Anonimizar um ficheiro Excel sem que os dados possam ser reconstruídos

Identificadores diretos e quase identificadores

Em dados tabulares convém separar dois tipos de colunas. Os identificadores diretos (nome, NIF, número do Cartão de Cidadão, e-mail, telefone, IBAN) apontam para uma pessoa por si só e devem quase sempre ser eliminados ou substituídos. Os quase identificadores (data de nascimento, código postal, categoria, sexo, data de admissão) parecem inofensivos um a um, mas combinados podem isolar uma linha: num concelho pequeno, «chefe de divisão, nascida em 1971, código postal 7XXX» pode ser uma única pessoa.

Junta-se uma terceira categoria muitas vezes esquecida: as colunas de texto livre como Observações, Motivo ou Comentários, onde aparece de tudo, do nome de um familiar a um diagnóstico. Essas células não se tratam como um valor único; é preciso lê-las e detetar os dados pessoais que contêm.

Decida o que fazer a cada coluna

A pergunta é a mesma para cada coluna: o destinatário precisa dela? Se não, elimina-se. Se precisa para cruzar dados mas não para saber quem é quem, pseudonimiza-se. Se precisa dela tal como está e não identifica ninguém, mantém-se. O princípio da minimização dos dados resolve a maioria das dúvidas antes de se falar em técnicas.

O que não se vê numa folha de cálculo

• Folhas ocultas e muito ocultas. Uma folha oculta não aparece nos separadores, mas os dados continuam no ficheiro; as folhas definidas como «muito ocultas» por VBA nem sequer aparecem em Mostrar.
• Linhas e colunas ocultas ou filtradas. Ocultar a coluna do NIF ou filtrar linhas não apaga nada.
• Fórmulas. Uma célula pode mostrar um total e apontar para uma folha oculta cheia de nomes, ou para um livro externo cujo caminho revela nomes de pastas ou utilizadores.
• Caches de tabelas dinâmicas. Uma tabela dinâmica guarda uma cópia dos dados de origem; mesmo que apague a folha de origem, um duplo clique num valor pode reconstruir as linhas de detalhe.
• Comentários, notas e propriedades do livro, com autores, datas e caminhos.
• Gráficos e nomes definidos que apontam para intervalos com dados pessoais.

O Inspecionar Documento do Excel encontra folhas, linhas e colunas ocultas, comentários e propriedades, mas não decide por si o que fazer a cada coluna visível. Para as tabelas dinâmicas, o mais seguro é colá-las como valores ou eliminá-las antes de partilhar; para fórmulas que dependem de dados que vai retirar, considere colar os resultados como valores.

Retirar os nomes não basta: o risco de reidentificação

Em dados tabulares, o risco não está numa célula mas na combinação de colunas. O k-anonimato mede exatamente isso: um conjunto de dados é k-anónimo se cada combinação de quase identificadores se repete em pelo menos k linhas. O parecer do Grupo de Trabalho do Artigo 29 sobre técnicas de anonimização apresenta-o como uma forma de gerir o risco, não como uma garantia absoluta: se as k linhas partilharem o mesmo dado sensível, esse dado continua revelado.

Na prática: generalize (ano em vez de data, concelho em vez de código postal completo), agrupe categorias com poucos casos, suprima linhas únicas quando não acrescentam nada e avalie o risco antes de publicar, por exemplo um conjunto de dados abertos. Uma ferramenta pode rasurar ou substituir colunas; decidir se o resultado é anónimo depende do contexto e de quem o vai receber.

Pseudonimizar com coerência

Se o destinatário precisa de seguir a mesma pessoa entre linhas, folhas ou ficheiros (os recibos de vencimento de janeiro e fevereiro, por exemplo), a substituição tem de ser coerente: o mesmo NIF transforma-se sempre no mesmo substituto. Se essa coluna funciona como chave entre a folha Pessoal e a folha Vencimentos, ambas têm de receber o mesmo valor, ou os cruzamentos deixam de funcionar. Os dados pseudonimizados continuam a ser dados pessoais e a tabela de correspondência deve ser guardada à parte e protegida. Mais detalhe em pseudonimização de documentos.

Como fazer com o Anonimatum

Desde a versão 1.9.0, o Anonimatum trata folhas de cálculo coluna a coluna em .xlsx, .xls, .ods e .csv: sugere o tipo de dado de cada coluna e escolhe manter, rasurar, substituir, pseudonimizar ou detetar no texto (útil para colunas de observações). O resultado sai no mesmo formato, com as folhas, a formatação e as fórmulas. Cada 50 linhas consomem 1 página de quota, pelo que um registo de 2.000 linhas equivale a 40 páginas.

Para manter a coerência entre ficheiros, o mapa partilhado de um processo atribui o mesmo substituto ao mesmo dado em todos os seus documentos. Se trabalha com processamento salarial, a página sobre anonimizar recibos de vencimento em PDF e Excel reúne os casos típicos.