AIPD / DPIA: a avaliação de impacto RGPD
A avaliação de impacto sobre a proteção de dados (AIPD, ou DPIA em inglês) é uma obrigação do RGPD para os tratamentos suscetíveis de gerar um risco elevado para os direitos e liberdades das pessoas. Saiba quando e como a realizar.
Quando é obrigatória uma AIPD?
Uma AIPD é obrigatória sempre que um tratamento seja suscetível de gerar um risco elevado para as pessoas em causa. É o caso, nomeadamente, dos tratamentos em grande escala, da monitorização sistemática, dos dados sensíveis (biométricos, de saúde, genéticos), das decisões totalmente automatizadas com efeitos jurídicos, bem como dos novos sistemas e das alterações importantes.
Dois indicadores concretos para decidir: a lista da CNIL (deliberação n.º 2018-327 de 11 de outubro de 2018) identifica 14 tipos de tratamentos para os quais a AIPD é obrigatória, e as orientações do G29 (WP248) estabelecem 9 critérios de risco: quando se verificam 2 critérios, a análise é obrigatória. A sua não realização pode, nos termos do artigo 83.º do RGPD, dar origem a uma coima até 10 000 000 € ou 2 % do volume de negócios anual mundial.
«Quando um tipo de tratamento, em particular quando utiliza novas tecnologias, tendo em conta a sua natureza, âmbito, contexto e finalidades, é suscetível de gerar um risco elevado para os direitos e liberdades das pessoas singulares, o responsável pelo tratamento realiza, antes do tratamento, uma avaliação do impacto das operações de tratamento previstas na proteção dos dados pessoais.» (Regulamento (UE) 2016/679, artigo 35.º, n.º 1).
Longe de ser uma mera formalidade, a AIPD é uma ferramenta de gestão: estrutura a reflexão sobre os riscos e condiciona a legitimidade do tratamento. Integra-se naturalmente numa abordagem global de conformidade com o RGPD.
Quais são as 5 etapas de uma AIPD?
1. Descrever o tratamento
Finalidades, dados tratados, categorias de destinatários, período de conservação e medidas de segurança existentes.
2. Necessidade & proporcionalidade
Justificar a base jurídica, verificar a proporcionalidade face às finalidades e ponderar alternativas menos intrusivas.
3. Analisar os riscos
Para cada risco: probabilidade × gravidade. Avaliam-se o acesso não autorizado, a perda ou alteração dos dados e as consequências para as pessoas.
4. Definir as medidas
Para cada risco elevado: controlos técnicos (encriptação, autenticação forte) e medidas organizativas.
5. Consultar a CNIL
Se persistir um risco elevado apesar das medidas, submeter a AIPD à CNIL e integrar as suas recomendações.
Rever regularmente
Uma AIPD não é estática: deve ser atualizada sempre que haja uma alteração significativa do tratamento.
O que deve ser documentado numa AIPD?
A AIPD deve deixar um registo escrito: descrição do tratamento, justificação da base jurídica, matriz de riscos, medidas de mitigação e formas de recolha do consentimento, contratos com os subcontratantes e planos de resposta a incidentes. A CNIL disponibiliza também um software PIA gratuito e modelos. Esta documentação é a prova concreta da sua accountability e uma mais-valia em caso de violação de dados.
Quais são os riscos e as medidas típicas?
Entre os riscos, encontram-se frequentemente: perda ou alteração de dados, acesso não autorizado, tratamento sem base jurídica válida, violação da confidencialidade ou decisões discriminatórias baseadas nos dados. Entre as medidas mais comuns estão a encriptação, a autenticação forte e o registo de eventos (registo de auditoria), a anonimização ou a pseudonimização, e a formação do pessoal. O objetivo é associar cada risco identificado a uma medida proporcional.
Como realizar uma AIPD na prática?
Identificar os tratamentos de risco
Basear-se no registo das atividades de tratamento para identificar aqueles que exigem uma AIPD.
Envolver as partes interessadas adequadas
Equipas de negócio, IT, área jurídica e, se aplicável, o DPO : a AIPD é um trabalho coletivo.
Avaliar metodicamente
Descrever, justificar, avaliar cada risco (probabilidade × gravidade), sem minimizar nenhum.
Decidir e registar
Selecionar as medidas, atribuir responsabilidades e documentar tudo.
Consultar se necessário
Contactar a CNIL em caso de risco residual elevado e integrar as suas recomendações.
Manter ao longo do tempo
Planear uma revisão periódica e sempre que haja uma alteração importante do tratamento.
Porquê contar com o apoio da BCIT?
As 5 etapas, consigo
Acompanhamos cada etapa da AIPD com as suas equipas de negócio e IT, com modelos da CNIL, até obter uma avaliação de riscos defensável em caso de fiscalização.
Acompanhamento de DPO
A nossa oferta de DPO externalizado assume ou supervisiona as suas avaliações de impacto.
Riscos jurídicos & técnicos
Articulamos a análise RGPD com medidas de segurança concretas, através das nossas auditorias.
Tem um tratamento de risco para avaliar?
Vamos dedicar 15 minutos a identificar os tratamentos que exigem uma AIPD e a definir a abordagem da avaliação de impacto.
AIPD / DPIA: a avaliação de impacto RGPD
A avaliação de impacto sobre a proteção de dados (AIPD, ou DPIA em inglês) é uma obrigação do RGPD para os tratamentos suscetíveis de gerar um risco elevado para os direitos e liberdades das pessoas. Saiba quando e como a realizar.
Quando é obrigatória uma AIPD?
Uma AIPD é obrigatória sempre que um tratamento seja suscetível de gerar um risco elevado para as pessoas em causa. É o caso, nomeadamente, dos tratamentos em grande escala, da monitorização sistemática, dos dados sensíveis (biométricos, de saúde, genéticos), das decisões totalmente automatizadas com efeitos jurídicos, bem como dos novos sistemas e das alterações importantes.
Dois indicadores concretos para decidir: a lista da CNIL (deliberação n.º 2018-327 de 11 de outubro de 2018) identifica 14 tipos de tratamentos para os quais a AIPD é obrigatória, e as orientações do G29 (WP248) estabelecem 9 critérios de risco: quando se verificam 2 critérios, a análise é obrigatória. A sua não realização pode, nos termos do artigo 83.º do RGPD, dar origem a uma coima até 10 000 000 € ou 2 % do volume de negócios anual mundial.
«Quando um tipo de tratamento, em particular quando utiliza novas tecnologias, tendo em conta a sua natureza, âmbito, contexto e finalidades, é suscetível de gerar um risco elevado para os direitos e liberdades das pessoas singulares, o responsável pelo tratamento realiza, antes do tratamento, uma avaliação do impacto das operações de tratamento previstas na proteção dos dados pessoais.» (Regulamento (UE) 2016/679, artigo 35.º, n.º 1).
Longe de ser uma mera formalidade, a AIPD é uma ferramenta de gestão: estrutura a reflexão sobre os riscos e condiciona a legitimidade do tratamento. Integra-se naturalmente numa abordagem global de conformidade com o RGPD.
Quais são as 5 etapas de uma AIPD?
1. Descrever o tratamento
Finalidades, dados tratados, categorias de destinatários, período de conservação e medidas de segurança existentes.
2. Necessidade & proporcionalidade
Justificar a base jurídica, verificar a proporcionalidade face às finalidades e ponderar alternativas menos intrusivas.
3. Analisar os riscos
Para cada risco: probabilidade × gravidade. Avaliam-se o acesso não autorizado, a perda ou alteração dos dados e as consequências para as pessoas.
4. Definir as medidas
Para cada risco elevado: controlos técnicos (encriptação, autenticação forte) e medidas organizativas.
5. Consultar a CNIL
Se persistir um risco elevado apesar das medidas, submeter a AIPD à CNIL e integrar as suas recomendações.
Rever regularmente
Uma AIPD não é estática: deve ser atualizada sempre que haja uma alteração significativa do tratamento.
O que deve ser documentado numa AIPD?
A AIPD deve deixar um registo escrito: descrição do tratamento, justificação da base jurídica, matriz de riscos, medidas de mitigação e formas de recolha do consentimento, contratos com os subcontratantes e planos de resposta a incidentes. A CNIL disponibiliza também um software PIA gratuito e modelos. Esta documentação é a prova concreta da sua accountability e uma mais-valia em caso de violação de dados.
Quais são os riscos e as medidas típicas?
Entre os riscos, encontram-se frequentemente: perda ou alteração de dados, acesso não autorizado, tratamento sem base jurídica válida, violação da confidencialidade ou decisões discriminatórias baseadas nos dados. Entre as medidas mais comuns estão a encriptação, a autenticação forte e o registo de eventos (registo de auditoria), a anonimização ou a pseudonimização, e a formação do pessoal. O objetivo é associar cada risco identificado a uma medida proporcional.
Como realizar uma AIPD na prática?
Identificar os tratamentos de risco
Basear-se no registo das atividades de tratamento para identificar aqueles que exigem uma AIPD.
Envolver as partes interessadas adequadas
Equipas de negócio, IT, área jurídica e, se aplicável, o DPO : a AIPD é um trabalho coletivo.
Avaliar metodicamente
Descrever, justificar, avaliar cada risco (probabilidade × gravidade), sem minimizar nenhum.
Decidir e registar
Selecionar as medidas, atribuir responsabilidades e documentar tudo.
Consultar se necessário
Contactar a CNIL em caso de risco residual elevado e integrar as suas recomendações.
Manter ao longo do tempo
Planear uma revisão periódica e sempre que haja uma alteração importante do tratamento.
Porquê contar com o apoio da BCIT?
As 5 etapas, consigo
Acompanhamos cada etapa da AIPD com as suas equipas de negócio e IT, com modelos da CNIL, até obter uma avaliação de riscos defensável em caso de fiscalização.
Acompanhamento de DPO
A nossa oferta de DPO externalizado assume ou supervisiona as suas avaliações de impacto.
Riscos jurídicos & técnicos
Articulamos a análise RGPD com medidas de segurança concretas, através das nossas auditorias.
Tem um tratamento de risco para avaliar?
Vamos dedicar 15 minutos a identificar os tratamentos que exigem uma AIPD e a definir a abordagem da avaliação de impacto.