Pseudonimização versus anonimização como técnicas de engenharia

O que é

A pseudonimização substitui identificadores diretos por tokens, mas mantém um caminho de volta: uma tabela de correspondência ou uma função com chave, como o HMAC (a RFC 2104 especifica o HMAC como hash com chave para autenticação de mensagens; a propriedade que importa aqui, consequência da chave, é que, sem ela, o mapeamento não pode ser recalculado a partir de entradas candidatas). Os dados continuam com um registro por pessoa e podem ser religados por quem tiver a chave ou a tabela. A anonimização busca eliminar a associação entre registros e pessoas, de modo que ninguém consiga restaurá-la. A NIST SP 800-188 descreve a desidentificação como qualquer processo que remove a associação entre os dados identificadores e o titular dos dados, lista como técnicas a remoção de identificadores, a transformação de quase-identificadores e a geração de dados sintéticos, e cita estudos de reidentificação como forma de avaliar o risco que permanece.

Por que importa

Os dois conceitos costumam ser confundidos, e a confusão custa caro em um sentido: tratar dados pseudonimizados como se fossem anônimos. Um conjunto de dados pseudonimizado continua tendo uma linha por pessoa, continua carregando quase-identificadores (datas, localizações, valores raros) e pode ser vinculado a outros dados. O rótulo aplicável determina quais proteções se espera que o sistema dê aos dados; renomear uma coluna não muda isso.

Como aplicar

• Para pseudônimos, use HMAC com uma chave secreta, e não um hash simples: o hash simples de um endereço de e-mail ou de um número de telefone é revertido calculando o hash de candidatos. Guarde a chave no armazenamento de segredos, planeje a troca de chave antes da rotação e registre quais conjuntos de dados usam qual chave.
• Use uma chave separada por finalidade, para que dois conjuntos de dados não possam ser cruzados pelo pseudônimo, a menos que isso seja intencional.
• Para divulgações, prefira agregados: contagens e somas por grupos com tamanho mínimo, células pequenas suprimidas, quase-identificadores generalizados (faixas etárias, regiões, meses) antes da divulgação e uma verificação documentada do risco de revelação, como descreve a NIST SP 800-188.
• Para análises que exigem dados em nível de registro, mantenha-os pseudonimizados dentro de um ambiente com controle de acesso, em vez de divulgar uma extração rotulada como anonimizada.
• Documente, para cada conjunto de dados, qual técnica foi aplicada, quais campos permanecem e quem detém os meios de reidentificação.

Armadilhas

Hashes sem chave; pseudônimos sequenciais que revelam a ordem de chegada; pseudônimos reutilizados entre finalidades; campos de texto livre deixados em uma tabela que, de resto, está pseudonimizada; nomes removidos, mas carimbos de data e hora exatos e coordenadas mantidos. Acreditar que a agregação, por si só, anonimiza: consultas repetidas com filtros ligeiramente diferentes podem isolar uma pessoa por diferenciação, que é o problema para o qual a privacidade diferencial foi concebida.