Usar o dado sem expor a pessoa

Você lê sobre criptografia homomórfica, privacidade diferencial, aprendizado federado. Tecnologias impressionantes — e que, para a maioria das empresas brasileiras, soam como ficção científica: coisa de gigante treinando IA de trilhões de parâmetros, e de dólares. Mas há uma parte dessa história que quase ninguém conta: o princípio por trás dessas tecnologias já dá para aplicar no seu cadastro, hoje. O princípio é um só — usar o dado sem expor a identidade. E ele tem dois níveis, com dois nomes na lei.

Qual a diferença entre pseudonimização e anonimização?

Em uma frase: a pseudonimização é reversível e a anonimização não é. A pseudonimização troca o que identifica por um código, mas mantém uma forma de voltar ao original — o dado continua sendo dado pessoal, só que protegido no caminho. A anonimização dilui a pessoa a ponto de não haver mais volta — e, por isso, o dado deixa de ser pessoal e sai do escopo da LGPD. São dois níveis do mesmo princípio, para dois usos diferentes. A LGPD trata os dois em artigos distintos.

Pseudonimização — a identidade vira código (Art. 13)

Assim como a criptografia homomórfica deixa um sistema processar um dado sem "enxergar" o que ele é, a pseudonimização transforma CARLOS SILVA em um código. O sistema continua conseguindo cruzar, deduplicar e reconhecer que dois registros são a mesma pessoa — mas trabalhando sobre o código, não sobre o nome exposto. A operação acontece; a identidade fica protegida no caminho.

É o que o motor MatchCode faz: gera um código fonético e ortográfico de nome e endereço, estável independente da grafia. Por ser reversível — existe o caminho de volta ao registro original —, o dado pseudonimizado continua sendo dado pessoal para a LGPD (Art. 13). Ele não some do escopo da lei; ele fica mais seguro dentro dele.

Anonimização — a pessoa se dilui no grupo (Art. 12)

Aqui o objetivo é o oposto de reconhecer o indivíduo: é fazê-lo desaparecer dentro de um grupo. A técnica se chama k-anonimato. Em vez de guardar o CEP exato e a idade exata, o dado é generalizado — 13320-000 vira 1332*, "37 anos" vira "30–40" — até que cada combinação desses atributos apareça em pelo menos k pessoas idênticas. A partir daí, ninguém no grupo é distinguível dos demais.

Por ser irreversível — não há mais volta ao indivíduo —, o dado anonimizado deixa de ser dado pessoal e sai do escopo da LGPD (Art. 12, e Art. 5º, III). Vira estatística. É o que permite analisar a base inteira — perfil, distribuição, tendências — sem apontar uma pessoa.

Uma nota de honestidade que separa engenharia de marketing: o k-anonimato reduz drasticamente o risco de reidentificação, mas não é um "impossível" absoluto — ele protege contra singularizar alguém, e a postura correta é conservadora (suprimir o grupo pequeno em vez de arriscar). Prometer "impossível reidentificar" seria exagero; entregar proteção proporcional ao risco, com o dado ainda utilizável, é o que interessa.

O que roda de verdade — e o que é só analogia

No MatchIQ, esses dois níveis não são promessa de roadmap. A pseudonimização de nome e endereço roda pelo MatchCode. A anonimização roda por k-anonimato — generalização dos atributos e supressão dos grupos pequenos — para a trilha de BI e compartilhamento, entregando a base pronta para análise sem singularizar ninguém.

O que não afirmamos: que fazemos privacidade diferencial ou criptografia homomórfica literalmente. Essas são técnicas de outra ordem, feitas para o problema de quem publica dados para o mundo inteiro contra atacantes ilimitados — e citá-las aqui é analogia do princípio ("usar o dado sem expor a pessoa"), não descrição da técnica. Descrever com o nome certo o que se faz é mais honesto — e mais forte — do que emprestar o nome do que não se faz.

A prova que não expõe ninguém

Toda anonimização executada gera um comprovante: um hash SHA-256 do que foi feito — o perfil, as regras, quantos registros entraram, quantos saíram, quantos foram suprimidos, quando. O comprovante não contém nenhum dado de titular, então prova a operação sem permitir descobrir quem estava na base. E ele é gravado na mesma transação que cria a base anonimizada: a tabela e a prova nascem juntas, ou nenhuma das duas.

É a diferença entre dizer "anonimizamos" e mostrar, de forma auditável, o que foi anonimizado. Evidência, não palavra.

Proteger não é trancar no cofre

Enquanto o Vale do Silício usa essas tecnologias para treinar IA em escala planetária, o princípio delas resolve um problema muito mais próximo: usar o seu cadastro — para BI, para compartilhar uma amostra, para responder ao titular — sem expor as pessoas nele. Proteger dado nunca foi trancá-lo no cofre e perder a utilidade. É usá-lo — sem expor.