Quando a avaliação de impacto é, na prática, obrigatória
Os casos abaixo traduzem os critérios do art. 35.º, n.º 3 do RGPD em situações concretas. Quem acompanha vários clientes deve conhecer esta lista em vez de reavaliar tudo do zero a cada novo projeto:
Avaliação sistemática e definição de perfis
Decisões automatizadas com efeitos jurídicos, como o scoring de crédito ou a seleção automática de candidatos a emprego, exigem quase sempre uma avaliação de impacto -- independentemente da dimensão da empresa.
Tratamento em grande escala de categorias especiais de dados
Dados de saúde, dados biométricos ou informação sobre filiação sindical em grande escala, por exemplo em agências de emprego ou no setor da saúde.
Videovigilância sistemática de zonas de acesso público
Câmaras de videovigilância em zonas de atendimento, parques de estacionamento ou entradas, com gravação contínua, cumprem regularmente este critério, mesmo em redes pequenas de estabelecimentos.
Geolocalização e monitorização de trabalhadores
O rastreio de frotas de veículos, o registo de tempo de trabalho com dados de localização ou a avaliação de desempenho através de software estão entre os casos expressamente indicados pelas autoridades de controlo.
Sistemas baseados em IA
A utilização de IA para avaliar, classificar ou prever comportamentos sobrepõe-se às categorias de risco elevado do AI Act e exige uma análise documentada, independentemente do RGPD.
O processo guiado, passo a passo
- Descreva o tratamento a partir do registo do art. 30.º do cliente
- Avalie a necessidade, a proporcionalidade e o risco com a matriz guiada
- Defina as medidas e o risco residual, com os fundamentos jurídicos ao lado
- Exporte e arquive na ficha do cliente, com o respetivo prazo de revisão
O que uma avaliação de impacto guiada entrega concretamente
No final de cada avaliação de impacto não fica apenas um formulário, mas um conjunto de materiais que permanecem na ficha do cliente e ficam imediatamente disponíveis numa próxima inspeção:
- PDF exportável com todas as etapas da avaliação, os fundamentos jurídicos e a data e hora -- pronto a apresentar a pedido da CNPD.
- Matriz de risco associada, que combina probabilidade e gravidade da violação e calcula automaticamente o risco residual.
- Prazo de revisão ajustado ao tipo de tratamento, com aviso antes do vencimento.
- Ligação direta à avaliação de impacto sobre os direitos fundamentais do art. 27.º do AI Act, quando a mesma atividade envolve um sistema de IA.
Com a análise de risco e a secção AI Act ao lado
No gerador encontra também a análise de risco (matriz calculada de probabilidade-gravidade) e a avaliação de impacto sobre os direitos fundamentais do art. 27.º do AI Act: a avaliação de impacto RGPD articula-se com ambas. 30 dias grátis, sem cartão de crédito.
Experimentar grátisPerguntas frequentes
Quando é obrigatória a avaliação de impacto?
Quando o tratamento é suscetível de implicar um elevado risco: avaliação sistemática e completa, tratamento em grande escala de categorias especiais de dados, videovigilância sistemática de zonas de acesso público em grande escala (art. 35.º, n.º 3 do RGPD) -- a que se somam os casos adicionais indicados pelas autoridades de controlo, como biometria, geolocalização de trabalhadores, utilização de sistemas de IA e cruzamento de dados de várias fontes.
O que deve conter a avaliação de impacto?
Uma descrição sistemática do tratamento e das suas finalidades; uma avaliação da necessidade e da proporcionalidade; uma avaliação dos riscos para os direitos e liberdades das pessoas; as medidas previstas para fazer face a esses riscos (art. 35.º, n.º 7 do RGPD). Se o risco residual continuar elevado, é obrigatória a consulta prévia à autoridade de controlo (art. 36.º do RGPD).
Quem tem de realizar a avaliação de impacto?
O responsável pelo tratamento, com a participação do Encarregado de Proteção de Dados, quando exista -- o seu parecer deve ser solicitado e documentado, embora a responsabilidade final seja do responsável pelo tratamento.
Como se relaciona a avaliação de impacto com o AI Act?
A avaliação de impacto sobre os direitos fundamentais do AI Act (art. 27.º), exigida a quem utiliza sistemas de risco elevado, pode aproveitar uma avaliação de impacto RGPD já realizada: os mesmos factos, com uma perspetiva complementar (proteção de dados versus direitos fundamentais num sentido mais amplo). Ligar as duas avaliações poupa trabalho duplicado.
Uma avaliação de risco genérica, sem uma AIPD estruturada, é suficiente?
Não. O RGPD exige uma metodologia documentada e rastreável nos termos do art. 35.º, n.º 7 -- uma avaliação informal, sem essa estrutura, não cumpre o dever de responsabilização do art. 5.º, n.º 2 do RGPD.
O que acontece se a CNPD pedir a avaliação de impacto e ela não existir?
A ausência de avaliação de impacto onde era exigida é normalmente tratada como uma violação autónoma do art. 35.º e pesa na determinação da coima -- independentemente de o próprio tratamento ser ou não lícito. Uma avaliação de impacto documentada e rastreável é, por isso, também uma prova de responsabilização nos termos do art. 5.º, n.º 2 do RGPD.
Cada cliente, a sua avaliação de impacto, o seu prazo
Registo, risco, avaliação de impacto e documentos: ligados, não dispersos.
Começar grátis