Questão de Segurança da Informação — NBR ISO/IEC 27701 - Requisitos e Diretrizes — CESPE / CEBRASPE 2025

Anonimização de dados e a LGPD

✅ CERTO. A anonimização é, de fato, uma técnica essencial para proteger informações sensíveis, e sua aplicação durante a transformação de dados — removendo identificadores e geolocalizações exatas — é uma prática alinhada à conformidade com normas de privacidade, como a LGPD. O ponto central é que o dado anonimizado, por não permitir a identificação do titular, deixa de ser considerado dado pessoal, o que o retira do alcance das obrigações da lei.

A anonimização é uma das técnicas de descaracterização de dados previstas na Lei Geral de Proteção de Dados (Lei nº 13.709/2018). O conceito é o de que, após o processo, o dado não possa ser identificado, nem mesmo com esforços razoáveis, quanto ao seu titular. Isso é diferente da pseudonimização, que apenas substitui identificadores por outros, mantendo a possibilidade de reversão e, portanto, mantendo o dado como pessoal. A distinção é crucial: enquanto o dado anonimizado está fora do escopo da LGPD, o pseudonimizado continua sujeito à lei, pois ainda há um vínculo, ainda que indireto, com a pessoa.

Na prática, a anonimização é aplicada em diversas etapas do tratamento de dados. No contexto do enunciado, que menciona dados agrícolas, a remoção de identificadores de produtores e de geolocalizações exatas é um exemplo claro: ao eliminar o nome, CPF ou coordenadas precisas de uma propriedade, o conjunto de dados deixa de permitir a associação a um indivíduo específico. Isso permite que os dados sejam utilizados para análises estatísticas, pesquisas ou compartilhamento, sem expor a privacidade dos envolvidos e em conformidade com a legislação.

A banca explora aqui a confusão entre anonimização e pseudonimização, ou entre anonimização e outras técnicas de proteção, como mascaramento ou criptografia. O candidato que não domina a diferença pode marcar a questão como errada, achando que a anonimização não é suficiente ou que não é aplicada na transformação. No entanto, a afirmativa está correta: a anonimização é uma técnica válida e recomendada para a proteção de dados, e sua aplicação na fase de transformação é uma prática de governança de dados.

Guarde a fronteira entre dado anonimizado e dado pseudonimizado: é exatamente nela que a banca costuma armar a pegadinha. O dado anonimizado não é dado pessoal; o pseudonimizado é.

Item — ✅ CERTO

A afirmativa está correta. A anonimização é uma técnica de descaracterização que visa impedir a identificação do titular dos dados, sendo essencial para a proteção de informações sensíveis. A aplicação durante a transformação dos dados, removendo identificadores e geolocalizações exatas, é uma prática que garante a conformidade com normas de privacidade, como a LGPD. O dado anonimizado, por não permitir a identificação do titular, deixa de ser considerado dado pessoal, conforme a definição legal, e, portanto, não se sujeita às obrigações da lei.

A remoção de identificadores diretos (como nome e CPF) e indiretos (como geolocalização exata) é exatamente o que a técnica busca alcançar. Assim, a afirmativa está em plena conformidade com o conceito legal e com as boas práticas de segurança da informação.

Gabarito: ✅ CERTO.