Uma DPIA, em forma completa uma avaliação de impacto sobre a proteção de dados, é uma análise de risco que realiza antecipadamente quando um tratamento de dados pessoais é suscetível de acarretar um elevado risco para as pessoas cujos dados são objeto do tratamento. O RGPD não torna obrigatória essa análise em todos os tratamentos, mas especificamente naqueles que, pela sua natureza, escala, contexto ou finalidade, podem ter grande impacto — pense em monitorização em larga escala, criação de perfil sistemática ou tratamento de dados especiais como dados de saúde em larga escala.
Se a sua empresa deve realizar uma DPIA depende do que faz exatamente com os dados, não do tamanho da sua empresa. Um trabalhador independente que coloca câmaras em pequena escala numa loja está geralmente fora dessa obrigação; uma PME que utiliza software de IA para analisar em larga escala o comportamento dos clientes ou para avaliar candidatos a emprego, entra mais facilmente no âmbito de uma DPIA obrigatória. A Autoridade da Proteção de Dados publica uma lista de tratamentos para os quais essa análise é sempre necessária segundo a sua perspetiva; essa lista é um bom ponto de partida para determinar se a sua situação se enquadra nela.
Quando é relevante para as PME
A maioria das PME escapa a uma DPIA formal, simplesmente porque os seus tratamentos não têm a escala ou o nível de risco que o RGPD visa. No entanto, existem situações em que a questão se torna relevante: a introdução de vigilância por câmara com reconhecimento facial, a utilização de uma nova ferramenta de IA que toma automaticamente decisões sobre clientes ou colaboradores, ou uma expansão do software existente com o qual subitamente recolhe dados em escala muito maior do que anteriormente.
Portanto, não é tanto o setor que determina se é necessária uma DPIA, mas a mudança no que faz. Um departamento de recursos humanos que muda para uma ferramenta de recrutamento com triagem automática de CVs faz bem em questionar-se se essa mudança se enquadra nos critérios. O mesmo se aplica a um gestor de escritório que considera implementar uma nova ferramenta SaaS que rastreia o comportamento dos visitantes do site e combina com outras fontes de dados.
O que deve constar numa DPIA
Uma DPIA descreve sistematicamente o que acontece: quais os dados tratados, com que finalidade, com base em que fundamento, e quem acede aos dados. De seguida, a análise mapeia os riscos para os titulares dos dados — o que pode correr mal, e qual é a probabilidade e o impacto disso. A última parte é a medida: que passos técnicos ou organizacionais são tomados para reduzir esses riscos, e permanece algum risco após essas medidas que não pode ser eliminado.
Este último ponto é importante: se uma DPIA revelar que permanece um risco elevado após as medidas, o RGPD estipula que deve apresentá-lo à autoridade de controlo antes de iniciar o tratamento. Esta é uma exceção, não um passo padrão, mas é a razão pela qual uma DPIA não é algo que preenche posteriormente.
A relação com o registro de atividades de tratamento
Uma DPIA não existe isoladamente da restante administração do RGPD. O tratamento para o qual realiza a análise também deve ter lugar na base de conhecimento onde os riscos por tratamento estão desenvolvidos, para que fique claro quais os tratamentos que necessitam de atenção adicional e quais não. Quem já tem o registro de atividades de tratamento em ordem, frequentemente vê por si só quais os tratamentos que pela sua escala ou sensibilidade estão mais próximos do limite da DPIA do que outros.
Também é um bom momento para verificar os contratos de tratamento de dados associados a este tratamento: uma parte externa que processa os dados para os quais você considera uma AIPD é frequentemente também a parte onde surgem os maiores riscos se algo der errado. Assim como no caso de uma possível violação de dados, é útil saber antecipadamente onde você se encontra em vez de ter que descobrir posteriormente exatamente o que foi acordado.
E se tiver dúvidas
A linha divisória entre "provavelmente nenhuma AIPD necessária" e "é melhor analisar primeiro" nem sempre é nítida, e o RGPD deixa deliberadamente espaço para sua própria avaliação. Em caso de dúvida, é aconselhável consultar as orientações da Autoridade Nacional de Proteção de Dados ou pedir a um jurista para analisar sua situação específica. Esta página descreve a linha geral do regulamento; não substitui esse aconselhamento.
Deseja primeiro ter uma impressão de como seus próprios tratamentos se relacionam com a avaliação de risco que o RGPD utiliza? Faça a verificação rápida gratuita ou consulte as perguntas frequentes sobre o registo e a sua monitorização para ver qual é o passo mais apropriado para sua empresa.