TL;DR
A AIPD é obrigatória antes do início do tratamento quando é provável um risco elevado. A lista da autoridade polaca (M.P. 2019 n.º 666) enumera doze categorias de operações. As WP248 dão nove critérios: cumprir dois significa, em regra, que a avaliação é devida. Se o risco se mantiver elevado, o art. 36.º impõe consultar a autoridade antes de começar.
O erro mais frequente não é de conteúdo, é de momento
O art. 35.º, n.º 1 não deixa margem: a avaliação é efetuada ANTES do tratamento. Na prática, a AIPD é quase sempre redigida quando o sistema já está a funcionar e alguém — um cliente, um auditor, a autoridade — a pede. Um documento escrito depois pode estar correto quanto ao mérito e continuar a não cumprir a obrigação, porque a avaliação serve para decidir se se avança, não para justificar ter avançado. A diferença lê-se na data do documento e nenhuma reescrita posterior a corrige.
A lista da autoridade e os critérios WP248 são duas ferramentas distintas
A comunicação do Presidente da autoridade polaca de 17 de junho de 2019, publicada no Monitor Polski (M.P. 2019 n.º 666), contém uma lista de doze categorias de operações que exigem avaliação, com exemplos. Não é o único referencial: a par dela estão as orientações do Grupo do art. 29.º (WP248 rev.01), acolhidas pelo CEPD, com nove critérios — avaliação ou pontuação, decisões automatizadas com efeito jurídico, controlo sistemático, categorias especiais de dados, tratamento em larga escala, cruzamento de conjuntos de dados, titulares vulneráveis, uso inovador de tecnologias e impedimento do exercício de um direito ou do acesso a um serviço. Cumprir dois significa, em regra, que a AIPD é devida.
- A lista da autoridade funciona num só sentido: se a operação lá consta, a AIPD é obrigatória. Se não consta, isso não significa que não seja.
- O art. 35.º, n.º 7 fixa o conteúdo mínimo: descrição sistemática das operações e finalidades, avaliação da necessidade e proporcionalidade, avaliação dos riscos para os direitos e liberdades e medidas previstas para os enfrentar.
- O art. 35.º, n.º 9: o responsável recolhe a opinião dos titulares ou dos seus representantes, salvo impossibilidade ou prejuízo dos interesses comerciais. A ausência de consulta fundamenta-se, não se cala.
- O art. 36.º: se, apesar das medidas, o risco se mantiver elevado, há que consultar a autoridade antes de começar. O prazo de resposta é de oito semanas, prorrogável por seis.
Um modelo é um ponto de partida, não o documento final
Um modelo de AIPD descreve uma estrutura, não o seu tratamento. Uma avaliação que ninguém adaptou às categorias de dados, à escala e à tecnologia concretas reconhece-se num relance e é fraca em qualquer litígio: não contém nada que não pudesse ter sido escrito sem conhecer a organização. O modelo poupa uma hora de paginação, não a análise.
Vale também o art. 35.º, n.º 11: a avaliação deve ser revista quando o risco muda. Uma mudança de fornecedor, um módulo novo, uma transferência para fora do EEE podem invalidar uma AIPD de há dois anos. Não é um documento de arquivo: é a ata viva de uma decisão.
Procura uma ferramenta para o seu trabalho de EPD?
O DPO Workspace foi construído por um DPO certificado. 30 dias de experiência gratuita.
Começar gratuitamente
