O direito de anonimização de dados na LGPD
A Lei Geral de Proteção de Dados (LGPD) garantiu vários direitos ao titular, dentre eles o de anonimização. Já falamos sobre os direitos de:
eliminação; e
Acompanhe-nos neste artigo para saber um pouco mais sobre o direito de anonimização, que não tem correspondência na lei europeia de proteção de dados (GDPR).
O que é o direito de anonimização?
Primeiro, vejamos a definição de anonimização. De acordo com a LGPD, é a:
Assim, em outras palavras, através desse direito, o dado desvincula-se do seu titular. O dado permanece, mas não é "possível" ligá-lo ao titular.
A LGPD também trouxe a definição de dado anonimizado. Dessa forma, este é o
É fundamental perceber que dado anonimizado não é dado pessoal. Como este significa "informação relacionada a pessoa natural identificada ou identificável" e a anonimização "remove" a identificação do dado, logo o dado anonimizado não é pessoal.
Por não ser pessoal, os dados anonimizados escapam do alcance da LGPD. Isso é bastante confortador para o controlador e o operador, que podem dispor dos dados de forma muito mais livre.
Contudo, existe exceções. O dado, mesmo que anonimizado, será considerado pessoal se for utilizado "para formação do perfil comportamental de determinada pessoa natural, se identificada". Também será considerado pessoal se o processo de anonimização puder ser revertido, como será visto a seguir.
Além disso, ao processar o pedido, o agente de tratamento deve ter cuidado para não anonimizar dados pessoais de terceiro.
Para deixar claro, esse direito abrange apenas os próprios dados pessoais. Ou seja, se o dado for de terceiro, o titular não poderá anonimizá-lo (a não ser que ele tenha poderes para tanto, por exemplo, se for seu advogado/procurador).
Por fim, se o dado não por pessoal, não fará sentido pedir a sua anonimização. Saiba como diferenciar dados pessoais e dados não pessoais.
Quando o direito de anonimização se aplica?
De acordo com a lei, o titular tem o direito de solicitar a anonimização quando os dados forem:
excessivos; ou
tratados em desconformidade com a LGPD.
Além de ser um direito do titular, a anonimização dos dados pessoais é uma obrigação dos órgãos de pesquisa, sempre que for possível na realização dos seus estudos.
Posso fazer alguma coisa com os dados anonimizados?
Sim, na verdade pode fazer bastante. Quando um dado é considerado anonimizado, ele não é mais pessoal, pois foi desvinculado da pessoa. Em razão disso, as obrigações decorrentes da LGPD não se aplicam mais para ele, com algumas ressalvas.
Poderá, por exemplo:
compartilhar com terceiro;
publicá-lo; ou
realizar outros tratamentos que dependeriam de consentimento.
Contudo, isso não significa utilizar o dado como bem entender. Outras obrigações legais, regulatórias e contratuais ainda precisam ser observadas.
Um dado anonimizado pode voltar a ser considerado pessoal?
Sim, pode ser que no futuro o dado volte a ser pessoal. Existe um processo chamado de reidentificação de dados ou deanonimização, em que os dados anonimizados são combinados com dados auxiliares para descobrir a identidade do titular.
Então, quando o processo de anonimização de um dado for revertido, através de meios próprios, exclusivamente, ou com esforços razoáveis, o dado será considerado novamente pessoal.
Como anonimizar os dados?
A anonimização é um procedimento técnico, conforme visto acima. Por sua própria natureza, para se efetivar a anonimização, providências devem ser obtidas junto a fornecedores de soluções em Tecnologia da Informação (TI).
Como o pedido de anonimização deve ser feito?
Quanto à forma, a LGPD não exige nenhuma específica para esse pedido, logo, poderá ser feito escrito ou verbalmente. E isso implica na necessidade de mecanismos na empresa para identificar e registrar tais requerimentos, mesmo que orais.
Também não é necessário que seja mencionado "pedido de anonimização". Apenas deve ficar claro que o titular deseja que os dados não possam mais ser associados a ele.
A LGPD não definiu um prazo para o pedido de anonimização, ao contrário do que fez para o direito de confirmação de existência e de acesso aos dados. Portanto, é necessário aguardar sua definição pela ANPD. Contudo, fazendo um paralelo com os direitos previstos na GDPR, deve ser de até 30 dias.
Preciso avisar os outros agentes com quem compartilhei os dados?
Sim, se você realizou a anonimização, deverá informar imediatamente todos os agentes de tratamento com quem você tenha compartilhado os dados, para que eles também apaguem. Somente não será obrigado se essa comunicação for impossível ou implique esforço desproporcional.