Anonimização é o tratamento que remove a possibilidade de associar o dado a uma pessoa, de forma que ele deixa de ser dado pessoal. Pseudonimização é a substituição do identificador direto por um código, mantendo em outro lugar a chave que permite reverter. A diferença parece técnica e é jurídica: dado anonimizado sai do alcance da LGPD; dado pseudonimizado continua dentro dela.
Confundir as duas é o erro mais comum de quem quer publicar número de mercado ou comparar desempenho entre empresas.
O que a lei diz sobre cada uma
A LGPD considera dado anonimizado aquele que não permite identificar o titular, considerando meios técnicos razoáveis e disponíveis na ocasião do tratamento. Esses dados ficam fora do alcance da lei.
Há um detalhe decisivo nessa definição: se a anonimização puder ser revertida com esforço razoável, o dado volta a ser pessoal. Ou seja, a proteção não está no nome que você dá ao processo, está no resultado.
A pseudonimização aparece como medida de segurança, não como saída do alcance da lei. Trocar o nome por um código reduz risco de vazamento, e continua exigindo base legal e respeito aos direitos do titular.
O exemplo que esclarece
Uma planilha de atendimentos:
| Tratamento | Como fica | É dado pessoal? |
|---|---|---|
| Original | João Silva, (16) 99999-0000, comprou em 12/03 | Sim |
| Pseudonimizado | Cliente 4471, comprou em 12/03, chave guardada à parte | Sim, ainda |
| Mascarado | J. S., (16) 9****-0000 | Sim, ainda |
| Agregado sem reversão | 318 clientes compraram em março, ticket médio R$ 214 | Não, se o grupo for grande |
A terceira linha é a que mais engana. Mascarar parte do telefone parece anonimizar, mas quem tem a base original reidentifica em segundos, e às vezes o próprio conjunto de campos restantes basta.
O problema do grupo pequeno
Esta é a parte que raramente aparece em material sobre LGPD e que decide se um indicador agregado é publicável.
Agregar só anonimiza quando o grupo é grande o suficiente para esconder o indivíduo. Se o grupo é pequeno, a média revela cada participante:
- “Média das três clínicas de pediatria da cidade” deixa qualquer uma das três calcular as outras duas, bastando saber o próprio número
- “Tempo médio de resposta do setor de advocacia em São Carlos”, com cinco escritórios, aponta para cada um
- Cruzar dois cortes estreitos, como cidade e setor, estreita o grupo mesmo quando cada corte isolado parecia seguro
A regra prática: definir um mínimo de participantes por corte publicado, não divulgar corte abaixo desse mínimo, e verificar o cruzamento, não apenas cada filtro. Quatro ou cinco participantes é o piso que a maior parte dos trabalhos de estatística considera frágil para divulgação; mais é melhor.
Também vale evitar publicar máximo e mínimo de um grupo pequeno. A média protege um pouco; o extremo entrega o participante.
Onde isso aparece na prática do WhatsApp
Três situações comuns:
Relatório para o cliente. Mostrar desempenho da operação dele com dados dele é tratamento comum, com base legal na própria prestação de serviço. Nenhum problema aqui.
Comparação com o mercado. Dizer a um cliente como ele se compara ao setor exige que o número do setor seja de fato anonimizado. É onde o problema do grupo pequeno aparece.
Caso de sucesso. Publicar resultado de um cliente identificado não é anonimização, é uso de dado com identificação. Precisa de autorização do cliente, e vale ter por escrito.
O desenho que funciona para indicador setorial
Para quem pretende construir métricas de mercado comparáveis, a arquitetura segura tem cinco regras:
- Separar identificação de indicador desde a coleta, em bases distintas, não no relatório final
- Agregar antes de armazenar, sempre que o indicador permitir
- Definir o mínimo de participantes por corte e bloquear a publicação abaixo dele no próprio sistema
- Registrar quem autorizou participar, com finalidade declarada de uso agregado
- Não guardar a chave de reversão quando o uso for exclusivamente agregado
A quinta regra é a que transforma pseudonimização em anonimização de verdade. Enquanto a chave existe, o dado é pessoal, e quem tem a chave responde por ela.
Vale notar que participar de um comparativo é, para a empresa participante, uma decisão com contrapartida clara: ela cede indicador próprio e recebe o do mercado. Esse desenho se sustenta melhor com autorização explícita e finalidade declarada do que com justificativa construída depois.
Erros que anulam o esforço
- Guardar a chave junto com a base agregada. Reverte tudo.
- Publicar corte estreito. Cidade pequena mais nicho específico mais porte revela o participante.
- Confiar em mascaramento. Parte do telefone oculta não anonimiza.
- Reutilizar o código em outra base. O mesmo identificador em dois lugares permite cruzar e reidentificar.
- Chamar de anônimo o que é apenas pseudônimo. O risco é afirmar à ANPD que a lei não se aplica quando ela se aplica.
Termos relacionados
LGPD · Base legal · Titular dos dados · ANPD · Segmentação de público
Onde aprofundar
O verbete de KPI cobre a escolha dos indicadores que fazem sentido acompanhar em uma operação de mensagens.
No Azallon Dispara PRO, os relatórios tratam dados da própria operação do cliente, sem cruzamento entre bases de clientes diferentes.
Este verbete explica conceitos da Lei 13.709/2018, consultada em outubro de 2026, e não substitui orientação jurídica para o seu caso concreto. O piso de participantes por corte é recomendação estatística, não exigência legal expressa.