Fiz questão de grifar a declaração “meios técnicos razoáveis e disponíveis”. Este termo será de suma importância para compreender o que é um dado anonimizado.

Neste caso, meios técnicos razoáveis e disponíveis se referem às técnicas utilizadas e disponíveis em um determinado momento para a execução da anonimização e/ou re-identificação, assim como uma fotografia, com ressalvas para tempo, custo e a aplicação de recursos próprios para a execução da atividade. Mas o que significa? É importante diferenciar os meios existentes dos disponíveis. Da mesma forma que a LGPD não impede o desenvolvimento de novos serviços e valoriza a livre-iniciativa, ela também avalia que nem todas as tecnologias estão disponíveis para todos. Custos de implementação de ferramentas tecnológicas podem ser proibitivos para certas organizações. Por exemplo: Uma ferramenta utilizada por uma multinacional que custa dezenas de milhares de dólares provavelmente não estará ao alcance de uma MEI, EPP ou ME.

Custo, Tempo e Recursos  

Como já explicado acima, a LGPD leva em consideração os custos envolvidos na reversão da anonimização, assim como o tempo envolvido para realizá-lo através de seus próprios recursos.

Os dados, uma vez anonimizados e sem possibilidade de re-identificação, se encontram fora do escopo da LGPD, uma vez que não mais podem tornar um indivíduo identificado ou identificável.

Igualmente importante ressaltar que:

• É crítico que as tecnologias, processos, políticas, metodologias, boas práticas, etc sejam efetivamente atualizadas, testadas e monitoradas. A “fotografia” tirada no momento da anonimização precisa ser “válida” no momento atual (ou da auditoria), ou seja, se a tecnologia evolui e os processos não seguem o mesmo ritmo, é possível que em um determinado momento, os dados uma vez anonimizados possam ser re-identificados. Neste caso, a organização estaria exposta às penalidades da LGPD. Caso o processo seja revertido no futuro os dados tornam-se pessoais novamente, voltando-se a se aplicar as disposições da LGPD.
• É necessário confirmar se o cruzamento de dados, mesclagem, uso de dados conjugados, uso de dados de parceiro (compartilhados) não permitem a re-identificação. Caso permita, os dados devem seguir sendo tratados sob a LGPD uma vez que serão considerados como pseudo-anonimizados.

Se não é requerido manter os dados pseudo-anonimizados dentro dos conceitos da LGPD, qual é a vantagem de fazê-lo?

A pseudo-anonimização contribui na criação de uma “camada adicional” na proteção dos dados e pode colaborar também na redução dos danos causados por eventuais vazamentos. Através da redução de dados disponíveis em bases e sistemas, em caso de vazamentos, diminui-se também a exposição causada aos titulares dos dados. Conforme mencionado no site Baptistaluz.com.br, “este cenário pode fazer com que eventuais indenizações sejam reduzidas ou mesmo não aplicáveis, considerando que os dados vazados não sejam capazes de gerar danos ao titular por serem incompreensíveis.”

A pseudo-anonimização então, pode ser considerada como uma estratégia de mitigação de riscos referentes ao tratamento de dados pessoais, assim como a implementação de criptografias nos mais diferentes níveis (ex. “data at-rest”).

Importante! Não baixe a guarda!  

Como já mencionado anteriormente, a revisão frequente das técnicas, tecnologias, processos, políticas, boas práticas, mapeamento de dados/processos de negócio, etc, será fundamental para que a conformidade à LGPD seja mantida após o “Day 1”. E tão importante quanto garantir a parte tecnológica, é igualmente importante ter processos de concessão de acessos claros, permitindo apenas a visualização e manipulação de dados para indivíduos e sistemas com real necessidade de negócio.

Se ainda restam dúvidas, não deixe de nos procurar!

* Este material não tem como objetivo oferecer consultoria, recomendação, direção ou aconselhamento de qualquer tipo. Não oferece quaisquer garantias de acurácia, completude ou conformidade. Para uma análise especializada e adequada à sua necessidade, por favor entre em contato.

Como a Macher Tecnologia te ajuda?

Na Macher Tecnologia, te ajudamos a caminhar em seu processo de conformidade, oferecendo as seguintes linhas de serviço:

• Consultoria e Gestão de Projetos
• Outsourcing de pessoas com skill adequado à execução
• Consultoria na Implementação da LGPD
• Treinamento para a LGPD
• Encarregado como Serviço (DPO-as-a-Service)
• Adequação de Sistemas para a LGPD

Entre em contato conosco para um orçamento personalizado!