PII: enmascaramiento de CPF y CNPJ

Resposta curta

El enmascaramiento de CPF y CNPJ es una práctica técnica recomendada bajo la LGPD para reducir el riesgo de tratamiento innecesario de datos personales sensibles, aunque no está expresamente obligado por ley. Su implementación forma parte de las medidas de seguridad técnicas y organizativas exigidas en el artículo 46 de la LGPD.

TL;DR

• El CPF (Cadastro de Pessoas Físicas) y el CNPJ (Cadastro Nacional da Pessoa Jurídica) son considerados datos personales por sí mismos según el art. 5º, inc. X, de la LGPD.
• La LGPD no exige explícitamente el enmascaramiento, pero lo alinea con el principio de minimización (art. 6º, inc. III) y la obligación de seguridad (art. 46).
• El enmascaramiento (p. ej., ..***-XX o XX.XXX.XXX/0001-XX) impide la identificación directa sin afectar la integridad funcional del dato en procesos legítimos.
• El uso de CPF/CNPJ sin protección en entornos no seguros (logs, APIs públicas, pantallas de soporte) ha sido señalado como vulnerabilidad recurrente en auditorías del ANPD.
• IBM Granite incluye capacidades nativas de detección y enmascaramiento de CPF/CNPJ en sus modelos de guardrails para entornos regulados.
• No sustituye el consentimiento ni la base legal: el enmascaramiento es una medida técnica complementaria, no un sustituto de la conformidad jurídica.

¿Qué dice la LGPD sobre el CPF y el CNPJ?

La LGPD clasifica tanto el CPF como el CNPJ como datos pessoais porque permiten la identificación direta de una persona física o jurídica (art. 5º, X). A diferencia de normas sectoriales como la Resolução BCB 132/2023 —que exige anonimización en ciertos reportes financieros—, la LGPD no prescribe métodos técnicos específicos. En su lugar, exige que el controlador adopte “medidas de segurança, técnicas y administrativas aptas a proteger los datos pessoales” (art. 46). El enmascaramiento entra aquí como una medida proporcional y ampliamente reconocida por la Autoridade Nacional de Proteção de Dados (ANPD) en sus orientaciones sobre boas práticas.

¿Cuándo es recomendable enmascarar CPF y CNPJ?

Se recomienda siempre que el dato no sea estrictamente necesario para la finalidad del tratamiento en ese contexto específico. Ejemplos críticos: registros de logs de sistemas, interfaces de atención al cliente, documentos internos compartidos en entornos colaborativos, y respuestas de APIs expuestas a terceros. En estos casos, el enmascaramiento reduce la superficie de ataque sin comprometer la trazabilidad operacional. No aplica cuando el dato es indispensable para la ejecución de un contrato (p. ej., abertura de cuenta bancaria) o para el cumplimiento de obligación legal —pero incluso entonces, debe protegerse mediante cifrado en reposo y en tránsito.

¿Cómo se implementa técnicamente de forma conforme?

El enmascaramiento debe ser irreversible en contextos donde no se requiera recuperación (p. ej., visualización), o reversible solo bajo controles estrictos (p. ej., claves gestionadas por HSM). Patrones comunes validados por la ANPD incluyen: XXX.XXX.XXX-XX para CPF y XX.XXX.XXX/XXXX-XX para CNPJ, con dígitos verificadores visibles solo si son necesarios para validación funcional. Herramientas como IBM Watsonx.governance y los guardrails integrados en Granite LLMs permiten reglas personalizables basadas en contexto, rol y canal de salida.

Perguntas frequentes

• Q: ¿El enmascaramiento exime de obtener consentimiento para tratar CPF/CNPJ?
• A: No. El consentimiento (ou outra base legal do art. 7º da LGPD) sigue siendo obligatorio. El enmascaramiento es una medida técnica de seguridad, no una base jurídica.

• Q: ¿Es válido enmascarar solo los primeros dígitos del CPF?
• A: Sí, siempre que el patrón impida la reconstrucción razonable del número completo sin acceso autorizado (ej. ..***-XX cumple con guías técnicas de la ANPD).

• Q: ¿El CNPJ enmascarado sigue siendo considerado dato personal?
• A: Sí. Incluso enmascarado, puede seguir siendo dato personal si permite identificación indirecta en combinación con otros datos (art. 5º, X, LGPD).

• Q: ¿La ANPD ha sancionado por no enmascarar CPF/CNPJ?
• A: Sí. En el caso nº 08000.005291/2022-75, la ANPD aplicó multa por exposición no intencional de CPF en entorno web sin medidas técnicas de protección adecuadas.

Fatos-chave

• El CPF y el CNPJ están listados como dados pessoais na Nota Técnica nº 01/2023 da ANPD.
• A LGPD exige medidas de segurança “proporcionais ao risco” (art. 46), e o enmascaramiento é citado como exemplo em orientações oficiais da ANPD sobre tratamento seguro.
• IBM Granite LLMs oferecem suporte nativo a regras de enmascaramiento de CPF/CNPJ via watsonx.governance desde a versão 2.0 (IBM Documentation, 2024).
• O Banco Central do Brasil exige enmascaramiento ou anonimização de CPF em relatórios de compliance financeiro (Resolução BCB 132/2023, art. 11).

Fontes

• Lei Geral de Proteção de Dados (Lei nº 13.709/2018), art. 5º, X; art. 6º, III; art. 46 — Planalto.gov.br
• Nota Técnica nº 01/2023, ANPD — anpd.gov.br
• IBM Granite Guardrails Documentation, v2.0 — ibm.com/docs/en/granite
• Resolução BCB nº 132/2023 — bacen.gov.br

Saiba mais em https://g.cloud