Glossário · Glossário · Riscos
Reidentificação: quando dados «anónimos» voltam a apontar para alguém
Equipa Anonimatum
Em resumo
A reidentificação é voltar a atribuir a uma pessoa concreta dados que se julgavam anónimos ou pseudonimizados, normalmente cruzando-os com outras fontes através de quase-identificadores ou do contexto.
Fala-se de reidentificação quando alguém consegue saber a quem pertencem dados publicados ou partilhados como anónimos. Não é preciso que apareça o nome: uma combinação de características (idade, concelho, profissão, uma data) pode apontar para uma única pessoa e ser cruzada com outra fonte.
É o risco que decide se os dados estão realmente anonimizados. Segundo o considerando 26 do RGPD, a informação anónima fica fora do âmbito do Regulamento, mas devem ter-se em conta todos os meios suscetíveis de ser razoavelmente utilizados para identificar uma pessoa: custos, tempo necessário e tecnologia disponível.
Quase-identificadores e ataques de ligação
Um ataque de ligação (linkage attack) junta um ficheiro «anonimizado» a outro nominativo que partilha alguns campos. Se ambos contiverem data de nascimento, sexo e código postal, basta emparelhar as linhas coincidentes. Estes campos inofensivos isoladamente mas identificativos em conjunto são os quase-identificadores, e são a razão de ser de técnicas como o k-anonimato.
Dois estudos publicados ilustram a dimensão do problema:
- Sweeney (2000), com dados do recenseamento norte-americano de 1990, estimou que cerca de 87 % da população dos EUA era provavelmente única com apenas três atributos: código ZIP de cinco dígitos, sexo e data de nascimento completa.
- Rocher, Hendrickx e de Montjoye (2019), na Nature Communications, desenvolveram um modelo estatístico segundo o qual 99,98 % dos norte-americanos seriam corretamente reidentificados em qualquer conjunto de dados com 15 atributos demográficos, mesmo quando só se publica uma amostra.
A lição prática não é que anonimizar seja impossível, mas que retirar o nome quase nunca basta.
Singularização, ligabilidade e inferência
O Grupo de Trabalho do Artigo 29, no Parecer 05/2014, definiu três critérios para avaliar qualquer técnica de anonimização, que continuam a ser referência para as autoridades europeias, incluindo a CNPD:
- Singularização: é possível isolar o registo de uma pessoa? O único processo de uma mulher de 61 anos numa aldeia está singularizado, mesmo sem nome.
- Ligabilidade: é possível ligar pelo menos dois registos da mesma pessoa, no mesmo conjunto ou em conjuntos diferentes? Um código pseudónimo estável entre publicações permite-o.
- Inferência: é possível deduzir com probabilidade significativa o valor de um atributo a partir de outros? Se todos os trabalhadores de um serviço receberam a mesma sanção, a de cada um fica conhecida.
O que denuncia uma pessoa nos documentos
Em sentenças, relatórios, atas ou e-mails o risco não está em colunas, mas na narrativa e no próprio ficheiro. Os descuidos mais comuns:
| Pista | Exemplo fictício | O que fazer |
|---|---|---|
| Contexto e cargos únicos | «a diretora da única escola da freguesia» | Generalizar: «a direção de um estabelecimento de ensino» |
| Factos raros | Colisão com um veículo dos bombeiros a 3 de março | Retirar ou aproximar a data e o pormenor singular |
| Assinaturas e carimbos | Assinatura digitalizada e carimbo com número de cédula profissional | Ocultar assinatura, carimbo e códigos QR de verificação |
| Metadados | Autor do PDF e título interno com o nome do doente | Eliminar metadados antes de partilhar |
| Ocultação aparente | Retângulo preto sobre texto que ainda se pode copiar | Usar uma ocultação que apague o texto subjacente |
Os metadados merecem atenção especial: autor, organização, histórico de revisões, comentários e nomes de ficheiros viajam com o documento, embora ninguém os veja no ecrã. O mesmo acontece com as camadas de texto OCR ocultas em PDF digitalizados.
Como reduzir o risco de reidentificação
- Definir quem poderia tentar a reidentificação (um vizinho, um jornalista, um empregador) e que informação adicional teria à mão.
- Eliminar primeiro os identificadores diretos e depois rever o contexto: cargos, datas, locais e factos singulares.
- Confirmar que a ocultação é irreversível e que não fica texto debaixo das marcas pretas.
- Limpar metadados, comentários e controlo de alterações.
- Em publicações regulares, evitar códigos ou pseudónimos estáveis que liguem as divulgações entre si.
Com o Anonimatum pode anonimizar um PDF, um Word ou um e-mail com anexos: IA e padrões detetam nomes, datas, moradas, montantes, assinaturas e carimbos digitais e códigos QR; revê cada proposta e aplica uma ocultação irreversível. Também pode eliminar os metadados do PDF. A revisão do contexto continua a exigir critério humano.
Perguntas frequentes
Reidentificação e desanonimização são o mesmo?
Na prática, sim: ambos os termos descrevem voltar a ligar dados supostamente anónimos a uma pessoa identificada ou identificável.
Os dados pseudonimizados podem ser reidentificados?
Sim, por definição: quem tem a tabela de correspondência pode revertê-los, e podem ainda ser cruzados com outras fontes. Por isso o RGPD continua a considerá-los dados pessoais.
Basta ocultar nomes e números de identificação numa sentença?
Normalmente não. Profissões, parentescos, locais e datas podem apontar para a pessoa. Convém rever o texto completo e os metadados do ficheiro.
O risco de reidentificação muda com o tempo?
Sim. Surgem novas fontes públicas e as técnicas de cruzamento melhoram. É boa prática reavaliar periodicamente os conjuntos de dados publicados.
Descubra o que denuncia as pessoas nos seus documentos
Veja os planos e comece: deteção com IA, revisão de cada ocorrência, ocultação irreversível e limpeza de metadados.