# Medir sem expor ninguém: grupos pequenos e agregação mínima

> Um relatório com números agregados pode, sim, revelar quem é uma criança ou uma família quando o recorte é pequeno demais. Veja como definir um piso mínimo de pessoas por recorte, suprimir células pequenas, evitar a reidentificação por subtração e preparar recortes para financiadores sem texto livre.

- URL: https://blog.nexussocial.com.br/posts/medir-sem-expor-identidade-grupos-pequenos-e-agregacao-minima
- Publicado em: 2026-11-07
- Autor: Equipe Nexus (Blog Nexus Social)
- Palavras-chave: agregação mínima, grupos pequenos, anonimização ONG, supressão de células, reidentificação, LGPD art. 12, relatórios para financiadores, dados de crianças, minimização de dados, privacidade em indicadores

## Pontos-Chave sobre Medir Sem Expor Ninguém

- **Número agregado não é, automaticamente, número anônimo.** Em recortes pequenos, "uma criança de 9 anos, no bairro X, no serviço Y" aponta para uma pessoa específica, mesmo sem nome.
- **Defina um piso mínimo de pessoas por recorte** e suprima (oculte ou agrupe) os valores abaixo dele. Quanto vale esse piso é decisão da ONG, com apoio de especialista em proteção de dados.
- **Suprimir uma célula pode não bastar.** Se o total e as outras células aparecem, a subtração revela o valor escondido. É preciso suprimir também uma segunda célula (supressão complementar).
- **Território, idade e serviço combinados reidentificam.** Cada dado isolado parece inofensivo; juntos, formam uma impressão digital.
- **Para o financiador, entregue recortes sem texto livre.** Observações em texto são a maior fonte de vazamento acidental de identidade.

## O Problema: Agregar Não Basta

Uma ONG que atende crianças de 6 a 14 anos prepara o relatório trimestral para o financiador. Para mostrar o alcance, monta uma tabela por bairro, faixa etária e tipo de serviço. Parece seguro: não há nomes, não há documentos. Mas uma das linhas diz: "Bairro Y, 13 a 14 anos, acompanhamento psicossocial: 1".

Qualquer pessoa que conheça o bairro, ou que trabalhe em uma escola ou unidade de saúde da região, pode adivinhar de quem se trata. O dado, que era um número, tornou-se um **retrato**. E o tipo de serviço (acompanhamento psicossocial) é informação sensível por natureza.

Esse fenômeno tem nome na área de proteção de dados: **reidentificação**. Os dados deixam de ser anônimos quando alguém consegue, com meios razoáveis, ligar o registro a uma pessoa. A lei brasileira trata disso de forma direta, como veremos adiante.

Este texto é sobre o lado prático: como a ONG continua medindo e prestando contas sem expor ninguém. Ele complementa o que já foi dito sobre [análise de dados e tomada de decisão](/posts/analise-dados-tomada-decisao-oscs), sobre a [ética no uso de dados de crianças e adolescentes](/posts/etica-dados-menores-criancas-adolescentes-oscs) e sobre [proteção de dados sensíveis das famílias atendidas](/posts/lgpd-dados-sensiveis-familias-atendidas-oscs).

## Piso Mínimo de Pessoas por Recorte

A prática mais usada para reduzir o risco é estabelecer uma regra simples: **nenhum valor é divulgado se o recorte tiver menos do que N pessoas**. Esse N é o piso mínimo.

### Qual o valor de N?

Não existe um número certo, único e válido para todas as situações. Quanto mais sensível o dado (saúde, violência, deficiência, situação de acolhimento), quanto menor o território e quanto mais vulnerável o público (crianças e adolescentes), maior costuma ser o cuidado necessário. Por isso:

- **O piso é uma decisão da ONG**, registrada em política interna e aprovada pela direção.
- **Vale buscar o apoio de um especialista em proteção de dados** (o encarregado, quando houver, ou uma consultoria jurídica) para calibrar o valor ao contexto.
- **Valores diferentes podem valer para dados diferentes.** O piso para "participou de oficina de música" pode ser menor que o de "recebeu acompanhamento por violência doméstica".
- **Revise o piso** quando o público, o território ou o tipo de relatório mudar.

Como exemplo meramente ilustrativo, uma ONG poderia decidir que nenhum recorte com menos de cinco pessoas é divulgado em relatórios externos. Esse número é apenas um exemplo para explicar o mecanismo; **não é uma regra legal nem uma recomendação universal**.

### O que fazer com o recorte abaixo do piso

Há três saídas comuns:

1. **Suprimir**: exibir "n < piso" ou "dado omitido" no lugar do valor.
2. **Agrupar**: juntar categorias para atingir o piso (faixas etárias mais amplas, bairros vizinhos agrupados em uma região, tipos de serviço agrupados em categorias).
3. **Ampliar o período**: somar semestres ou anos, quando a análise permitir.

A escolha depende do que o relatório precisa mostrar. Em geral, agrupar preserva mais informação do que suprimir.

## Supressão Complementar: Quando a Subtração Revela o Segredo

Imagine esta tabela (números fictícios), com piso ilustrativo de 5:

| Faixa etária | Atendidos |
|---|---|
| 6 a 8 anos | 22 |
| 9 a 11 anos | 31 |
| 12 a 14 anos | 3 (suprimido) |
| **Total** | **56** |

Mesmo que a ONG escreva "suprimido" na última linha, basta subtrair: 56 − 22 − 31 = 3. O valor escondido foi descoberto.

A solução é a **supressão complementar**: ocultar também outra célula (ou o total) para que a conta não feche. Por exemplo, ocultar também a faixa de 6 a 8 anos, de forma que haja duas incógnitas para uma só equação. Ou agrupar "9 a 14 anos" em uma única linha, o que evita o problema na origem.

O mesmo vale para tabelas cruzadas, em que os totais de linhas e de colunas são mostrados. Um valor pequeno oculto no meio de uma tabela com totais é, quase sempre, recuperável. Antes de enviar o relatório, vale fazer o teste: **"consigo descobrir o valor escondido somando e subtraindo o que está na página?"** Se sim, falta supressão complementar ou agrupamento.

Outro cuidado relacionado: **relatórios sucessivos**. Se em março a ONG divulga "28 crianças" e em abril "27 crianças", e informa que uma criança foi desligada por motivo de saúde, a pessoa identificada pelo contexto pode ser inferida. A comparação entre divulgações também é uma forma de reidentificação.

## Território, Idade e Serviço: A Combinação Que Identifica

Cada atributo, sozinho, parece inofensivo. Combinados, tornam-se únicos. Considere uma criança de 9 anos que mora em um bairro pequeno, frequenta o serviço de acompanhamento e é a única com uma determinada condição. Basta cruzar três campos para que o "grupo" seja um só.

Os atributos que mais frequentemente, em combinação, apontam para uma pessoa:

| Tipo de dado | Exemplo |
|---|---|
| **Território** | Bairro, rua, comunidade, escola de origem |
| **Idade ou data** | Idade exata, data de entrada ou de desligamento |
| **Serviço ou condição** | Tipo de atendimento, encaminhamento, deficiência, situação familiar |
| **Composição familiar** | Número de irmãos, arranjo familiar |
| **Datas e eventos** | "Desligado em 12 de março", "atendido na semana da enchente" |

Algumas medidas que reduzem o risco sem destruir a utilidade do relatório:

- **Use faixas** em vez de valores exatos (faixa etária, e não idade; trimestre, e não dia).
- **Use territórios maiores** quando o bairro for pequeno (região, distrito ou município).
- **Evite cruzar mais de dois atributos** em um mesmo quadro externo.
- **Revise combinações raras**: se um cruzamento tem poucos casos, trate-o como candidato a supressão ou agrupamento.
- **Trate de modo especial os serviços sensíveis**: acompanhamento psicossocial, medidas de proteção, saúde, violência.

Para dados de crianças e adolescentes, o cuidado é redobrado. O Estatuto da Criança e do Adolescente, em seu art. 17, trata da preservação da imagem e da identidade, e a LGPD, em seu art. 14, dedica regime próprio ao tratamento desses dados, sempre no melhor interesse da criança. O texto sobre [dados de crianças e adolescentes em OSCs](/posts/etica-dados-menores-criancas-adolescentes-oscs) detalha esses marcos.

## O Que a LGPD Diz (e Não Diz) Sobre Isso

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) é a referência. Dois pontos importam aqui, e o jurídico ou o encarregado devem ser consultados para a aplicação ao caso concreto.

### Art. 12: anonimização tem condição

O art. 12 estabelece que dados anonimizados não são considerados dados pessoais, **salvo** quando o processo de anonimização for revertido ou quando, com esforços razoáveis, puder ser revertido. Na prática: se uma pessoa com conhecimento local consegue, com esforço razoável, descobrir quem é, o dado **não está anonimizado** do ponto de vista da lei, e continua sujeito às regras de proteção. Por isso "tiramos o nome" não é suficiente como garantia.

### Art. 6º, III: necessidade

Entre os princípios do art. 6º, o inciso III trata da **necessidade**: o tratamento deve se limitar ao mínimo necessário para atingir suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos. Isso vale para o que a ONG **coleta** e para o que ela **divulga**. Se um relatório pode cumprir seu objetivo com a faixa etária, não há razão para mostrar a idade exata. Se um indicador pode ser apresentado por município, o bairro é excesso.

### Coleta excessiva

O princípio da necessidade também vale na entrada. A ONG que coleta mais dados pessoais do que precisa cria um risco desnecessário: quanto mais campos existem, mais combinações possíveis, e mais difícil é agregar com segurança. Antes de acrescentar um campo ao cadastro "porque pode servir", pergunte: **que indicador ou decisão depende dele?** Se a resposta for vaga, talvez o campo não deva existir.

## Recortes para Financiadores: Sem Texto Livre

Financiadores e parceiros pedem relatórios e, às vezes, "casos ilustrativos". O melhor caminho para equilibrar prestação de contas e privacidade:

### Entregue agregados estruturados

Tabelas e gráficos com categorias definidas, sem campo aberto. As categorias são as da ficha do indicador (veja [como definir um indicador completo](/posts/indicador-completo-definicao-fonte-denominador-e-direcao)).

### Evite exportar campos de texto livre

Campos de observação, evolução ou relato têm o hábito de conter nomes, apelidos, endereços, escolas, diagnósticos e circunstâncias. Mesmo quando o campo foi pensado para uso interno, uma exportação "completa" leva tudo. Regras práticas:

- **Não inclua texto livre em arquivos enviados a terceiros.**
- **Não copie trechos de prontuário em relatórios.** Se um relato é indispensável, reescreva-o de modo que ninguém reconheça a pessoa, e mantenha a autorização quando for o caso.
- **Cuidado com depoimentos e fotos.** O texto sobre [relatório para doadores sem expor pessoas](/posts/relatorio-para-doadores-o-que-mostrar-resultado-transparencia) trata de histórias com autorização.

### Combine com o financiador o que será entregue

Se o instrumento da parceria exigir dados individualizados (lista nominal, por exemplo), confirme no instrumento aplicável o que é obrigatório, a quem os dados são entregues, por qual canal e com que finalidade. Dados individualizados enviados por obrigação seguem uma lógica; relatórios públicos seguem outra. Em caso de dúvida, o jurídico ou o encarregado decide.

### Documente o que foi entregue

Guarde o arquivo enviado, a data e a regra de agregação aplicada (por exemplo, o piso adotado). Se alguém questionar, a ONG consegue demonstrar o cuidado. A [matriz de evidências por projeto](/posts/evidencia-na-origem-matriz-de-evidencias-por-projeto) é um bom lugar para guardar esse registro.

## Exemplo Ilustrativo: De um Relatório Arriscado para um Relatório Seguro

Uma ONG de contraturno tem 56 crianças (cada uma contada uma só vez, como mostra o texto sobre [contar pessoas sem dupla contagem](/posts/contar-pessoas-atendimentos-familias-sem-dupla-contagem)) e quer enviar ao financiador o perfil do público.

**Versão arriscada (a evitar):**

| Bairro | Idade | Serviço | Atendidos |
|---|---|---|---|
| Vila Nova | 13 | Acompanhamento psicossocial | 1 |
| Vila Nova | 9 | Reforço escolar | 2 |
| Centro | 11 | Oficina de música | 14 |

Mais uma coluna de "observações", com frases como "mãe relata dificuldades após a mudança de escola".

**Versão revisada:**

| Região | Faixa etária | Serviço (categoria) | Atendidos |
|---|---|---|---|
| Zona Norte | 9 a 14 anos | Serviços de acompanhamento (todas as modalidades) | 12 |
| Zona Norte | 9 a 14 anos | Oficinas e reforço | 18 |
| Centro | 9 a 14 anos | Oficinas e reforço | 26 |

O que mudou: território agregado em regiões, faixas etárias maiores, serviços agrupados em categorias, nenhum valor abaixo do piso adotado, nenhuma coluna de observações. O financiador continua vendo alcance e perfil. A conta de subtração não revela ninguém, porque nenhum recorte foi omitido: foi agrupado.

Antes de enviar, a coordenadora fez o teste de lógica: tentou descobrir, somando e subtraindo, algum valor pequeno. Também verificou se o relatório do trimestre anterior, comparado a este, permitia inferir a saída de alguém específico. Só então o arquivo foi enviado, e a ONG guardou uma cópia com a data e a regra aplicada.

## Checklist de Agregação Mínima

- [ ] A ONG definiu, por escrito, um piso mínimo de pessoas por recorte (com apoio de especialista em proteção de dados)?
- [ ] Valores abaixo do piso são suprimidos ou agrupados?
- [ ] Foi feito o teste de subtração (totais e células visíveis revelam algum valor oculto)?
- [ ] Há supressão complementar onde necessário?
- [ ] Combinações de território, idade e serviço foram revisadas?
- [ ] Faixas foram usadas em vez de idades e datas exatas?
- [ ] Serviços sensíveis foram agrupados em categorias?
- [ ] O arquivo para terceiros não contém texto livre, nomes ou documentos?
- [ ] Relatórios sucessivos foram comparados para evitar inferência por diferença?
- [ ] A ONG coleta apenas o que precisa (necessidade) e sabe para que indicador cada campo serve?
- [ ] O arquivo enviado e a regra aplicada ficaram arquivados?

## Perguntas Frequentes

### Se não há nomes no relatório, os dados já são anônimos?

Não necessariamente. A LGPD (art. 12) considera que dados anonimizados deixam de ser tratados como anônimos quando o processo de anonimização pode ser revertido, inclusive com esforços razoáveis. Em recortes pequenos, a combinação de território, idade e serviço pode apontar para uma pessoa, mesmo sem nome.

### Qual o número mínimo de pessoas por recorte?

Não há um número certo para todos os casos. Depende da sensibilidade do dado, do tamanho do território e do público. A decisão cabe à ONG, registrada em política interna, com apoio de especialista em proteção de dados. Qualquer número citado em exemplos é só ilustração.

### O financiador exige a lista nominal. O que faço?

Confirme no instrumento aplicável o que é obrigatório, a finalidade, o canal de entrega e quem terá acesso. Dados individualizados entregues por obrigação devem ser limitados ao necessário e protegidos. Em caso de dúvida, consulte o jurídico ou o encarregado antes de enviar.

### Posso mostrar histórias de atendidos nos relatórios?

Pode, com cuidado e autorização adequada, e de forma que a pessoa não seja reconhecida quando a autorização não existir. No caso de crianças e adolescentes, o cuidado é redobrado. Veja os textos sobre dados de crianças e adolescentes e sobre relatórios para doadores.

### O que é supressão complementar?

É ocultar uma segunda célula (ou agrupar categorias) quando esconder apenas uma não impede que o valor seja descoberto por subtração dos totais. É o que evita que "56 − 22 − 31" revele o 3 que foi suprimido.

### Isso vale para ONGs pequenas, que têm poucas pessoas atendidas?

Vale ainda mais. Quanto menor o grupo, maior o risco de identificação. Nesses casos, prefira relatar em faixas amplas, em números absolutos agregados em categorias, e evite recortes por bairro ou por serviço específico quando houver poucos casos.

## Conclusão

Medir resultados e proteger pessoas não são objetivos opostos. A ONG pode continuar mostrando alcance, perfil e resultado, desde que trate o relatório como um documento que sai das suas mãos: com um piso mínimo por recorte, supressão e agrupamento onde necessário, cuidado com a subtração de totais, atenção às combinações de território, idade e serviço, e sem texto livre. Colete só o que precisa, defina o piso com apoio de quem entende de proteção de dados e guarde o registro do que foi entregue. Esse cuidado é parte da confiança que a ONG constrói com as famílias e com quem a financia.

---

**Quer organizar dados de atendimento com controle de acesso e relatórios que respeitam a privacidade?** [Converse com a equipe do Nexus Social](https://wa.me/5511936180125?text=Olá!%20Gostaria%20de%20saber%20como%20o%20Nexus%20Social%20pode%20ajudar%20a%20gerar%20relatórios%20sem%20expor%20dados%20pessoais%20da%20minha%20ONG.) e tire suas dúvidas.

Saiba mais sobre o [Nexus Social](https://nexussocial.com.br) e a gestão integrada para organizações sociais.

---

## Fontes e Referências

- [Lei nº 13.709/2018 (LGPD) — Planalto](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) — Art. 6º, III (necessidade), art. 12 (dados anonimizados e reversão com esforços razoáveis) e art. 14 (crianças e adolescentes)
- [Lei nº 8.069/1990 (ECA) — Planalto](https://www.planalto.gov.br/ccivil_03/leis/l8069.htm) — Art. 17 (preservação da imagem e da identidade)
- O piso mínimo citado como exemplo é meramente ilustrativo; a definição do valor adequado deve ser feita pela ONG com apoio de especialista em proteção de dados