LGPD - Quando devemos anonimizar os dados pessoais e os dados sensíveis.

Questão:

Gostaria de saber se precisamos anonimizar os dados pessoais e sensíveis dos arquivos que são gerados para serem enviados a terceiros?

A Anonimização poderá ser revertida em algum momento?

Caso, futuramente, o funcionário desligado entrar com algum processo judicial ou se tiver algum valor a ser pago, como será feita a anonimização?

Resposta:

Para a LGPD, um dado anonimizado é um dado pessoal ou um dado sensível que foi tratado para que as informações não possam ser vinculadas ao titular original. Aquele que originalmente, era relativo a uma pessoa, mas que passou por um processo de desvinculação.

Caso o dado seja anonimizado, então a LGPD não se aplicará a ele. Mas vale ressaltar que um dado só será considerado efetivamente anonimizado se não permitir que, por meios técnicos e outros, se reconstrua o caminho para descobrir quem era a pessoa titular do dado.

Se caso ocorrer a identificação, então ele não é um dado anonimizado e sim, apenas, um dado pseudonimizado e estará então, sujeito à LGPD.

Podemos definir que a anonimização é um processo de tratamento que garanti que os dados de titulares estejam anônimos, e que as exigências da lei não se aplicarão mais a eles.

O processo de anonimização irá permitir que as empresas possam compartilhar banco de dados que sejam devidamente anonimizados, desde que o processo de anonimização seja totalmente seguro e não reversível.

Entendemos que caberá cada um definir o seu processo de anonimização, até a entrada da ANPD (Agência Nacional de Proteção de Dados), que poderá dispor sobre padrões e técnicas para o processo de anonimização. Porque até o momento a Lei não define qual dado deverá passar pelo processo, não possuindo uma padronização sobre os dados anonimizados

Art. 12. Os dados anonimizados não serão considerados dados pessoais para os fins desta Lei, salvo quando o processo de anonimização ao qual foram submetidos for revertido, utilizando exclusivamente meios próprios, ou quando, com esforços razoáveis, puder ser revertido.

§ 3º A autoridade nacional poderá dispor sobre padrões e técnicas utilizados em processos de anonimização e realizar verificações acerca de sua segurança, ouvido o Conselho Nacional de Proteção de Dados Pessoais.

Vale frisar que um dado só é considerado efetivamente anonimizado se não permitir que, via meios técnicos e outros, se reconstrua o caminho para "descobrir" quem era a pessoa titular do dado - se de alguma forma a identificação ocorrer, então ele não é, de fato, um dado anonimizado e sim, apenas, um dado pseudonimizado e estará, então, sujeito à LGPD.

Chamado/Ticket:

PSCONSEG-581, PCONSEG-1306.

DADOS ANONIMIZADOS - GOV.BR - SERPRO

Autoridade Nacional de Proteção de Dados

LEI Nº 13.853, DE 8 DE JULHO DE 2019

LEI Nº 13.709, DE 14 DE AGOSTO DE 2018.