Anonimização espacial no IBGE: como proteger o sigilo sem perder o valor dosdados geográficos

A produção de estatísticas está cada vez mais associada ao território. Endereços,
coordenadas, setores censitários e imagens permitem compreender onde vivem as
pessoas, onde estão os estabelecimentos e como os fenômenos sociais, econômicos
e ambientais se distribuem. Esse avanço amplia a capacidade de análise, mas
também aumenta o risco de identificação dos informantes. Por isso, a anonimização
espacial aparece expressamente entre os conhecimentos cobrados no processo
seletivo do IBGE de 2026.

A anonimização espacial é o conjunto de técnicas utilizadas para reduzir a
possibilidade de identificar uma pessoa, um domicílio, uma empresa ou uma
propriedade a partir de sua localização geográfica.

Em vez de divulgar a coordenada exata de uma unidade, os dados podem ser
deslocados, agregados, generalizados, suprimidos ou associados a unidades
territoriais maiores. O objetivo é preservar o valor estatístico e analítico da informação
sem revelar a localização individual do informante.

O problema ocorre porque a localização pode funcionar como um identificador. Mesmo
que nomes, CPF e números de telefone sejam retirados da base, uma coordenada
exata pode apontar para uma única residência, fazenda, escola, hospital ou empresa.
Quando essa informação é combinada com mapas, cadastros públicos, imagens de
satélite e outras fontes, torna-se possível realizar a chamada reidentificação por
ligação de dados.

No caso do IBGE, a proteção não decorre apenas da Lei Geral de Proteção de Dados.
A Lei nº 5.534/1968 assegura o sigilo das informações individuais prestadas para fins
estatísticos, abrangendo pessoas físicas e jurídicas. O próprio Instituto esclarece que
as informações fornecidas devem ser usadas exclusivamente para fins estatísticos,
sem servir de prova ou fundamento para procedimentos fiscais, administrativos ou
judiciais contra o informante. Esse compromisso está registrado na página do IBGE
sobre o tratamento de dados pessoais e o sigilo estatístico.

É importante distinguir anonimização de simples remoção de identificadores. Excluir o
nome de uma pessoa é uma forma de desidentificação, mas pode não ser suficiente
para tornar o registro anônimo. Um conjunto formado por idade, profissão, renda e
coordenada residencial pode individualizar alguém, principalmente em áreas pouco
povoadas. A anonimização espacial deve considerar não apenas cada atributo
isoladamente, mas também o risco produzido pela combinação entre eles.

Uma das técnicas mais conhecidas é a agregação espacial. Em vez de divulgar
informações referentes a cada ponto, os dados são reunidos em bairros, setores
censitários, municípios ou células de uma grade. O usuário passa a conhecer o total
ou a distribuição do fenômeno naquela área, mas não consegue visualizar diretamente
a posição de cada unidade pesquisada. Quanto maior a área de agregação, maior
tende a ser a proteção, embora parte do detalhamento geográfico seja perdida.

A Grade Estatística do IBGE é um bom exemplo dessa lógica. No produto relativo ao
Censo Demográfico de 2010, o território foi dividido em células regulares de 200
metros nas áreas urbanas e de um quilômetro nas áreas rurais. Os dados
populacionais foram associados às células, permitindo análises que não dependem
exclusivamente dos limites administrativos. O próprio documento metodológico destaca que a divulgação de estatísticas em áreas pequenas cria um desafio entre a
utilidade das informações e a preservação da confidencialidade. Consulte a
documentação da Grade Estatística do IBGE.

Outra possibilidade é a generalização espacial, que reduz a precisão da localização
divulgada. Uma coordenada pode ser substituída pelo centroide de uma área,
arredondada para diminuir o número de casas decimais ou vinculada apenas à célula
da grade em que se encontra. O dado continua representando a região aproximada do
evento, mas deixa de apontar diretamente para o imóvel, o estabelecimento ou a
propriedade original.

Também existe o deslocamento espacial, conhecido como geomasking. Nessa
técnica, adiciona-se uma perturbação à coordenada verdadeira, transferindo o ponto
para uma posição próxima. O deslocamento pode utilizar direção e distância
aleatórias, respeitar limites territoriais ou impedir que o ponto permaneça
excessivamente próximo da posição original. A configuração precisa ser
cuidadosamente definida, pois um deslocamento pequeno pode não proteger o
informante, enquanto um deslocamento muito grande pode comprometer as análises
espaciais.

Outras técnicas incluem a supressão de células com poucas observações, o
arredondamento controlado, a redução de categorias e a divulgação apenas de
valores em intervalos. Se uma célula contém apenas um estabelecimento
agropecuário, por exemplo, a publicação de informações detalhadas pode revelar
características desse único informante. Nesse caso, o valor pode ser omitido,
combinado com células vizinhas ou apresentado em um nível territorial mais agregado.

Entre as abordagens mais recentes estão a geração de localizações sintéticas e a
aplicação de privacidade diferencial. Os dados sintéticos procuram reproduzir padrões
espaciais relevantes sem corresponder diretamente às unidades reais. Já a
privacidade diferencial introduz ruído matematicamente calibrado para limitar o quanto
a inclusão ou a retirada de um registro altera o resultado divulgado. Essas técnicas
são promissoras, mas exigem planejamento, testes de risco e avaliação da utilidade
dos resultados.

Nenhuma técnica resolve o problema de forma isolada. A anonimização espacial
envolve um equilíbrio entre risco de divulgação e utilidade da informação. Uma
proteção muito fraca pode permitir a identificação do informante; uma transformação
excessiva pode distorcer distâncias, concentrações, áreas de influência e padrões de
autocorrelação espacial. A solução deve considerar a densidade populacional, a
sensibilidade dos atributos, a finalidade da divulgação e as outras bases disponíveis
para cruzamento.

Esse cuidado tornou-se ainda mais importante com o Censo Demográfico de 2022, no
qual o IBGE anunciou a captação das coordenadas de todos os domicílios do país. A
obtenção de localizações precisas amplia as possibilidades de criação de recortes
territoriais e de análise das condições de vida, mas não significa que as coordenadas
individuais possam ser divulgadas sem tratamento. A coleta e a disseminação são
etapas distintas, e a publicação deve respeitar o sigilo estatístico.

A anonimização espacial também depende de governança. O órgão deve identificar os
dados sensíveis, avaliar riscos de reidentificação, controlar o acesso às bases
originais, documentar os métodos aplicados e monitorar novas possibilidades de cruzamento. A Política de Segurança da Informação e Comunicações do IBGE trata o
sigilo estatístico como proteção obrigatória dos dados coletados nas operações
estatísticas e associa a segurança à confidencialidade, integridade e disponibilidade
das informações.

Para as provas, lembre-se de que anonimização espacial não significa
necessariamente apagar toda referência geográfica. Ela significa transformar a
localização de modo que o risco de identificação seja reduzido a um nível aceitável.
Agregação, generalização, deslocamento, supressão e geração de dados sintéticos
são técnicas possíveis, cada uma com impactos diferentes. A banca poderá explorar
especialmente a diferença entre retirar identificadores diretos e proteger atributos
espaciais capazes de permitir a reidentificação.

Assim, a anonimização espacial procura conciliar dois valores essenciais: o direito da
sociedade de acessar estatísticas úteis e o direito do informante à proteção de suas
informações. No contexto do IBGE, ela sustenta a confiança necessária para a
realização de censos e pesquisas. Sem proteção adequada, aumenta o risco de
exposição; sem dados geográficos suficientemente detalhados, perde-se capacidade
de compreender o território. O desafio técnico está justamente em encontrar o ponto
de equilíbrio entre sigilo, precisão e utilidade.