quando sou obrigado a realizar uma avaliação de impacto na proteção de dados

Uma AIPD é obrigatória no processamento de alto risco

Uma AIPD — uma avaliação de impacto na proteção de dados — é obrigatória quando um processamento de dados provavelmente cria um alto risco para os direitos e liberdades das pessoas cujos dados são processados. Isso não é uma lista fixa de atividades que é exatamente a mesma em toda parte, mas uma avaliação que começa com a natureza, escala, contexto e objetivo do processamento. O processamento em larga escala de dados sensíveis, o monitoramento estruturado e sistemático de pessoas em um local acessível ao público, e os processamentos que levam a decisões automatizadas com consequências significativas, são exemplos frequentemente mencionados como situações em que um alto risco é plausível.

Para um autónomo comum ou uma pequena e média empresa que mantém dados de clientes, dados de pessoal ou um sistema de contabilidade, uma AIPD obrigatória geralmente não é necessária — esses processamentos geralmente não são suficientemente em larga escala ou sistemáticos para serem considerados alto risco. Assim que se trabalha com, por exemplo, dados de saúde em maior escala, vigilância por câmara em espaços públicos, ou criação de perfis que têm consequências para indivíduos, o cenário muda. Quem duvida se um processamento se enquadra nessa categoria faz bem em fundamentar essa avaliação a partir do mesmo levantamento que também é elaborado para o registo de atividades de processamento é construído: por processamento, já está documentado qual é o objetivo, a escala e os dados envolvidos, e essa é precisamente a informação que uma avaliação de risco necessita.

Em que se baseia isto: artigo 6.º RGPD e a autoridade de supervisão

A obrigação de realizar uma AIPD decorre do RGPD e está ligada à base legal de processamento do artigo 6.º RGPD: apenas se uma base legal legítima para o processamento já tiver sido estabelecida, a questão de acompanhamento é relevante: se esse processamento também comporta um alto risco. As autoridades de supervisão fornecem orientações adicionais sobre quais processamentos são considerados alto risco na prática; em Portugal, a Comissão Nacional de Proteção de Dados fá-lo com listas e explicações próprias, enquanto a autoridade de supervisão noutro Estado-membro pode usar uma lista um pouco diferente — o que permanece igual em toda a parte é a norma do próprio regulamento, o que varia é o preenchimento nacional de quais processamentos se enquadram nisso. Quem duvida se a sua empresa, pela escala do processamento, necessita de um encarregado de proteção de dados separado, encontra um ponto de referência em a explicação sobre a obrigação do encarregado, porque essas duas questões — AIPD e encarregado — estão frequentemente relacionadas com a mesma escala e avaliação de risco do processamento.