Checklist para o EPD: anonimização documental em 15 pontos

Para um Encarregado da Proteção de Dados (EPD), avaliar um processo de anonimização documental exige verificar aspetos técnicos, jurídicos e organizativos. Esta checklist de 15 pontos permite-lhe auditar qualquer fluxo de anonimização — manual ou automatizado — e detetar riscos antes que se transformem em incidentes ou coimas.

Avaliação técnica

• A anonimização é irreversível? Foi testada com tentativas de reidentificação?
• O conteúdo subjacente do PDF é eliminado ou apenas a camada visual?
• Os metadados do ficheiro são limpos (autor, histórico de revisões, comentários ocultos)?
• A ferramenta deteta todos os tipos relevantes de dados pessoais (número de identificação, telefone, e-mail, IBAN, morada)?
• Existe um registo da versão do modelo ou da ferramenta utilizada em cada tratamento?

Avaliação jurídica e organizativa

• Existe um fundamento jurídico documentado para o tratamento anterior à anonimização?
• Foi realizada uma AIPD caso o tratamento envolva IA ou dados sensíveis?
• O contrato de subcontratação (quando aplicável) inclui cláusulas sobre anonimização?
• Existe um protocolo de revisão humana para documentos de alto risco?
• Os originais são conservados com acesso restrito e um prazo de conservação definido?

Avaliação da infraestrutura

Próximos passos

Se algum ponto desta checklist não for cumprido, priorize as medidas corretivas em função do risco: primeiro a irreversibilidade técnica, depois o local do tratamento e, por fim, a documentação organizativa. Um processo de anonimização bem auditado é a sua melhor defesa perante uma inspeção da CNPD ou de outra autoridade de controlo.