O que é uma Avaliação de Impacto sobre a Proteção de Dados?

Uma Avaliação de Impacto sobre a Proteção de Dados, comummente designada por DPIA, é um processo estruturado para identificar e reduzir os riscos de privacidade antes do início do processamento de dados pessoais de alto risco. Nos termos do Artigo 35.º do RGPD, o responsável pelo tratamento deve realizar uma DPIA sempre que o processamento planeado seja suscetível de resultar num risco elevado para os direitos e liberdades das pessoas singulares.

Uma DPIA não é apenas um formulário de conformidade. Deve apoiar uma decisão informada sobre se o processamento é necessário e proporcional, como as pessoas podem ser afetadas, que salvaguardas são necessárias e se o risco remanescente é aceitável.

Quando é necessária uma DPIA?

Uma DPIA deve ser concluída antes de qualquer processamento que possa resultar num risco elevado. O RGPD destaca especificamente:

• avaliação sistemática e extensiva de aspetos pessoais baseada em processamento automatizado, incluindo a definição de perfis, quando as decisões produzem efeitos jurídicos ou efeitos significativos semelhantes;
• processamento em larga escala de categorias especiais de dados ou de dados pessoais relacionados com condenações penais e infrações; e
• monitorização sistemática de uma área acessível ao público em larga escala.

As autoridades de controlo publicam listas adicionais de processamentos que exigem uma DPIA. As organizações devem consultar a lista emitida pela autoridade relevante e registar o resultado da sua decisão de triagem.

Indicadores de risco elevado provável

As orientações europeias identificam critérios que podem indicar um risco elevado provável. Estes incluem avaliação ou pontuação, tomada de decisão automatizada com efeitos significativos, monitorização sistemática, dados sensíveis ou altamente pessoais, processamento em larga escala, cruzamento ou combinação de conjuntos de dados, dados relativos a pessoas vulneráveis, tecnologia inovadora e processamento que impeça as pessoas de exercer um direito ou de aceder a um serviço ou contrato.

O preenchimento de dois critérios geralmente indica a necessidade de uma DPIA, embora um único critério possa ser suficiente quando o risco é significativo. Por outro lado, uma organização que decida que uma DPIA é desnecessária deve documentar a fundamentação e reavaliá-la caso o processamento seja alterado.

Quem é responsável pela EPIA?

O responsável pelo tratamento é o responsável por garantir que a EPIA seja concluída. O trabalho envolverá normalmente o proprietário do negócio, a equipa de privacidade, segurança, engenharia, jurídico, compras e outros especialistas que compreendam o processamento e o seu impacto.

Sempre que um Encarregado de Proteção de Dados tenha sido nomeado, o responsável pelo tratamento deve solicitar o parecer do EPD e documentá-lo. Os subcontratantes devem assistir o responsável pelo tratamento sempre que exigido pelo contrato de processamento. Dependendo do contexto, pode também ser apropriado solicitar a opinião dos indivíduos afetados ou dos seus representantes.

O que deve conter uma EPIA?

No mínimo, uma EPIA em conformidade com o RGPD deve incluir:

• uma descrição sistemática do processamento planeado e dos seus propósitos, incluindo qualquer interesse legítimo prosseguido pelo responsável pelo tratamento;
• uma avaliação sobre se o processamento é necessário e proporcional a esses propósitos;
• uma avaliação dos riscos para os direitos e liberdades dos indivíduos; e
• as medidas planeadas para abordar esses riscos, incluindo salvaguardas, controlos de segurança e mecanismos que demonstrem a conformidade.

A avaliação deve ser suficientemente detalhada para explicar os fluxos de dados, as pessoas afetadas, os sistemas, os destinatários, a retenção, o acesso, as transferências internacionais, as decisões automatizadas e o contexto operacional.

Um processo prático de EPIA

1. Faça a triagem do projeto

Comece cedo, antes de decisões finais de design ou compromissos de aquisição. Utilize um questionário de triagem consistente e considere os exemplos do RGPD, os critérios do CEPD e as listas das autoridades de controlo aplicáveis.

2. Descreva o processamento

Documente quais dados são recolhidos, de onde vêm, como são utilizados, quais os sistemas e fornecedores envolvidos, quem os recebe, onde são armazenados, por quanto tempo são retidos e o que acontece no final do ciclo de vida.

3. Defina o propósito e a base legal

Explique os propósitos específicos e confirme a base legal relevante. Para dados de categorias especiais ou de infrações penais, documente a condição legal adicional. A EPIA deve estar alinhada com o Registo de Atividades de Tratamento e com os avisos de privacidade.

4. Avalie a necessidade e a proporcionalidade

Avalie se cada elemento de dados e etapa de processamento são realmente necessários, se existe uma alternativa menos intrusiva, se a qualidade dos dados é suficiente, por quanto tempo os dados são retidos, como o acesso é controlado e como os indivíduos podem exercer os seus direitos.

5. Identifique os riscos para as pessoas

Avalie possíveis danos físicos, materiais e imateriais sob a perspectiva dos indivíduos afetados. Exemplos incluem discriminação, perda de confidencialidade, roubo de identidade, prejuízo financeiro, exclusão, vigilância, danos à reputação, incapacidade de exercer direitos ou perda de controle sobre dados pessoais.

6. Avaliar probabilidade e severidade

Use uma metodologia consistente para avaliar o risco inerente antes das salvaguardas e o risco residual após as salvaguardas. As pontuações devem ser fundamentadas em argumentos, em vez de tratadas como um substituto automático para o julgamento profissional.

7. Selecionar e atribuir medidas

As medidas podem incluir minimização de dados, pseudonimização, criptografia, controles de acesso, limites de retenção, revisão humana, testes, melhorias na transparência, salvaguardas contratuais, monitoramento, resposta a incidentes e restrições ao uso secundário. Atribua um responsável e uma data de conclusão para cada medida.

8. Aprovar e registrar a decisão

Documente o parecer do DPO, a contribuição das partes interessadas, aprovações, riscos residuais aceitos e quaisquer condições para o lançamento. Caso o processamento ainda resulte em alto risco apesar das medidas planejadas, o controlador deve consultar a autoridade supervisora competente antes de prosseguir.

9. Revisão durante todo o ciclo de vida

Uma DPIA é um processo contínuo. Revise-a sempre que propósitos, dados, tecnologia, fornecedores, escala, pessoas afetadas ou riscos mudarem, e periodicamente caso o processamento permaneça de alto risco.

Quando a consulta prévia é necessária?

Se a DPIA indicar que o processamento resultaria em alto risco na ausência de medidas e o controlador não puder reduzir esse risco suficientemente, o controlador deve consultar a autoridade supervisora antes de iniciar o processamento. O pacote de consulta deve incluir a DPIA, responsabilidades, propósitos, salvaguardas e os detalhes de contato e parecer do DPO, quando aplicável.

DPIA, PIA, TIA e avaliações de impacto de IA

Uma Avaliação de Impacto à Privacidade (PIA) é um termo mais amplo e pode ser usado fora do contexto do RGPD. Uma DPIA é a avaliação específica exigida pelo Artigo 35. Uma Avaliação de Impacto de Transferência (TIA) foca em transferências internacionais de dados e na proteção disponível no país de destino. Avaliações de risco de IA ou de direitos fundamentais podem ser exigidas pela Lei de IA da UE ou por políticas organizacionais.

Essas avaliações podem se sobrepor, mas uma não substitui automaticamente a outra. Um processo conectado pode reutilizar informações comuns, preservando o propósito legal, os critérios de decisão e as evidências exigidas para cada avaliação.

Erros comuns em DPIAs

• início da DPIA após o lançamento do projeto;
• descrição da tecnologia sem explicar o processo de negócio real e as pessoas afetadas;
• foco exclusivo em cibersegurança, ignorando justiça, autonomia, discriminação e outros direitos;
• uso de riscos e controles genéricos que não estão conectados ao processamento real;
• falha ao avaliar a necessidade e alternativas menos intrusivas;
• omitir o parecer do DPO, a contribuição das partes interessadas ou os registros de aprovação;
• aceitar alto risco residual sem considerar a consulta prévia; e
• tratar a DPIA como finalizada quando o sistema, fornecedor ou propósito muda.

Um checklist prático de DPIA

• Conclua e documente uma decisão de triagem de alto risco.
• Identifique o controlador, os operadores, os responsáveis e as partes interessadas relevantes.
• Descreva propósitos, bases legais, fluxos de dados, sistemas, fornecedores, retenção e transferências.
• Avalie a necessidade, a proporcionalidade e as alternativas.
• Identifique os impactos nos direitos e liberdades sob a perspectiva do indivíduo.
• Pontue o risco inerente e residual usando uma metodologia consistente.
• Defina salvaguardas, responsáveis, prazos e requisitos de evidência.
• Busque e registre o parecer do DPO quando aplicável.
• Encaminhe para consulta prévia quando permanecer um alto risco residual.
• Aprove a decisão e defina gatilhos de revisão.

Como o TrustWorks apoia os fluxos de trabalho de DPIA

O TrustWorks ajuda as equipes de privacidade a realizar DPIAs consistentes e colaborativas, sem depender de planilhas desconexas, correntes de e-mail e documentos estáticos.

• Avaliações estruturadas: utilize modelos reutilizáveis, lógica de triagem e questionários inteligentes.
• Contexto do processamento: conecte sistemas, fornecedores, categorias de dados e fluxos à avaliação.
• Riscos e medidas: pontue riscos, atribua salvaguardas, acompanhe responsáveis e monitore a remediação.
• Colaboração: colete contribuições das áreas de negócios, jurídica, segurança, engenharia, compras e do DPO.
• Evidências e aprovações: preserve conselhos, decisões, versões e um histórico pronto para auditoria.
• Revisão contínua: acione reavaliações quando o processamento ou o risco mudar.

O TrustWorks oferece suporte a fluxos de trabalho de EPIA e avaliação de privacidade. Ele não fornece aconselhamento jurídico, e os controladores devem avaliar suas obrigações com consultoria qualificada e orientação da autoridade supervisora relevante.

‍