A crescente digitalização dos processos empresariais e da Administração Pública trouxe consigo um desafio que, à primeira vista, parece simples: como compartilhar, publicar ou disponibilizar documentos sem expor dados pessoais que não deveriam estar acessíveis aos seus destinatários? A resposta mais imediata costuma ser a anonimização. Na prática, porém, existe uma distância considerável entre ocultar visualmente uma informação e efetivamente torná-la anônima. É justamente nesse espaço que reside um risco ainda pouco percebido por empresas e órgãos públicos, que é acreditar que um documento foi anonimizado quando os dados continuam tecnicamente presentes, recuperáveis ou, pior, já foram expostos a terceiros durante o próprio processo utilizado para protegê-los.
A situação é bastante comum. Imagine que um colaborador precise encaminhar um contrato, publicar uma decisão administrativa, disponibilizar um processo, responder a uma solicitação de acesso à informação ou compartilhar algum documento que contenha dados pessoais. Percebe que determinadas informações não devem ser disponibilizadas para a finalidade pretendida, tais como, CPF, endereço, telefone, dados financeiros, informações relacionadas à saúde ou qualquer outro conteúdo que extrapole a finalidade daquele compartilhamento e, com a melhor das boas intenções, decide ocultá-las. Pesquisa na internet por “editar PDF grátis”, encontra uma ferramenta online, realiza o upload do documento, insere tarjas sobre as informações e baixa uma nova versão aparentemente anonimizada. O procedimento parece simples, eficiente e gratuito. Pode, entretanto, produzir exatamente o efeito contrário ao pretendido.
O primeiro equívoco está na própria compreensão do que significa anonimizar. A Lei nº 13.709/2018, conhecida como Lei Geral de Proteção de Dados Pessoais (LGPD), define anonimização como a utilização de meios técnicos razoáveis e disponíveis no momento do tratamento por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo. A definição é importante porque desloca a discussão do aspecto meramente visual para uma questão essencialmente técnica: não interessa apenas se uma pessoa consegue enxergar o dado ao abrir o documento; interessa saber se ainda existem meios razoáveis para associá-lo ao respectivo titular.
A LGPD estabelece, ainda, que o dado anonimizado não será considerado dado pessoal para os fins da Lei, salvo quando o processo de anonimização puder ser revertido utilizando exclusivamente meios próprios ou quando, com esforços razoáveis, puder ser revertido. Essa ressalva é particularmente relevante. A anonimização não pode ser analisada apenas pela aparência do resultado. Sua eficácia depende da resistência à reversão e à reidentificação, consideradas as circunstâncias concretas, os recursos disponíveis, o custo, o tempo necessário e as tecnologias existentes.
É também necessário distinguir anonimização de pseudonimização. Na pseudonimização, a associação com o indivíduo permanece possível mediante a utilização de informação adicional mantida separadamente e submetida a controles técnicos e organizacionais. Substituir o nome de uma pessoa por um código, matrícula, hash ou identificador interno, portanto, não significa necessariamente anonimizar o dado. Se existe uma tabela, chave ou mecanismo que permita restabelecer a identidade do titular, estamos diante de uma técnica de redução de exposição e de risco, mas não necessariamente de uma ruptura definitiva do vínculo entre dado e indivíduo.
Essa distinção possui consequências jurídicas relevantes. A pseudonimização constitui importante medida de segurança e de proteção de dados, mas os dados pseudonimizados continuam submetidos ao regime jurídico de proteção de dados pessoais enquanto houver possibilidade de restabelecimento da associação. Já a anonimização efetiva pode retirar aquele conjunto de informações do âmbito de incidência da LGPD. Confundir esses conceitos pode levar uma organização a acreditar que determinadas obrigações deixaram de existir quando, juridicamente, o tratamento de dados pessoais continua ocorrendo.
O problema torna-se ainda mais evidente quando essa discussão é transportada para documentos em formato PDF. Um arquivo PDF não deve ser compreendido simplesmente como uma fotografia de uma folha de papel. Ele pode conter diferentes objetos, textos, imagens, formulários, comentários, anexos, metadados, informações incorporadas, conteúdo resultante de reconhecimento óptico de caracteres e outras estruturas que não são necessariamente percebidas pelo usuário quando o documento é visualizado.
Colocar um retângulo preto sobre um CPF, por exemplo, pode produzir apenas uma sobreposição gráfica. O dado continua abaixo da tarja. Dependendo da maneira como o documento foi produzido e da ferramenta utilizada, pode ser possível selecionar o texto, copiá-lo, pesquisá-lo, remover o objeto que está sobre ele ou extrair o conteúdo por outros meios. Aquilo que parecia ter sido eliminado estava apenas escondido.
Essa diferença explica por que ferramentas profissionais de tratamento documental utilizam funcionalidades específicas de redaction, e não simplesmente ferramentas de desenho ou edição. A redação adequada pressupõe a remoção efetiva do conteúdo indicado, podendo ser complementada por processos de sanitização destinados a eliminar informações ocultas, metadados, comentários, objetos incorporados e outros elementos residuais do arquivo. Portanto, pintar uma informação de preto e remover tecnicamente aquela informação do documento são operações completamente diferentes.
Mesmo quando a ferramenta efetivamente remove o conteúdo, existe um segundo risco, talvez mais relevante sob a perspectiva da governança de dados, que é o caminho percorrido pelo documento até chegar ao resultado anonimizado. Quando um usuário acessa uma ferramenta online e realiza o upload de um PDF, é necessário compreender que o documento original, justamente aquele que contém todos os dados que se pretende proteger, pode estar sendo transferido para a infraestrutura tecnológica de um terceiro. Nesse momento, a discussão deixa de ser apenas sobre anonimização e passa a envolver segurança da informação, governança de terceiros, gestão de fornecedores, cadeia de tratamento de dados pessoais e, dependendo da arquitetura utilizada pelo serviço, transferência internacional de dados. É nesse ponto que surge um paradoxo particularmente preocupante sobre a necessidade de proteger os dados existentes em um documento, uma vez que a organização pode estar entregando o documento íntegro a um terceiro que nunca foi avaliado, tampouco contratado formalmente.
O fato de uma ferramenta ser gratuita não significa, por si só, que seja insegura, assim como a contratação de uma solução paga não constitui garantia automática de conformidade ou segurança. O problema está na utilização de ferramentas não homologadas ou desconhecidas, sem que a organização tenha avaliado minimamente como os documentos são processados, onde são armazenados, por quanto tempo permanecem disponíveis, quais medidas de segurança são utilizadas, se existem subprocessadores envolvidos, em quais jurisdições ocorre o processamento, quais registros são mantidos e como é realizada a exclusão das informações após o término da operação.
Em determinadas situações, o usuário sequer percebe que está realizando uma operação relevante de tratamento. Para ele, está apenas “editando um PDF”. Para a governança de dados da organização, entretanto, pode estar ocorrendo uma transferência de informações para infraestrutura externa sem avaliação de riscos, contrato, definição de responsabilidades ou qualquer controle sobre o ciclo de vida daqueles dados.
O problema se agrava quando os documentos contêm dados pessoais, dados sensíveis, informações empresariais confidenciais, documentos protegidos por sigilo profissional, dados financeiros, informações relacionadas a crianças e adolescentes, dados de processos administrativos ou judiciais, segredos comerciais ou informações cuja divulgação possa produzir impactos significativos para os titulares ou para a própria organização.
Nesse cenário, a ferramenta gratuita de edição de PDF torna-se uma manifestação de um problema maior, chamado Shadow IT, caracterizado pelo uso de sistemas, aplicações, serviços em nuvem e recursos tecnológicos sem conhecimento, avaliação ou aprovação das áreas responsáveis por tecnologia, segurança da informação, privacidade ou governança. O risco não está apenas na ferramenta escolhida, mas na ausência de governança sobre as ferramentas que os colaboradores estão autorizados a utilizar.
Há ainda outra dimensão que torna a anonimização mais complexa do que simplesmente remover nomes, CPFs e endereços. Um indivíduo pode ser identificado sem que qualquer identificador clássico esteja presente. Imagine um documento que mencione apenas “Diretor da unidade X, 63 anos, afastado por determinada condição de saúde em março de 2026”. Dependendo do contexto, pode ser trivial descobrir quem é essa pessoa. A combinação de cargo, idade, localidade, período e outras características pode tornar o indivíduo singular dentro daquele universo.
A anonimização, portanto, precisa considerar não apenas os identificadores diretos, mas também a possibilidade de reidentificação mediante cruzamento de informações. Quanto maior a quantidade de bases públicas, redes sociais, portais de transparência e fontes abertas disponíveis, maior pode ser a capacidade de combinar dados aparentemente anônimos e restabelecer sua vinculação com determinada pessoa.
Esse aspecto é particularmente relevante para o Poder Público. A transparência administrativa constitui valor essencial e encontra fundamento constitucional e legal, mas transparência e proteção de dados não são princípios necessariamente antagônicos. O desafio está em compatibilizá-los. A publicação indiscriminada de informações pessoais não se torna legítima simplesmente porque ocorre em um portal público, da mesma forma que a anonimização excessiva não pode ser utilizada como justificativa para restringir indevidamente o acesso a informações que possuem relevante interesse público.
A solução exige análise de finalidade, necessidade, proporcionalidade e risco. Em alguns casos será suficiente mascarar parcialmente uma informação; em outros, será necessária sua supressão; determinadas bases podem exigir generalização ou agregação; outras situações podem admitir pseudonimização; e existem contextos nos quais a informação deverá permanecer identificada porque a própria finalidade legítima do tratamento exige a identificação. Não existe uma técnica universal aplicável indistintamente a todos os cenários.
É justamente por isso que anonimização não deveria ser tratada como uma atividade improvisada executada pelo usuário final. Organizações que manipulam documentos com dados pessoais de maneira recorrente deveriam estabelecer procedimentos específicos para esse tipo de operação, definir ferramentas homologadas, estabelecer critérios técnicos, identificar quais informações devem ser removidas e criar mecanismos de verificação do documento resultante. Existem ferramentas específicas e seguras para essa finalidade.
Sempre que possível e compatível com a arquitetura adotada pela organização, documentos de maior criticidade deveriam ser processados em ambientes controlados, evitando-se sua transferência desnecessária para serviços externos. Quando uma solução em nuvem for utilizada, o fornecedor precisa ser submetido ao processo de homologação compatível com o risco envolvido, incluindo aspectos relacionados à segurança, privacidade, retenção, localização, subprocessamento e exclusão das informações.
Também é recomendável que o documento resultante seja tecnicamente verificado. Pesquisar pelo conteúdo removido, tentar selecionar ou copiar a área objeto da redação, analisar propriedades e metadados, verificar comentários e objetos incorporados e, quando necessário, submeter o arquivo a ferramentas próprias de inspeção são medidas simples que podem evitar exposições relevantes.
Mais importante ainda é compreender que anonimização não é sinônimo de eliminação indiscriminada de informações. Ela constitui uma técnica de tratamento de risco que precisa estar associada à finalidade pretendida. A pergunta correta não é apenas “quais informações devo esconder?”, mas “quais informações são necessárias para esta finalidade e quais delas podem permitir a identificação ou reidentificação indevida de uma pessoa?”.
Sob essa perspectiva, o melhor processo de anonimização talvez seja aquele que sequer dependa da intervenção manual de um usuário para decidir, documento por documento, quais dados precisam ser eliminados. A discussão também evidencia uma questão fundamental de responsabilização. Em proteção de dados, não basta adotar uma medida, sendo necessário ser capaz de demonstrar que ela é realmente adequada. Uma organização que afirma ter anonimizado milhares de documentos deveria saber responder quais técnicas foram utilizadas, quais critérios determinaram sua escolha, quais riscos de reidentificação foram considerados, quais ferramentas executaram o procedimento e como foi verificado que os dados efetivamente deixaram de estar acessíveis.
Isso não significa transformar cada anonimização em um complexo procedimento burocrático. Significa aplicar controles proporcionais ao risco. Um documento administrativo contendo dados cadastrais comuns não exige necessariamente o mesmo nível de controle de uma base contendo informações médicas de milhares de pessoas. A maturidade está justamente em diferenciar os cenários e estabelecer controles coerentes com a criticidade dos riscos identificados.
A facilidade proporcionada pelas ferramentas digitais não pode substituir essa análise. O botão “remover”, a tarja preta ou a mensagem “seu arquivo foi processado com sucesso” podem transmitir uma sensação de segurança que não encontra correspondência na realidade técnica. E essa talvez seja a maior armadilha. O maior risco da anonimização mal executada não é simplesmente deixar de esconder um dado, mas sim acreditar que ele deixou de existir.
Assim, empresas e órgãos públicos precisam, portanto, abandonar a ideia de que anonimização é uma simples funcionalidade de edição documental. Na verdade, trata-se de uma medida de proteção de dados que envolve decisões jurídicas, técnicas e organizacionais e que deve fazer parte da governança da informação.
No final, entre uma informação que não conseguimos enxergar e uma informação que efetivamente deixou de ser associável a uma pessoa existe uma diferença substancial e, para a proteção de dados pessoais, essa diferença pode representar a fronteira entre uma medida efetiva de segurança e uma exposição que ninguém percebeu que estava criando.
