Antes de uma gravação de entrevista sair do seu estudo, silencie os momentos em que um participante pode ser identificado. Uma entrevista semiestruturada é uma conversa que flui livremente, por isso um nome, uma empresa ou uma terra natal nunca estão num campo arrumado: surgem a meio de uma frase, sem que os peça, enterrados algures numa hora de conversa. Pode anonimizar uma entrevista agora sem conta: carregue o ficheiro, marque as categorias que quer fora e transfira um MP3 limpo.
Porque o áudio de uma entrevista está cheio de identificadores que nunca pediu
Desenhou o estudo em torno de um tema, não de uma pessoa — e ainda assim os participantes oferecem pormenores sem parar, porque as pessoas reais contam histórias e as histórias têm nomes dentro. Ao longo de trinta gravações vai ouvir:
- Nomes falados — o do próprio participante, mas também de um chefe, de uma colega, de um familiar metido numa anedota.
- Lugares que apontam para alguém — a pequena vila onde cresceu, o serviço onde trabalha, a rua onde fica o seu escritório.
- Contactos lidos em voz alta — um e-mail ditado para que escreva de volta, um telemóvel, às vezes o seu.
- Números de referência — um número de funcionário, um número de processo, um documento de identidade citado a partir de um papel em cima da mesa.
Nada disto estava no seu guião de entrevista. Limpá-lo à mão significa pentear trinta horas de áudio segundo a segundo — precisamente a tarefa que uma pipeline deveria tirar-lhe das mãos para voltar a codificar os seus dados.
De uma transcrição palavra a palavra a uma forma de onda destruída
A ferramenta mantém de propósito separado o que adivinha do que corta.
Primeiro encontra. O seu carregamento é normalizado numa faixa mono limpa de 16 kHz e transcrito com uma marca de tempo em cada palavra por um modelo da classe Whisper. Essa transcrição é o mapa: o reconhecimento de entidades marca pessoas e lugares, enquanto os detetores apoiados em checksum escolhem valores estruturados — um e-mail, um número de telefone, um IBAN ou um documento só são assinalados quando o seu formato bate certo, por isso um número citado de passagem é deixado em paz. O modelo de voz nunca edita o áudio; apenas diz onde cada palavra cai no tempo.
Depois destrói. Cada palavra assinalada é remetida ao seu segundo de início e de fim, acrescenta-se uma pequena margem de cada lado, os trechos sobrepostos são fundidos para que nada escape por uma fresta, e o ffmpeg reescreve as amostras desses trechos. Esta metade não é probabilística: a mesma gravação produz a mesma saída em cada execução.
A deteção é no melhor esforço — e a língua conta
Encontrar um nome falado depende da transcrição e da cobertura linguística do reconhecedor. O reconhecimento de nomes de pessoa é mais forte em espanhol e inglês; para entrevistas em alemão, francês ou italiano o modelo apanha os nomes apenas em parte, por isso um apelido pode escapar. Os identificadores estruturados — e-mail, telefone, IBAN e documentos — são apanhados por formato em qualquer língua. Para trabalho de campo que não seja em espanhol ou inglês, adicione os nomes reais dos seus participantes à deny-list e mantenha uma pessoa no ciclo. O passo de destruição é exato; o passo de deteção não é uma garantia.
Bip ou silêncio — e porque as amostras desaparecem para sempre
Ambas as escolhas apagam o que estava por baixo; diferem apenas no que um ouvinte posterior escuta.
- Baixar o volume ou abafar deixa o nome recuperável
- Um bip colocado por cima pode ser retirado para expor a fala
- Os metadados do telemóvel podem ainda nomear o dispositivo ou a sessão
- Nada mostra a um ouvinte que o corte foi intencional
- A forma de onda desse trecho é posta a zero — o nome desapareceu
- Um tom de 1 kHz ou silêncio limpo ocupa o seu lugar no mesmo ficheiro
- O MP3 é recodificado com todas as etiquetas removidas
- A lista de auditoria guarda apenas o intervalo de tempo, nunca as palavras
O que a ferramenta encontra, e onde continua ao comando
Removemos nomes e lugares falados que o reconhecimento de entidades encontra, além de e-mails, números de telefone, IBAN e números nacionais de documento apanhados por formato — e tudo o que puser na deny-list. O que não faremos é fingir que a passagem está completa: abra a lista de auditoria devolvida, salte para algumas marcas de tempo e confirme os momentos de que se lembra da sala. Esta ferramenta trabalha sobre áudio e devolve áudio — não lhe entrega uma transcrição para guardar, não toca em rostos no vídeo e não oculta um PDF. Essas são tarefas separadas com as suas próprias ferramentas.
Encaixa na forma como soa mesmo o trabalho de campo qualitativo
As gravações de campo são caóticas e a pipeline conta com isso. Um telemóvel deixado em cima da mesa capta ambas as vozes num canal mono, o eco da sala, um café ao fundo, o arrastar de uma cadeira — nada disso descarrila o mapa temporal, porque o alinhamento é reconstruído a partir das próprias palavras, não de um sinal limpo de estúdio. Um participante que diz o seu próprio nome por cima da sua pergunta fica na mesma fixado ao segundo exato em que o disse. Pausas longas, turnos sobrepostos e um sotaque com que o reconhecedor tem de se esforçar continuam a resolver-se numa marca de tempo que o corte pode usar.
Anonimize já uma gravação de entrevista
Carregue a entrevista, escolha se os nomes, lugares e contactos falados se tornam um bip ou silêncio, adicione à deny-list os nomes que conhece, confirme o preço e transfira o MP3 limpo — pronto para o repositório, um coautor ou um serviço de transcrição. O modelo apenas encontra os momentos sensíveis; o código determinista destrói-os, por isso o resultado é irreversível e idêntico em cada execução. Sem conta, pague só pelo que anonimiza.
Quando precisa disto
Uma investigadora de doutoramento acabou de terminar o trabalho de campo do seu estudo: trinta entrevistas semiestruturadas, de uma hora cada, gravadas no telemóvel. Cada participante assinou um consentimento que prometia anonimizar os seus dados antes de os arquivar no repositório aberto de investigação da universidade e antes de enviar o áudio a um serviço de transcrição externo. Mas as gravações estão cheias de identificadores falados que ela nunca pediu e que não consegue deixar de ouvir: um participante nomeia o seu chefe direto, menciona a pequena vila onde cresceu, lê em voz alta o e-mail de uma colega, dá o seu próprio número de telefone para ser recontactado. Fazê-lo à mão significa percorrer trinta horas de áudio segundo a segundo. Carregue cada entrevista no Medianonymizer, escolha as categorias a remover, e os segundos em que são ditos um nome, uma empresa, uma cidade ou um contacto são localizados a partir de uma transcrição palavra a palavra e destruídos na forma de onda — um bip de 1 kHz ou silêncio limpo — antes de o ficheiro chegar ao repositório, a um coautor ou a quem transcreve.
O ângulo da conformidade
Nos termos do artigo 89.º do RGPD, o tratamento de dados pessoais para fins de investigação científica comporta garantias específicas e um dever de minimização: não deve conservar identificadores de que não precisa. O considerando 26 é a alavanca — dados verdadeiramente anonimizados ficam totalmente fora do Regulamento, pelo que uma gravação com os identificadores diretos destruídos pode ser arquivada e partilhada sem as obrigações de retirada do consentimento e de conservação que acompanham os dados pessoais vivos. Os consentimentos que a maioria dos comités de ética aprova prometem exatamente isto: identificadores removidos antes de arquivar. Destruir o nome, a empresa e o local falados no áudio é como cumpre essa promessa em vez de apenas a afirmar.
O que pode verificar
O resultado é verificável, não uma afirmação. Abra o MP3 devolvido e salte para o momento em que o participante disse o seu nome: ouve um tom de 1 kHz ou silêncio, não o nome — as amostras originais desse trecho estão postas a zero, não baixadas de volume nem cobertas por uma camada que pudesse retirar. Inspecione as etiquetas do ficheiro com qualquer ferramenta e não há metadados ID3 herdados do telemóvel que o gravou. A lista de auditoria regista apenas os intervalos de tempo ocultados — segundo de início e de fim — nunca as palavras em si, de modo que o registo também não pode reidentificar ninguém.
Perguntas frequentes
- Posso também guardar uma transcrição anonimizada, ou esta ferramenta só devolve áudio?
- Esta ferramenta devolve áudio: um MP3 limpo com os identificadores localizados destruídos e todos os metadados removidos. Não lhe entrega uma transcrição para guardar. Uma transcrição palavra a palavra é gerada apenas para localizar onde os identificadores são falados, e a lista de auditoria que produz regista intervalos de tempo — segundo de início e de fim — nunca as palavras. Se precisar de uma transcrição anonimizada para codificar, passe o áudio já limpo pelo seu fluxo de transcrição depois, ou use a nossa ferramenta de texto numa transcrição que já possua.
- Como lida com duas vozes — a de quem entrevista e a do participante — numa mesma gravação?
- A deteção trabalha sobre as palavras, não sobre quem as disse, por isso um identificador é removido quer o participante o tenha dito quer você o tenha repetido para confirmar. Uma gravação de telemóvel costuma misturar ambas as vozes numa única faixa mono, e não há problema: o mapa temporal é reconstruído a partir da transcrição, não de canais separados. Se os seus identificadores se concentram nos turnos de uma voz, a deny-list e uma verificação por amostragem são a forma de garantir que nada da outra voz passou.
- A deteção automática funciona para entrevistas em alemão, francês ou italiano, ou só em inglês e espanhol?
- Os identificadores estruturados — endereços de e-mail, números de telefone, IBAN, números de cartão e de documento — são apanhados por formato em qualquer língua. O reconhecimento de nomes de pessoa e lugares é mais forte em espanhol e inglês; para alemão, francês ou italiano é parcial, pelo que o apelido de um participante pode escapar. Para trabalho de campo nessas línguas, adicione os nomes reais à deny-list para que sejam sempre removidos e mantenha uma verificação manual no fluxo. Preferimos declarar esse limite a deixá-lo assumir que um nome foi apanhado quando não foi.
- Posso adicionar os nomes reais dos meus participantes a uma deny-list para que sejam sempre removidos?
- Sim, e para entrevistas que não sejam em inglês ou espanhol é o passo recomendado. Uma deny-list é um conjunto de cadeias exatas — o nome de um participante, um lugar, um código interno de projeto — removidas na mesma passagem, independentemente da pontuação que o reconhecedor lhes dê. Não enfraquece a deteção: garante que os valores que já conhece são destruídos. A lista serve apenas para correspondência e nunca é escrita na saída nem no registo de auditoria.
- A anonimização é reversível, e chega para satisfazer o consentimento do meu comité de ética?
- Os intervalos localizados são destruídos, não escondidos: as amostras são postas a zero e substituídas por um bip ou silêncio no mesmo ficheiro, sem camada para retirar — essa parte é irreversível. Se satisfaz o seu comité de ética é decisão dele e depende do seu estudo. Destruímos os identificadores diretos que localizamos, mas não certificamos uma gravação como anónima, porque os identificadores indiretos e tudo o que a deteção falhou continuam a ser da sua responsabilidade rever. Encare a ferramenta como o mecanismo que cumpre a promessa do seu consentimento, a par da sua própria verificação — não como um aval de conformidade.