Medir sem expor ninguém: grupos pequenos e agregação mínima

Pontos-Chave sobre Medir Sem Expor Ninguém

• Número agregado não é, automaticamente, número anônimo. Em recortes pequenos, "uma criança de 9 anos, no bairro X, no serviço Y" aponta para uma pessoa específica, mesmo sem nome.
• Defina um piso mínimo de pessoas por recorte e suprima (oculte ou agrupe) os valores abaixo dele. Quanto vale esse piso é decisão da ONG, com apoio de especialista em proteção de dados.
• Suprimir uma célula pode não bastar. Se o total e as outras células aparecem, a subtração revela o valor escondido. É preciso suprimir também uma segunda célula (supressão complementar).
• Território, idade e serviço combinados reidentificam. Cada dado isolado parece inofensivo; juntos, formam uma impressão digital.
• Para o financiador, entregue recortes sem texto livre. Observações em texto são a maior fonte de vazamento acidental de identidade.

O Problema: Agregar Não Basta

Uma ONG que atende crianças de 6 a 14 anos prepara o relatório trimestral para o financiador. Para mostrar o alcance, monta uma tabela por bairro, faixa etária e tipo de serviço. Parece seguro: não há nomes, não há documentos. Mas uma das linhas diz: "Bairro Y, 13 a 14 anos, acompanhamento psicossocial: 1".

Qualquer pessoa que conheça o bairro, ou que trabalhe em uma escola ou unidade de saúde da região, pode adivinhar de quem se trata. O dado, que era um número, tornou-se um retrato. E o tipo de serviço (acompanhamento psicossocial) é informação sensível por natureza.

Esse fenômeno tem nome na área de proteção de dados: reidentificação. Os dados deixam de ser anônimos quando alguém consegue, com meios razoáveis, ligar o registro a uma pessoa. A lei brasileira trata disso de forma direta, como veremos adiante.

Este texto é sobre o lado prático: como a ONG continua medindo e prestando contas sem expor ninguém. Ele complementa o que já foi dito sobre análise de dados e tomada de decisão, sobre a ética no uso de dados de crianças e adolescentes e sobre proteção de dados sensíveis das famílias atendidas.

Piso Mínimo de Pessoas por Recorte

A prática mais usada para reduzir o risco é estabelecer uma regra simples: nenhum valor é divulgado se o recorte tiver menos do que N pessoas. Esse N é o piso mínimo.

Qual o valor de N?

Não existe um número certo, único e válido para todas as situações. Quanto mais sensível o dado (saúde, violência, deficiência, situação de acolhimento), quanto menor o território e quanto mais vulnerável o público (crianças e adolescentes), maior costuma ser o cuidado necessário. Por isso:

• O piso é uma decisão da ONG, registrada em política interna e aprovada pela direção.
• Vale buscar o apoio de um especialista em proteção de dados (o encarregado, quando houver, ou uma consultoria jurídica) para calibrar o valor ao contexto.
• Valores diferentes podem valer para dados diferentes. O piso para "participou de oficina de música" pode ser menor que o de "recebeu acompanhamento por violência doméstica".
• Revise o piso quando o público, o território ou o tipo de relatório mudar.

Como exemplo meramente ilustrativo, uma ONG poderia decidir que nenhum recorte com menos de cinco pessoas é divulgado em relatórios externos. Esse número é apenas um exemplo para explicar o mecanismo; não é uma regra legal nem uma recomendação universal.

O que fazer com o recorte abaixo do piso

Há três saídas comuns:

1. Suprimir: exibir "n < piso" ou "dado omitido" no lugar do valor.
2. Agrupar: juntar categorias para atingir o piso (faixas etárias mais amplas, bairros vizinhos agrupados em uma região, tipos de serviço agrupados em categorias).
3. Ampliar o período: somar semestres ou anos, quando a análise permitir.

A escolha depende do que o relatório precisa mostrar. Em geral, agrupar preserva mais informação do que suprimir.

Supressão Complementar: Quando a Subtração Revela o Segredo

Imagine esta tabela (números fictícios), com piso ilustrativo de 5:

Faixa etária	Atendidos
6 a 8 anos	22
9 a 11 anos	31
12 a 14 anos	3 (suprimido)
Total	56

Mesmo que a ONG escreva "suprimido" na última linha, basta subtrair: 56 − 22 − 31 = 3. O valor escondido foi descoberto.

A solução é a supressão complementar: ocultar também outra célula (ou o total) para que a conta não feche. Por exemplo, ocultar também a faixa de 6 a 8 anos, de forma que haja duas incógnitas para uma só equação. Ou agrupar "9 a 14 anos" em uma única linha, o que evita o problema na origem.

O mesmo vale para tabelas cruzadas, em que os totais de linhas e de colunas são mostrados. Um valor pequeno oculto no meio de uma tabela com totais é, quase sempre, recuperável. Antes de enviar o relatório, vale fazer o teste: "consigo descobrir o valor escondido somando e subtraindo o que está na página?" Se sim, falta supressão complementar ou agrupamento.

Outro cuidado relacionado: relatórios sucessivos. Se em março a ONG divulga "28 crianças" e em abril "27 crianças", e informa que uma criança foi desligada por motivo de saúde, a pessoa identificada pelo contexto pode ser inferida. A comparação entre divulgações também é uma forma de reidentificação.

Território, Idade e Serviço: A Combinação Que Identifica

Cada atributo, sozinho, parece inofensivo. Combinados, tornam-se únicos. Considere uma criança de 9 anos que mora em um bairro pequeno, frequenta o serviço de acompanhamento e é a única com uma determinada condição. Basta cruzar três campos para que o "grupo" seja um só.

Os atributos que mais frequentemente, em combinação, apontam para uma pessoa:

Tipo de dado	Exemplo
Território	Bairro, rua, comunidade, escola de origem
Idade ou data	Idade exata, data de entrada ou de desligamento
Serviço ou condição	Tipo de atendimento, encaminhamento, deficiência, situação familiar
Composição familiar	Número de irmãos, arranjo familiar
Datas e eventos	"Desligado em 12 de março", "atendido na semana da enchente"

Algumas medidas que reduzem o risco sem destruir a utilidade do relatório:

• Use faixas em vez de valores exatos (faixa etária, e não idade; trimestre, e não dia).
• Use territórios maiores quando o bairro for pequeno (região, distrito ou município).
• Evite cruzar mais de dois atributos em um mesmo quadro externo.
• Revise combinações raras: se um cruzamento tem poucos casos, trate-o como candidato a supressão ou agrupamento.
• Trate de modo especial os serviços sensíveis: acompanhamento psicossocial, medidas de proteção, saúde, violência.

Para dados de crianças e adolescentes, o cuidado é redobrado. O Estatuto da Criança e do Adolescente, em seu art. 17, trata da preservação da imagem e da identidade, e a LGPD, em seu art. 14, dedica regime próprio ao tratamento desses dados, sempre no melhor interesse da criança. O texto sobre dados de crianças e adolescentes em OSCs detalha esses marcos.

O Que a LGPD Diz (e Não Diz) Sobre Isso

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) é a referência. Dois pontos importam aqui, e o jurídico ou o encarregado devem ser consultados para a aplicação ao caso concreto.

Art. 12: anonimização tem condição

O art. 12 estabelece que dados anonimizados não são considerados dados pessoais, salvo quando o processo de anonimização for revertido ou quando, com esforços razoáveis, puder ser revertido. Na prática: se uma pessoa com conhecimento local consegue, com esforço razoável, descobrir quem é, o dado não está anonimizado do ponto de vista da lei, e continua sujeito às regras de proteção. Por isso "tiramos o nome" não é suficiente como garantia.

Art. 6º, III: necessidade

Entre os princípios do art. 6º, o inciso III trata da necessidade: o tratamento deve se limitar ao mínimo necessário para atingir suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos. Isso vale para o que a ONG coleta e para o que ela divulga. Se um relatório pode cumprir seu objetivo com a faixa etária, não há razão para mostrar a idade exata. Se um indicador pode ser apresentado por município, o bairro é excesso.

Coleta excessiva

O princípio da necessidade também vale na entrada. A ONG que coleta mais dados pessoais do que precisa cria um risco desnecessário: quanto mais campos existem, mais combinações possíveis, e mais difícil é agregar com segurança. Antes de acrescentar um campo ao cadastro "porque pode servir", pergunte: que indicador ou decisão depende dele? Se a resposta for vaga, talvez o campo não deva existir.

Recortes para Financiadores: Sem Texto Livre

Financiadores e parceiros pedem relatórios e, às vezes, "casos ilustrativos". O melhor caminho para equilibrar prestação de contas e privacidade:

Entregue agregados estruturados

Tabelas e gráficos com categorias definidas, sem campo aberto. As categorias são as da ficha do indicador (veja como definir um indicador completo).

Evite exportar campos de texto livre

Campos de observação, evolução ou relato têm o hábito de conter nomes, apelidos, endereços, escolas, diagnósticos e circunstâncias. Mesmo quando o campo foi pensado para uso interno, uma exportação "completa" leva tudo. Regras práticas:

• Não inclua texto livre em arquivos enviados a terceiros.
• Não copie trechos de prontuário em relatórios. Se um relato é indispensável, reescreva-o de modo que ninguém reconheça a pessoa, e mantenha a autorização quando for o caso.
• Cuidado com depoimentos e fotos. O texto sobre relatório para doadores sem expor pessoas trata de histórias com autorização.

Combine com o financiador o que será entregue

Se o instrumento da parceria exigir dados individualizados (lista nominal, por exemplo), confirme no instrumento aplicável o que é obrigatório, a quem os dados são entregues, por qual canal e com que finalidade. Dados individualizados enviados por obrigação seguem uma lógica; relatórios públicos seguem outra. Em caso de dúvida, o jurídico ou o encarregado decide.

Documente o que foi entregue

Guarde o arquivo enviado, a data e a regra de agregação aplicada (por exemplo, o piso adotado). Se alguém questionar, a ONG consegue demonstrar o cuidado.

Exemplo Ilustrativo: De um Relatório Arriscado para um Relatório Seguro

Uma ONG de contraturno tem 56 crianças e quer enviar ao financiador o perfil do público.

Versão arriscada (a evitar):

Bairro	Idade	Serviço	Atendidos
Vila Nova	13	Acompanhamento psicossocial	1
Vila Nova	9	Reforço escolar	2
Centro	11	Oficina de música	14

Mais uma coluna de "observações", com frases como "mãe relata dificuldades após a mudança de escola".

Versão revisada:

Região	Faixa etária	Serviço (categoria)	Atendidos
Zona Norte	9 a 14 anos	Serviços de acompanhamento (todas as modalidades)	12
Zona Norte	9 a 14 anos	Oficinas e reforço	18
Centro	9 a 14 anos	Oficinas e reforço	26

O que mudou: território agregado em regiões, faixas etárias maiores, serviços agrupados em categorias, nenhum valor abaixo do piso adotado, nenhuma coluna de observações. O financiador continua vendo alcance e perfil. A conta de subtração não revela ninguém, porque nenhum recorte foi omitido: foi agrupado.

Antes de enviar, a coordenadora fez o teste de lógica: tentou descobrir, somando e subtraindo, algum valor pequeno. Também verificou se o relatório do trimestre anterior, comparado a este, permitia inferir a saída de alguém específico. Só então o arquivo foi enviado, e a ONG guardou uma cópia com a data e a regra aplicada.

Checklist de Agregação Mínima

• A ONG definiu, por escrito, um piso mínimo de pessoas por recorte (com apoio de especialista em proteção de dados)?
• Valores abaixo do piso são suprimidos ou agrupados?
• Foi feito o teste de subtração (totais e células visíveis revelam algum valor oculto)?
• Há supressão complementar onde necessário?
• Combinações de território, idade e serviço foram revisadas?
• Faixas foram usadas em vez de idades e datas exatas?
• Serviços sensíveis foram agrupados em categorias?
• O arquivo para terceiros não contém texto livre, nomes ou documentos?
• Relatórios sucessivos foram comparados para evitar inferência por diferença?
• A ONG coleta apenas o que precisa (necessidade) e sabe para que indicador cada campo serve?
• O arquivo enviado e a regra aplicada ficaram arquivados?

Perguntas Frequentes

Se não há nomes no relatório, os dados já são anônimos?

Não necessariamente. A LGPD (art. 12) considera que dados anonimizados deixam de ser tratados como anônimos quando o processo de anonimização pode ser revertido, inclusive com esforços razoáveis. Em recortes pequenos, a combinação de território, idade e serviço pode apontar para uma pessoa, mesmo sem nome.

Qual o número mínimo de pessoas por recorte?

Não há um número certo para todos os casos. Depende da sensibilidade do dado, do tamanho do território e do público. A decisão cabe à ONG, registrada em política interna, com apoio de especialista em proteção de dados. Qualquer número citado em exemplos é só ilustração.

O financiador exige a lista nominal. O que faço?

Confirme no instrumento aplicável o que é obrigatório, a finalidade, o canal de entrega e quem terá acesso. Dados individualizados entregues por obrigação devem ser limitados ao necessário e protegidos. Em caso de dúvida, consulte o jurídico ou o encarregado antes de enviar.

Posso mostrar histórias de atendidos nos relatórios?

Pode, com cuidado e autorização adequada, e de forma que a pessoa não seja reconhecida quando a autorização não existir. No caso de crianças e adolescentes, o cuidado é redobrado. Veja os textos sobre dados de crianças e adolescentes e sobre relatórios para doadores.

O que é supressão complementar?

É ocultar uma segunda célula (ou agrupar categorias) quando esconder apenas uma não impede que o valor seja descoberto por subtração dos totais. É o que evita que "56 − 22 − 31" revele o 3 que foi suprimido.

Isso vale para ONGs pequenas, que têm poucas pessoas atendidas?

Vale ainda mais. Quanto menor o grupo, maior o risco de identificação. Nesses casos, prefira relatar em faixas amplas, em números absolutos agregados em categorias, e evite recortes por bairro ou por serviço específico quando houver poucos casos.

Conclusão

Medir resultados e proteger pessoas não são objetivos opostos. A ONG pode continuar mostrando alcance, perfil e resultado, desde que trate o relatório como um documento que sai das suas mãos: com um piso mínimo por recorte, supressão e agrupamento onde necessário, cuidado com a subtração de totais, atenção às combinações de território, idade e serviço, e sem texto livre. Colete só o que precisa, defina o piso com apoio de quem entende de proteção de dados e guarde o registro do que foi entregue. Esse cuidado é parte da confiança que a ONG constrói com as famílias e com quem a financia.

---

Quer organizar dados de atendimento com controle de acesso e relatórios que respeitam a privacidade? Converse com a equipe do Nexus Social e tire suas dúvidas.

Saiba mais sobre o Nexus Social e a gestão integrada para organizações sociais.

---

Fontes e Referências

• Lei nº 13.709/2018 (LGPD) — Planalto — Art. 6º, III (necessidade), art. 12 (dados anonimizados e reversão com esforços razoáveis) e art. 14 (crianças e adolescentes)
• Lei nº 8.069/1990 (ECA) — Planalto — Art. 17 (preservação da imagem e da identidade)
• O piso mínimo citado como exemplo é meramente ilustrativo; a definição do valor adequado deve ser feita pela ONG com apoio de especialista em proteção de dados