; a ferramenta reduz o trabalho mecânico.