AIPD: obrigatória quando o tratamento gera um risco elevado

Uma avaliação de impacto sobre a proteção de dados (AIPD) é um processo estruturado destinado a identificar e minimizar os riscos para a proteção de dados antes do início do tratamento. Não se trata de uma boa prática facultativa — o artigo 35.º do GDPR torna-a obrigatória sempre que o tratamento seja suscetível de criar um risco elevado para os direitos e liberdades das pessoas. Entre os fatores desencadeadores comuns encontram-se o controlo sistemático de pessoas (por exemplo, videovigilância num centro comercial), o tratamento em larga escala de categorias especiais de dados (saúde, dados biométricos, opiniões políticas) ou a utilização de novas tecnologias de formas inovadoras (por exemplo, definição de perfis por AI para avaliação da solvabilidade). O contraste essencial: um tratamento de baixo risco, como um boletim informativo para o pessoal, não necessita de uma AIPD, mas um tratamento de risco elevado exige-a sempre.

Para identificar rapidamente uma pergunta sobre uma AIPD, procure no cenário palavras-chave como «sistemático», «larga escala», «dados sensíveis» ou «nova tecnologia». Se o tratamento envolver definição de perfis, localização ou avaliação de pessoas (por exemplo, do desempenho no trabalho), isso constitui um sinal de alerta de risco elevado. Um truque útil de eliminação: se a pergunta apresentar uma AIPD como facultativa, essa opção está quase certamente errada quando os factos revelam um risco elevado. Outra pista: a AIPD deve ser realizada antes do início do tratamento, e não após a ocorrência de uma violação — por conseguinte, uma armadilha relativa à cronologia poderá tentar apresentá-la como uma medida reativa.

Memorize o indicador «HIGH» — H de health (saúde)/dados biométricos, I de innovative technology (tecnologia inovadora), G de large-scale gathering (recolha em grande escala) e H de high-risk profiling (definição de perfis de alto risco). Se algum destes elementos estiver presente, a AIPD é obrigatória, não apenas desejável. Para se testar, pergunte: «Este tratamento levaria uma pessoa razoável a preocupar-se com a sua privacidade?» Se sim, é necessária uma AIPD.