Glossário · Glossário · Conformidade RGPD
Avaliação de impacto sobre a proteção de dados (AIPD)
Equipa Anonimatum
Em resumo
A AIPD é a avaliação que o responsável deve fazer antes de iniciar um tratamento suscetível de implicar um elevado risco para os direitos e liberdades das pessoas: descrever o tratamento, verificar a sua necessidade, avaliar os riscos e definir medidas.
A avaliação de impacto sobre a proteção de dados (AIPD, ou DPIA em inglês) está prevista no artigo 35.º do RGPD. Não se aplica a todos os tratamentos, mas aos que, pela sua natureza, âmbito, contexto ou finalidades, podem afetar seriamente as pessoas: videovigilância em grande escala, definição de perfis automatizada, grandes volumes de dados de saúde ou tecnologias novas como a IA.
Faz-se antes de começar o tratamento, documenta-se e revê-se quando as circunstâncias mudam. Bem feita, é uma ferramenta de conceção: obriga a perguntar se todos os dados são necessários e se poderiam ser anonimizados ou pseudonimizados.
Quando a AIPD é obrigatória
O artigo 35.º, n.º 1, do RGPD exige a AIPD quando o tratamento for suscetível de implicar um elevado risco. O n.º 3 indica três casos em que é sempre necessária:
- Avaliação sistemática e completa de aspetos pessoais, baseada em tratamento automatizado, incluindo a definição de perfis, que sirva de base a decisões com efeitos jurídicos ou igualmente significativos.
- Tratamento em grande escala de categorias especiais de dados (artigo 9.º) ou de dados relativos a condenações penais e infrações (artigo 10.º).
- Controlo sistemático de zonas acessíveis ao público em grande escala.
Para além destes casos, as orientações do Grupo de Trabalho do Artigo 29 (WP248 rev.01), assumidas pelo Comité Europeu para a Proteção de Dados, apontam nove critérios: avaliação ou pontuação, decisões automatizadas, controlo sistemático, dados sensíveis, grande escala, combinação de conjuntos de dados, titulares vulneráveis, utilização inovadora de tecnologia e tratamentos que impedem o exercício de direitos. Em regra, se se verificarem dois ou mais, a AIPD deve ser realizada.
A lista da CNPD
Ao abrigo do artigo 35.º, n.º 4, a CNPD aprovou o Regulamento n.º 1/2018, publicado em Diário da República como Regulamento n.º 798/2018, com a lista de tratamentos sujeitos a AIPD. A lista não é exaustiva: um tratamento que não conste dela pode ainda exigir AIPD à luz dos critérios europeus. A CNPD disponibiliza no seu sítio informação sobre a AIPD e o procedimento de consulta prévia.
O que deve conter
| Elemento | Na prática |
|---|---|
| Descrição sistemática do tratamento e das finalidades | Fluxos de dados, sistemas, subcontratantes, prazos de conservação |
| Necessidade e proporcionalidade | Porquê estes dados e não menos; fundamento de licitude |
| Avaliação dos riscos para os direitos e liberdades | Probabilidade e gravidade de acessos indevidos, reidentificação, discriminação |
| Medidas previstas para fazer face aos riscos | Minimização, pseudonimização, anonimização, cifragem, controlo de acessos, formação |
O responsável deve solicitar o parecer do encarregado da proteção de dados (artigo 35.º, n.º 2). Se, apesar das medidas, o risco residual continuar elevado, tem de consultar a CNPD antes de iniciar o tratamento (artigo 36.º). A omissão de uma AIPD obrigatória é sancionável nos termos do artigo 83.º, n.º 4, do RGPD.
Anonimização e pseudonimização como medidas
Poucas medidas reduzem tanto o risco como deixar de tratar dados identificativos. Se uma análise puder ser feita com dados verdadeiramente anónimos, estes ficam fora do âmbito do RGPD (considerando 26). Atenção: a própria anonimização é um tratamento de dados pessoais e deve ser avaliada, incluindo o risco de reidentificação.
Quando é preciso manter a ligação entre registos, a pseudonimização é a medida típica, referida expressamente nos artigos 25.º e 32.º. Os dados continuam a ser pessoais, pelo que a AIPD deve explicar quem guarda a tabela de correspondência e como é protegida. Desenvolvemos um exemplo no artigo sobre a AIPD de um projeto de anonimização.
Onde entra o Anonimatum
O Anonimatum aplica estas medidas a documentos: rasura irreversível ou pseudonimização com substituições coerentes e mapas guardados cifrados. Para a AIPD da própria ferramenta, é relevante que a IA corre em servidores na União Europeia sem enviar o texto a APIs externas de modelos de linguagem e que a Politeia Soft tem a certificação de segurança espanhola ENS (categoria MÉDIA), cujo âmbito inclui o Anonimatum. Mais informação na página de segurança.
Perguntas frequentes
Quem faz a AIPD?
O responsável pelo tratamento. Subcontratantes ou consultores podem ajudar, mas a responsabilidade é sua e deve ouvir o EPD.
É preciso repeti-la?
Deve ser revista quando o risco muda, por exemplo com novas fontes de dados, finalidades ou tecnologias (artigo 35.º, n.º 11).
Anonimizar dispensa a AIPD?
Pode dispensá-la para a utilização posterior de dados verdadeiramente anónimos, mas o processo de anonimização trata dados pessoais e deve ser avaliado.
A AIPD tem de ser publicada?
O RGPD não o exige, embora publicar um resumo possa reforçar a confiança.
Das medidas da AIPD à prática
Compare os planos e comece a anonimizar ou pseudonimizar documentos com IA alojada na UE e revisão humana.