Anonimização e pseudonimização em trabalhos acadêmicos

Use os conceitos corretos em profundidade

Defina se a equipe precisa voltar à identidade. Se existe chave ou possibilidade operacional, trate o conjunto como pseudonimizado.

Anonimização exige avaliação contextual e pode ser comprometida por novas bases ou divulgação detalhada.

Comece pela pergunta operacional: alguém autorizado precisa voltar da resposta para a pessoa? Se precisa corrigir entrevista, acompanhar participante ou retirar dado, haverá chave ou mecanismo equivalente e o conjunto permanece pessoal. Documente essa necessidade e limite seu prazo. Se nenhuma reidentificação é necessária, planeje remoção irreversível considerando recursos razoavelmente disponíveis. Não use anonimizado como sinônimo automático de arquivo sem coluna de nome.

Mapeie identificadores diretos e indiretos

Nome, documento, contato e imagem são diretos; combinação de cargo, local, idade e evento pode identificar indiretamente.

Crie inventário por arquivo e etapa. Metadados, nomes de arquivo e histórico também podem revelar pessoas.

Faça inventário de identificadores por tipo. Diretos incluem nome, voz, fotografia, documento e contato. Indiretos abrangem profissão rara, unidade, data precisa, trajetória e combinação de eventos. Inclua metadados de áudio, propriedades do arquivo, comentários e caminhos de pasta. Para cada elemento, escolha manter, substituir, generalizar ou excluir e registre o impacto analítico. Uma variável útil não deve permanecer apenas porque já foi coletada; sua necessidade precisa estar ligada ao objetivo.

Separe códigos e chaves

Gere códigos sem significado pessoal e mantenha chave em local separado, com acesso mínimo e registro de uso.

Não envie chave e base no mesmo e-mail. Defina quando ela será destruída e quem autoriza reidentificação.

Gere códigos aleatórios ou sequenciais sem incorporar iniciais, nascimento ou setor. Armazene a tabela de correspondência em local diferente, com criptografia quando aplicável e acesso restrito ao responsável designado. Registre consultas à chave e defina destruição. Em colaboração, distribua a base pseudonimizada, não o mapa completo. Teste procedimentos de atualização para impedir que uma correção de contato revele identidade em versões anteriormente compartilhadas.

Reduza detalhe com propósito

Agrupe idades, datas e localidades quando isso não destrói a análise. Remova campos sem função.

Supressão e generalização mudam resultados; registre transformações e valide se conclusões continuam corretas.

Generalize com critérios definidos: datas podem virar mês, idade pode virar faixa e município pode virar região, se o objetivo permitir. Supressão de casos raros e perturbação estatística exigem avaliação do efeito sobre resultados. Compare análises antes e depois e mantenha log. Não publique regra fixa de proteção sem verificar o contexto; cinco pessoas por célula pode ainda ser insuficiente quando informação externa distingue facilmente cada indivíduo.

Proteja falas, imagens e narrativas

Troque nomes em transcrições e retire detalhes incidentais. Paráfrase pode reduzir risco, mas deve preservar sentido e ser declarada.

Voz, rosto e histórias raras identificam. Consentimento específico e avaliação de necessidade são indispensáveis.

Em material qualitativo, retire nomes de terceiros, locais específicos e sequências biográficas reconhecíveis. Decida se uma fala literal é indispensável; paráfrase controlada pode proteger melhor, desde que não distorça e seja informada no método. Áudio e vídeo exigem tratamento próprio, pois timbre, rosto e ambiente identificam. Uma autorização para gravação destinada à transcrição não equivale a permissão para exibir trecho na banca ou internet.

Teste risco antes de divulgar

Tente reconhecer registros usando informação pública plausível e peça revisão independente. Examine células pequenas e cruzamentos.

Não publique base linha a linha porque nomes foram removidos. Compartilhe versão apropriada ao público e à licença.

Promova tentativa estruturada de reidentificação por revisor que conheça apenas informações públicas plausíveis. Ele deve procurar registros únicos, combinações e referências locais. Corrija os casos e repita após montar tabelas, apêndices e exemplos. Considere o público de divulgação: arquivo interno protegido admite risco diferente de base aberta. Guarde resultado da avaliação e as decisões, mas evite documentar publicamente um roteiro que facilite reconhecer participantes.

Relate proteção sem revelar a chave

Explique codificação, acesso, transformação, retenção e limites. Evite detalhar método que facilite ataque ao conjunto.

Revise tabelas, anexos e apresentação oral. A proteção precisa sobreviver ao PDF, repositório e banca.

Escreva a proteção por fases: coleta identificada, codificação, análise, elaboração de citações, compartilhamento e descarte. Informe quem acessou cada versão e quais limitações permaneceram. No PDF, inspecione propriedades, comentários e anexos incorporados. Em apresentações, reveja mapas, fotografias e descrições de caso. Se não for possível garantir anonimato, use o termo confidencialidade, explique salvaguardas e não ofereça ao participante uma promessa tecnicamente falsa.

Construa uma tabela de risco por produto, porque proteção adequada para análise interna pode falhar no depósito público. Para cada saída, liste público, variáveis, granularidade, possibilidade de cruzamento e dano plausível. Uma banca restrita ainda inclui pessoas externas à equipe; um repositório permite busca indefinida; uma apresentação gravada amplia circulação. Escolha versão específica para cada ambiente. Em tabelas, combine supressão primária de células raras com supressão complementar quando totais permitirem deduzir o valor oculto. Em mapas, reduza precisão espacial e considere se pontos correspondem a residências. Em narrativas, altere detalhes não analíticos apenas com regra declarada e sem criar fato falso. Controle chaves de pseudonimização como ativos sensíveis: registre criação, cópias, consultas e destruição. Se participantes pedirem retirada, defina como localizar seus dados antes que a chave seja eliminada e explique o limite posterior. Não use criptografia como sinônimo de anonimização; ela protege acesso, mas dados voltam a ser identificáveis após abertura autorizada. Da mesma forma, hash de identificador previsível pode ser testado por força bruta e funcionar como código, não como anonimato. Consulte suporte técnico quando o risco excede a capacidade da equipe. Faça revisão após qualquer mudança na amostra ou incorporação de variável externa. No texto, diferencie medidas aplicadas de objetivos pretendidos. Em vez de afirmar garantia absoluta, descreva controles e risco residual. Essa precisão respeita participantes, permite avaliação do método e evita promessa que a tecnologia não consegue cumprir.

Quando fornecedores externos transcrevem, hospedam ou processam material, documente quais dados recebem, por quanto tempo e sob quais controles. Envie somente a versão mínima necessária e confirme devolução ou destruição. Uma cláusula genérica de confidencialidade não substitui arquitetura segura. O pesquisador continua responsável por avaliar se a terceirização respeita protocolo, consentimento e política institucional.

Inclua a revisão de identidade no checklist de submissão ao repositório. Verifique nomes nas propriedades, autoria de comentários, caminhos exibidos em capturas e dados incorporados em gráficos. Abra o arquivo final em outro computador e inspecione o pacote exportado. Esse teste simples encontra rastros que não aparecem durante a leitura normal do texto acadêmico.