RGPD – Avaliação de Impacto sobre a Proteção de Dados

O instrumento para uma avaliação de impacto sobre a privacidade (PIA) ou avaliação de impacto sobre a proteção de dados (DPIA) foi introduzido com o Regulamento Geral de Proteção de Dados (Art. 35 do RGPD). Isso se refere à obrigação do responsável pelo tratamento de realizar uma avaliação de impacto e documentá-la antes de iniciar o processamento de dados pretendido. Pode-se agrupar a avaliação para vários procedimentos de processamento.

Basicamente, uma avaliação de impacto na proteção de dados deve sempre ser conduzida quando o processamento puder resultar em alto risco para os direitos e liberdades das pessoas naturais. A avaliação deve ser realizada especialmente se um dos exemplos de regras estabelecidos no Art. 35(3) do RGPD for relevante. Para especificar a redação aberta da lei em relação à obrigação básica de realizar uma avaliação de impacto de privacidade, as autoridades de supervisão estão envolvidas. Em um primeiro rascunho, o Grupo de Trabalho do Artigo 29 criou um catálogo de dez critérios que indicam que o processamento acarreta um alto risco para os direitos e liberdades de uma pessoa natural. Estes são, por exemplo, pontuação/perfilação, decisões automáticas que levam a consequências jurídicas para os impactados, monitoramento sistemático, processamento de dados pessoais especiais, dados que são processados em larga escala, a fusão ou combinação de dados que foram coletados por vários processos, dados sobre pessoas incapacitadas ou com capacidade limitada de agir, uso de tecnologias mais recentes ou procedimentos biométricos, transferência de dados para países fora da UE/EEE e processamento de dados que dificulta o exercício dos direitos dos envolvidos. Uma avaliação de impacto de privacidade não é absolutamente necessária se uma operação de processamento cumprir apenas um desses critérios. No entanto, se vários critérios forem atendidos, espera-se que o risco para os titulares de dados seja alto e uma avaliação de impacto na proteção de dados seja sempre necessária. Se houver dúvidas e for difícil determinar um alto risco, uma DPIA deve, no entanto, ser conduzida. Este processo deve ser repetido pelo menos a cada três anos.

Além disso, as autoridades nacionais de supervisão devem estabelecer e publicar uma lista de operações de tratamento que sempre exigem uma avaliação de impacto sobre a proteção de dados em sua jurisdição (lista positiva). Elas também estão livres para publicar uma lista de atividades de tratamento que especificamente não exigem uma avaliação de impacto de privacidade (lista negativa). Se uma empresa nomeou um Encarregado de Proteção de Dados, seu conselho deve ser levado em consideração ao realizar uma DPIA. Como e por quais critérios as consequências e riscos para os titulares dos dados são avaliados, permanece em grande parte sem resposta. Os primeiros modelos foram guiados pelos esquemas de inspeção das normas ISO ou pelo Modelo Padrão de Proteção de Dados.