Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais, LGPD), Dados Anonimizados e Estudos em Saúde Pública (Arts. 12 e 13)

Olá, querido(a) aluno(a)!

Neste artigo vamos estudar os arts. 12 e 13 da Lei nº 13.709/2018 (LGPD), dispositivos fundamentais para compreender o tratamento jurídico dos dados anonimizados e a utilização de dados pessoais em estudos de saúde pública.

O art. 12 trata dos dados anonimizados, estabelecendo quando eles deixam de ser considerados dados pessoais para fins da LGPD e em quais situações podem voltar a ser tratados como dados pessoais. Esse ponto é muito importante para concursos, pois a banca costuma cobrar a diferença entre anonimização, pseudonimização e possibilidade de reversão do processo.

Já o art. 13 disciplina o tratamento de dados pessoais para estudos em saúde pública, especialmente por órgãos de pesquisa. O dispositivo busca equilibrar dois valores relevantes: de um lado, a proteção da privacidade e dos dados pessoais; de outro, a necessidade de produzir conhecimento científico e estatístico para formulação de políticas públicas e melhoria da saúde coletiva.

1. Dados anonimizados e exclusão do conceito de dado pessoal

O caput do art. 12 estabelece que os dados anonimizados não serão considerados dados pessoais para os fins da LGPD, salvo quando o processo de anonimização puder ser revertido, utilizando exclusivamente meios próprios, ou quando, com esforços razoáveis, puder ser revertido.

A ideia central é que, se o dado não permite identificar uma pessoa natural, direta ou indiretamente, ele deixa de receber o tratamento jurídico de dado pessoal. No entanto, essa exclusão depende da efetividade da anonimização. Se for possível reidentificar o titular, o dado não deve ser tratado como verdadeiramente anonimizado.

Exemplo: uma universidade divulga estatísticas gerais indicando que 62% dos participantes de uma pesquisa utilizam serviços digitais bancários, sem apresentar nomes, CPFs, endereços, identificadores ou combinações que permitam descobrir quem são os participantes. Nesse caso, os dados divulgados podem ser considerados anonimizados.

Exemplo contrário: uma base de dados remove nomes e CPFs, mas mantém idade exata, cidade pequena, profissão específica e histórico de atendimento raro. Se esses elementos permitirem reidentificar uma pessoa com esforços razoáveis, não se estará diante de anonimização efetiva.

Para concursos, memorize a lógica: dado anonimizado não é considerado dado pessoal, mas essa condição pode ser afastada se houver reversão ou possibilidade razoável de reversão.

2. Reversão da anonimização por meios próprios

O art. 12 menciona a hipótese em que o processo de anonimização pode ser revertido utilizando exclusivamente meios próprios. Isso ocorre quando o próprio agente de tratamento possui meios técnicos, informações auxiliares ou chaves de associação que permitem reidentificar os titulares.

Exemplo: uma empresa substitui os nomes dos clientes por códigos numéricos em uma planilha, mas mantém, em outro sistema interno, uma tabela que associa cada código ao respectivo cliente. Ainda que a primeira planilha pareça anonimizada, a empresa consegue reverter o processo com seus próprios meios.

Outro exemplo: um hospital remove o nome dos pacientes de uma base de pesquisa, mas mantém prontuário, número de atendimento e chave interna capaz de reconectar cada registro ao paciente original. Nesse caso, o tratamento ainda deve ser analisado com cautela, pois a reidentificação é possível internamente.

Em prova, cuidado com alternativas que afirmem que a simples retirada do nome transforma automaticamente o dado em anonimizado. A anonimização exige impossibilidade prática de identificação, não apenas supressão de identificadores diretos.

3. Reversão da anonimização com esforços razoáveis

O art. 12 também prevê que os dados anonimizados poderão ser considerados dados pessoais quando, com esforços razoáveis, o processo de anonimização puder ser revertido.

A expressão “esforços razoáveis” exige análise do contexto. Deve-se considerar os meios técnicos disponíveis, o custo, o tempo, as tecnologias existentes e a possibilidade de cruzamento com outras bases de dados.

Exemplo: uma base pública contém idade, bairro, cargo público, data de posse e unidade de lotação. Embora não traga o nome do servidor, o cruzamento com informações disponíveis em portais oficiais pode permitir a identificação do titular. Se essa reidentificação puder ser feita com esforço razoável, a base não deve ser tratada como plenamente anonimizada.

Outro exemplo: uma base de mobilidade urbana remove nomes, mas mantém trajetos diários muito específicos entre residência, trabalho e academia. A depender do contexto, esses padrões podem permitir identificar pessoas determinadas.

Atenção: anonimização é uma avaliação técnica e contextual. O que hoje parece irreversível pode tornar-se reversível com avanço tecnológico ou com acesso a novas bases de dados.

4. Critérios objetivos para avaliar a razoabilidade da reversão

O § 1º do art. 12 determina que a avaliação da reversibilidade deve considerar fatores objetivos, como custo e tempo necessários para reverter o processo de anonimização, de acordo com as tecnologias disponíveis, e a utilização exclusiva de meios próprios.

Esse dispositivo mostra que a LGPD não exige uma impossibilidade absoluta e metafísica de reidentificação. A análise é prática, técnica e contextual.

Exemplo: se a reidentificação de uma base exigisse investimento desproporcional, tecnologia inexistente para o agente e prazo incompatível com a finalidade do tratamento, pode haver argumento de que a reversão não é razoável.

Outro exemplo: se a reidentificação puder ser feita por meio de simples cruzamento com uma tabela interna mantida pelo próprio controlador, a reversão é razoável e o dado não deve ser tratado como anonimizado.

Para concursos, associe esse ponto aos critérios de custo, tempo, tecnologias disponíveis e meios próprios. Esses elementos aparecem na literalidade da lei e podem ser cobrados em questões objetivas.

5. Pseudonimização e possibilidade de associação indireta

O § 4º do art. 13 conceitua pseudonimização como o tratamento por meio do qual um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo, senão pelo uso de informação adicional mantida separadamente pelo controlador em ambiente controlado e seguro.

Embora esse conceito apareça no art. 13, ele dialoga diretamente com o art. 12, pois ajuda a diferenciar pseudonimização e anonimização.

Na pseudonimização, a identificação direta é substituída por códigos, chaves ou identificadores alternativos. No entanto, existe uma informação adicional, mantida separadamente, que permite reconectar o dado ao titular.

Exemplo: em uma pesquisa clínica, os nomes dos participantes são substituídos por códigos, como P001, P002 e P003. A chave que associa cada código ao respectivo participante é mantida separadamente, em ambiente seguro, sob controle restrito. Isso é pseudonimização, não anonimização plena.

Outro exemplo: uma empresa substitui o CPF de usuários por identificadores aleatórios em uma base analítica, mas mantém tabela separada que permite recuperar o CPF original em caso de necessidade legítima. Também se trata de pseudonimização.

Para prova, a diferença é essencial: dado anonimizado não permite reidentificação com esforços razoáveis; dado pseudonimizado pode ser reidentificado mediante informação adicional mantida separadamente.

6. Dados utilizados para formação de perfil comportamental

O § 2º do art. 12 estabelece que poderão ser igualmente considerados como dados pessoais, para fins da LGPD, aqueles utilizados para formação do perfil comportamental de determinada pessoa natural, se identificada.

Esse dispositivo é muito relevante em ambientes digitais, nos quais muitas informações são utilizadas para inferir preferências, hábitos, tendências, padrões de consumo ou comportamento.

Exemplo: uma plataforma de streaming utiliza histórico de visualizações, horários de acesso e preferências de gênero para formar perfil de consumo de usuário identificado. Esses dados devem ser tratados como dados pessoais.

Outro exemplo: uma loja virtual cria perfil comportamental de cliente identificado com base em buscas, produtos visualizados, compras anteriores e itens abandonados no carrinho.

A banca pode tentar afirmar que dados comportamentais não são dados pessoais por não conterem CPF ou nome. Essa afirmação pode estar incorreta. Se o perfil estiver associado a pessoa natural identificada ou identificável, aplica-se a LGPD.

7. Autoridade nacional e padrões de anonimização

O § 3º do art. 12 prevê que a autoridade nacional poderá dispor sobre padrões e técnicas utilizados em processos de anonimização e realizar verificações acerca de sua segurança, ouvido o Conselho Nacional de Proteção de Dados Pessoais.

Esse dispositivo atribui papel regulatório à Autoridade Nacional de Proteção de Dados (ANPD), permitindo que ela estabeleça orientações técnicas e avalie a segurança dos processos de anonimização.

Exemplo: a ANPD pode orientar determinado setor sobre técnicas adequadas para anonimização de bases estatísticas, considerando riscos de reidentificação e boas práticas de segurança.

Outro exemplo: em caso de incidente ou fiscalização, a autoridade pode avaliar se determinada base supostamente anonimizada ainda permite reidentificação dos titulares.

Para concursos, guarde que a anonimização não é apenas decisão unilateral do controlador. A autoridade nacional pode tratar do tema e verificar a segurança dos processos utilizados.

8. Estudos em saúde pública por órgão de pesquisa

O caput do art. 13 estabelece que, na realização de estudos em saúde pública, os órgãos de pesquisa poderão ter acesso a bases de dados pessoais. Esses dados devem ser tratados exclusivamente dentro do órgão e estritamente para a finalidade de realização de estudos e pesquisas.

O dispositivo permite o uso de dados pessoais para fins de pesquisa em saúde pública, mas impõe limites rigorosos. A finalidade deve ser específica, o tratamento deve ocorrer dentro do órgão e a segurança dos dados deve ser preservada.

Exemplo: uma fundação pública de pesquisa acessa dados epidemiológicos para estudar a incidência de determinada doença em regiões do país. O uso deve ficar restrito à finalidade da pesquisa e ocorrer sob controles de segurança.

Outro exemplo: uma universidade realiza estudo sobre cobertura vacinal infantil em determinado período, utilizando dados necessários à análise estatística, sem desviar a base para finalidades comerciais ou administrativas incompatíveis.

Em concursos, observe a expressão “exclusivamente dentro do órgão” e “estritamente para a finalidade de realização de estudos e pesquisas”. São limites relevantes.

9. Ambiente controlado e seguro

O art. 13 exige que os dados acessados por órgãos de pesquisa sejam mantidos em ambiente controlado e seguro, conforme práticas de segurança previstas em regulamento específico.

Essa exigência reforça que a pesquisa com dados pessoais, especialmente em saúde pública, deve observar medidas técnicas e administrativas de proteção.

Exemplo: uma instituição de pesquisa armazena dados de saúde em sistema com controle de acesso, registro de logs, criptografia, segregação de funções e autorização restrita aos pesquisadores envolvidos no projeto.

Outro exemplo: uma base de dados usada para estudo epidemiológico é mantida em servidor institucional protegido, sem download livre por pesquisadores e sem acesso por terceiros não autorizados.

Atenção: o fato de a finalidade ser científica ou pública não elimina o dever de segurança. A LGPD exige salvaguardas compatíveis com a sensibilidade e o risco do tratamento.

10. Anonimização ou pseudonimização sempre que possível

O caput do art. 13 determina que, sempre que possível, devem ser incluídas práticas de anonimização ou pseudonimização dos dados, bem como considerados os devidos padrões éticos relacionados a estudos e pesquisas.

Esse ponto demonstra que a LGPD prefere que pesquisas utilizem dados com menor risco de identificação dos titulares. A anonimização e a pseudonimização funcionam como medidas de redução de risco.

Exemplo: em estudo sobre internações hospitalares, os pesquisadores substituem identificadores diretos por códigos e restringem o acesso à chave de reidentificação, quando a identificação plena não é necessária para a análise.

Outro exemplo: uma pesquisa estatística divulga apenas resultados agregados, como percentuais por faixa etária e região, sem permitir a identificação individual dos participantes.

Em prova, a expressão “sempre que possível” deve ser interpretada corretamente. A lei não exige anonimização absoluta em todo caso, mas impõe sua adoção sempre que viável.

11. Vedação à revelação de dados pessoais na divulgação dos resultados

O § 1º do art. 13 estabelece que a divulgação dos resultados ou de qualquer excerto do estudo ou da pesquisa não poderá revelar dados pessoais.

Isso significa que, ainda que o órgão de pesquisa tenha acesso a dados pessoais durante o estudo, os resultados publicados não podem permitir a identificação dos titulares.

Exemplo: um relatório de pesquisa em saúde pública informa que determinada região apresentou aumento de casos de uma doença, mas não divulga nome, endereço, número de prontuário ou qualquer informação que permita identificar pacientes.

Outro exemplo: um artigo científico apresenta dados agregados sobre perfil epidemiológico, sem expor informações individualizadas de participantes.

Para concursos, memorize: acesso para pesquisa não autoriza divulgação identificável. A publicação dos resultados deve preservar a privacidade dos titulares.

12. Responsabilidade do órgão de pesquisa pela segurança da informação

O § 2º do art. 13 determina que o órgão de pesquisa será responsável pela segurança da informação prevista no caput, não sendo permitida, em circunstância alguma, a transferência dos dados a terceiro.

Esse é um ponto de cobrança literal. A lei atribui responsabilidade ao órgão de pesquisa e veda a transferência dos dados a terceiros.

Exemplo: uma universidade que recebe base de dados para pesquisa em saúde pública não pode repassar a base bruta a empresa privada parceira, ainda que essa empresa alegue interesse científico ou tecnológico.

Outro exemplo: um instituto de pesquisa não pode compartilhar com terceiros a base individualizada de pacientes recebida para estudo, mesmo que o terceiro prometa manter sigilo.

A expressão “em circunstância alguma” é forte e deve ser memorizada. A transferência dos dados a terceiro é vedada no regime do art. 13.

13. Acesso a dados pessoais em pesquisas de saúde pública e regulação pela autoridade nacional

O § 3º do art. 13 prevê que o acesso aos dados tratados nos termos desse artigo será objeto de regulamentação por parte da autoridade nacional e das autoridades da área de saúde e sanitárias, no âmbito de suas competências.

Isso mostra que o tratamento de dados em saúde pública envolve governança regulatória compartilhada. A ANPD atua na proteção de dados, enquanto autoridades de saúde e sanitárias disciplinam aspectos próprios da área.

Exemplo: a ANPD pode estabelecer orientações sobre segurança e minimização de dados, enquanto autoridades sanitárias podem definir regras sobre acesso a bases epidemiológicas necessárias à vigilância em saúde.

Outro exemplo: uma política pública de pesquisa em saúde pode exigir procedimentos técnicos específicos para acesso, armazenamento, auditoria e descarte dos dados.

Para concursos, o ponto relevante é que o acesso não é informal. Ele deve observar regulamentação da autoridade nacional e das autoridades competentes em saúde.

14. Pseudonimização e informação adicional separada

O § 4º do art. 13, ao conceituar pseudonimização, exige que a informação adicional capaz de associar o dado ao indivíduo seja mantida separadamente pelo controlador em ambiente controlado e seguro.

Esse requisito é fundamental. A pseudonimização só reduz riscos quando a chave de identificação não fica livremente acessível junto com a base pseudonimizada.

Exemplo: em pesquisa clínica, a base de análise contém apenas códigos dos participantes. A lista que vincula código e identidade real fica em arquivo separado, criptografado e acessível apenas ao responsável autorizado.

Outro exemplo: em estudo estatístico, dados identificáveis são substituídos por identificadores aleatórios, e a chave de correspondência é protegida com acesso restrito.

A pseudonimização não elimina totalmente o risco de identificação, mas reduz a exposição dos titulares quando adotada de maneira técnica e organizacionalmente adequada.

Conclusão

Os arts. 12 e 13 da LGPD tratam de temas extremamente relevantes para concursos: dados anonimizados, reversibilidade da anonimização, perfil comportamental, pseudonimização e pesquisas em saúde pública.

O art. 12 deixa claro que dados anonimizados não são considerados dados pessoais, salvo quando o processo puder ser revertido por meios próprios ou com esforços razoáveis. A análise deve considerar custo, tempo, tecnologias disponíveis e possibilidade de reidentificação.

O art. 13, por sua vez, disciplina o acesso a bases de dados pessoais por órgãos de pesquisa na realização de estudos em saúde pública, exigindo finalidade estrita, ambiente controlado e seguro, anonimização ou pseudonimização sempre que possível e vedação à transferência de dados a terceiros.

Para fins de prova, guarde a ideia central: anonimizar não é apenas retirar o nome do titular. A anonimização deve impedir a identificação com esforços razoáveis. Quando houver possibilidade de reidentificação, especialmente por informação adicional separada, o tema se aproxima da pseudonimização e exige cuidado jurídico e técnico reforçado.

Referências

BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais. Brasília, DF: Presidência da República, 2018.

BRASIL. Ministério da Gestão e da Inovação em Serviços Públicos. Secretaria de Governo Digital. Cartilha sobre Finalidade e Hipóteses Legais. Brasília, DF: Governo Digital, 2025.

BIONI, Bruno Ricardo. Proteção de dados pessoais: a função e os limites do consentimento. Rio de Janeiro: Forense, 2021.

DONEDA, Danilo. Da privacidade à proteção de dados pessoais. 2. ed. São Paulo: Thomson Reuters Brasil, 2020.

MENDES, Laura Schertel. Privacidade, proteção de dados e defesa do consumidor: linhas gerais de um novo direito fundamental. São Paulo: Saraiva, 2014.

TEPEDINO, Gustavo; FRAZÃO, Ana; OLIVA, Milena Donato. Lei Geral de Proteção de Dados Pessoais e suas repercussões no direito brasileiro. São Paulo: Thomson Reuters Brasil, 2019.

Prof. Jósis Alves

Analista de TI no Supremo Tribunal Federal

Instagram: @josisalvesprof @aprovati