O ser atrás do dado : limites e desafios da anonimização e seus reflexos nos requisitos estabelecidos pela LGPD

Abstract

A sociedade informacional que vivemos atribui valor aos dados, não apenas como instrumentos de poder decisório, mas como verdadeiros ativos da chamada Data Driven Economy. No cenário em que dados ganham valor de mercado, eclodem também reivindicações por maior proteção desses ativos, principalmente no que tange aos dados pessoais tendo em vista os riscos que sua utilização pelos mercados causa à privacidade dos indivíduos. Nesse contexto, a anonimização surge como uma importante ferramenta de conciliação de interesses divergentes, em prol da garantia de maior segurança e privacidade na extração de valor dos dados. Este trabalho busca analisar se a Lei Geral de Proteção de Dados Brasileira, a LGPD, e os diversos atores que lidam com dados no país têm depositado excessiva confiança nas técnicas de anonimização, sem atenção às limitações apresentadas por esse tipo de tratamento. Para viabilizar essa análise dividimos o trabalho em três principais partes. A primeira parte introduz conceitos como dados, Big Data, Anonimização. Também apresentamos um breve relato sobre como as legislações em âmbito internacional e nacional vem lidando com os dados, em especial com dados pessoais, ressaltando a confiança que é depositada atualmente nas técnicas de anonimização. A segunda parte expõe as principais limitações da ferramenta, com base nas críticas erigidas por Paul Ohm em seu artigo “Broken promises of privacy: responding to the surprising failure of anonymization”. Realizamos uma classificação dos limites da anonimização separando-os em intrínsecos e extrínsecos à técnica além dos limites externos à anonimização, que são limites não inseridos no processamento da técnica, mas que afetam o uso ético da anonimização. Por fim, na terceira parte do trabalho elaboramos um framework autoral a partir da Lei Geral de Proteção de Dados- LGPD, apresentando os requisitos exigidos pela lei para se considerar um dado como anonimizado. Comparamos os limites levantados na segunda parte do trabalho com os requisitos legais apresentados no framework a fim de constatar se a legislação acolheu as principais limitações da técnica estabelecendo diretrizes jurídicas a fim de mitigar riscos. A pesquisa conclui que a LGPD levou em consideração poucos aspectos relacionados aos limites da técnica. Falta à lei uma maior especificação sobre seus conceitos e procedimentos para conferir segurança jurídica aos desenvolvedores e maior proteção à anonimização. A lei também é lacunosa no tocante ao estabelecimento de parâmetros mais objetivos de aferição dos requisitos legais e no estabelecimento de padrões de governança e padrões éticos ao uso dos dados anonimizados. Esses aspectos determinam a consolidação de uma estrutura normativa mais frágil para o tratamento de anonimização.