AIPD

A AIPD é um processo concebido para descrever o tratamento, avaliar a necessidade e proporcionalidade desse tratamento e ajudar a gerir riscos para os direitos e liberdades das pessoas decorrentes do tratamento de dados pessoais, avaliando-os e determinando as medidas necessárias para fazer face a esses riscos.

A AIPD deve ser encarada como um instrumento de apoio à tomada de decisão em relação ao tratamento de dados pessoais, na medida em que se trata de um processo contínuo que visa estabelecer e demonstrar a conformidade do tratamento de dados com o Regulamento Geral de Proteção de Dados.

É obrigatório realizar uma AIPD sempre que o tratamento seja suscetível de resultar num elevado risco para os direitos e as liberdades das pessoas, nomeadamente quando existe(m)(art.º 35/3 do RGPD):

Avaliação sistemática e completa dos aspetos pessoais relacionados com pessoas singulares, baseada no tratamento automatizado, incluindo a definição de perfis, sendo com base nela adotadas decisões que produzem efeitos jurídicos relativamente à pessoa singular ou que a afetem significativamente de forma similar; Operações de tratamento em grande escala de categorias especiais de dados a que se refere o artigo 9.º, n.º 1, ou de dados pessoais relacionados com condenações penais e infrações a que se refere o artigo 10.º; ou Controlo sistemático de zonas acessíveis ao público em grande escala.

Para este efeito, devem ser considerados nove critérios (Orientações WP 248, do GT do Artigo 29.º):

1. Avaliação ou classificação. Inclui definição de perfis e previsão de aspetos relacionados com:

• O desempenho profissional;
• A situação económica e dados financeiros;
• A saúde;
• Preferências ou interesses pessoais;
• Fiabilidade ou comportamento pessoais;
• Localização ou deslocações do titular dos dados pessoais.

2. Decisões automatizadas que produzam efeitos jurídicos relativamente à pessoa singular ou a afetem de forma similar - Abrange o tratamento de dados pessoais destinado à tomada de decisões sobre o respetivo titular e que produza efeitos jurídicos ou similares.

3. Controlo Sistemático - Inclui o tratamento de dados utilizado para observar, monitorizar ou controlar os titulares de dados, abrange os dados recolhidos através de redes, ou um controlo sistemático de zonas acessíveis ao público.

4. Dados sensíveis ou dados de natureza altamente pessoal - Inclui categorias especiais de dados pessoais.

5. Dados tratados em grande escala - Atende aos seguintes fatores:

• O número de titulares de dados envolvidos, quer através de um número específico quer através de uma percentagem pertinente;
• O volume de dados e/ou a diversidade de dados a tratar;
• A duração da atividade de tratamento de dados ou a sua pertinência;
• A dimensão geográfica da atividade de tratamento.

6. Estabelecer correspondências ou combinar conjunto de dados, por exemplo, com origem em duas ou mais operações de tratamento de dados realizados com diferentes finalidades e/ou por diferentes responsáveis pelo tratamento de dados que excedam as expectativas razoáveis do titular dos dados.

7. Dados relativos a titulares de dados vulneráveis - Existe um acentuado desequilíbrio de poder entre os titulares dos dados e o responsável pelo tratamento dos dados, quando o titular do dados não tem capacidade para consentir, ou opor-se, facilmente ao tratamento dos seus dados ou de exercer os seus direitos. Os titulares de dados vulneráveis podem incluir crianças.

8. Utilização de soluções inovadoras ou aplicação de novas soluções tecnológicas ou organizacionais, como a recolha de impressão digital e do reconhecimento facial. Justifica-se sempre que a utilização de novas tecnologias envolva novas formas de recolha e utilização de dados, possivelmente com elevado risco para os direitos e as liberdades das pessoas.

9. Quando o próprio tratamento impede os titulares dos dados de exercer um direito ou de utilizar um serviço ou contrato.

A preparação de uma AIPD inclui, pelo menos, 3 fases (art.º 35/7 do RGPD):

Os elementos de uma AIPD são:

Este documento pode levar até 6 meses a ser concluído, dependendo da natureza organizacional de pessoas, processos, procedimentos que tenham a ver com dados pessoais e, por uma questão de boas práticas, a AIPD deve ser continuamente revista e regularmente reavaliada.

Sempre que não se conseguir encontrar medidas suficientes para reduzir os riscos elevados identificados para um nível aceitável, é obrigatório consultar a autoridade de controlo.

Referências e outra documentação útil

Avaliação de impacto sobre a proteção de dados

1. Quando um certo tipo de tratamento, em particular que utilize novas tecnologias e tendo em conta a sua natureza, âmbito, contexto e finalidades, for suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares, o responsável pelo tratamento procede, antes de iniciar o tratamento, a uma avaliação de impacto das operações de tratamento previstas sobre a proteção de dados pessoais. Se um conjunto de operações de tratamento que apresentar riscos elevados semelhantes, pode ser analisado numa única avaliação.

2. Ao efetuar uma avaliação de impacto sobre a proteção de dados, o responsável pelo tratamento solicita o parecer do encarregado da proteção de dados, nos casos em que este tenha sido designado.

3. A realização de uma avaliação de impacto sobre a proteção de dados a que se refere o n.º 1 é obrigatória nomeadamente em caso de:

a) Avaliação sistemática e completa dos aspetos pessoais relacionados com pessoas singulares, baseada no tratamento automatizado, incluindo a definição de perfis, sendo com base nela adotadas decisões que produzem efeitos jurídicos relativamente à pessoa singular ou que a afetem significativamente de forma similar;
b) Operações de tratamento em grande escala de categorias especiais de dados a que se refere o artigo 9.º, n.º 1, ou de dados pessoais relacionados com condenações penais e infrações a que se refere o artigo 10.º; ou
c) Controlo sistemático de zonas acessíveis ao público em grande escala.

4. A autoridade de controlo elabora e torna pública uma lista dos tipos de operações de tratamento sujeitos ao requisito de avaliação de impacto sobre a proteção de dados por força do n.º 1. A autoridade de controlo comunica essas listas ao Comité referido no art.º 68.º.

5. A autoridade de controlo pode também elaborar e tornar pública uma lista dos tipos de operações de tratamento em relação aos quais não é obrigatória uma análise de impacto sobre a proteção de dados. A autoridade de controlo comunica essas listas ao Comité.

6. Antes de adotar as listas a que se referem os n.º^s 4 e 5, a autoridade de controlo competente aplica o procedimento de controlo da coerência referido no art.º 63.º sempre que essas listas enunciem atividades de tratamento relacionadas com a oferta de bens ou serviços a titulares de dados ou com o controlo do seu comportamento em diversos Estados-Membros, ou possam afetar substancialmente a livre circulação de dados pessoais na União.

7. A avaliação inclui, pelo menos:

a) Uma descrição sistemática das operações de tratamento previstas e a finalidade do tratamento, inclusive, se for caso disso, os interesses legítimos do responsável pelo tratamento;

b) Uma avaliação da necessidade e proporcionalidade das operações de tratamento em relação aos objetivos;

c) Uma avaliação dos riscos para os direitos e liberdades dos titulares dos direitos a que se refere o n.º 1; e

d) As medidas previstas para fazer face aos riscos, incluindo as garantias, medidas de segurança e procedimentos destinados a assegurar a proteção dos dados pessoais e a demonstrar a conformidade com o presente regulamento, tendo em conta os direitos e os legítimos interesses dos titulares dos dados e de outras pessoas em causa.

8. Ao avaliar o impacto das operações de tratamento efetuadas pelos responsáveis pelo tratamento ou pelos subcontratantes, em especial para efeitos de uma avaliação de impacto sobre a proteção de dados, é tido na devida conta o cumprimento dos códigos de conduta aprovados a que se refere o art.º 40.º por parte desses responsáveis ou subcontratantes.

9. Se for adequado, o responsável pelo tratamento solicita a opinião dos titulares de dados ou dos seus representantes sobre o tratamento previsto, sem prejuízo da defesa dos interesses comerciais ou públicos ou da segurança das operações de tratamento.

10. Se o tratamento efetuado por força do art.º 6.º, n.º 1, al. c) ou e), tiver por fundamento jurídico o direito da União ou do Estado-Membro a que o responsável pelo tratamento está sujeito, e esse direito regular a operação ou as operações de tratamento específicas em questão, e se já tiver sido realizada uma avaliação de impacto sobre a proteção de dados no âmbito de uma avaliação de impacto geral no contexto da adoção desse fundamento jurídico, não são aplicáveis os n.º^s 1 a 7, salvo se os Estados-Membros considerarem necessário proceder a essa avaliação antes das atividades de tratamento.

11. Se necessário, o responsável pelo tratamento procede a um controlo para avaliar se o tratamento é realizado em conformidade com a avaliação de impacto sobre a proteção de dados, pelo menos quando haja uma alteração dos riscos que as operações de tratamento representam.

Tendo por base o Regulamento Geral da Proteção de Dados (artigo 35.º), as Orientações WP248 do Grupo de Trabalho do Artigo 29.º e o Regulamento n.º 1/2018 da Comissão Nacional de Proteção de Dados, conclui-se que deve ser realizada AVALIAÇÃO DE IMPACTO SOBRE PROTEÇÃO DE DADOS quando:



Nota: Quanto maior o número de pontos satisfeitos pelo tratamento em análise, maior é a probabilidade de este implicar um elevado risco para os direitos e as liberdades dos titulares dos dados e, por conseguinte, de necessitar de uma AIPD, independentemente das medidas que o responsável pelo tratamento pretender adotar.

^{fonte: Orientação WP 248 / GT do Artigo 29.º.}