Metodologia estruturada, elementos obrigatórios e workflow de 7 passos para uma AIPD eficaz.
O Artigo 35.º n.º 7 do RGPD estabelece os elementos que toda a AIPD deve conter.
Descrição sistemática do tratamento, suas finalidades, categorias de dados e titulares, recipientes dos dados, retenção temporal.
Análise da necessidade e proporcionalidade do tratamento face às finalidades perseguidas. Existe alternativa menos intrusiva?
Identificação sistemática dos riscos para os direitos e liberdades dos titulares. Probabilidade e gravidade de cada risco.
Descrição detalhada de medidas técnicas e organizacionais para reduzir os riscos identificados (pseudonimização, encriptação, controlo de acesso, etc.).
Consulta com DPO, especialistas de IT/segurança, unidades de negócio, e perspectiva dos titulares quando apropriado.
Definição clara de responsabilidades pela implementação de medidas de mitigação e monitorização contínua.
Segue uma abordagem estruturada em 7 etapas para uma AIPD completa e documentada.
Determine se a AIPD é obrigatória analisando os critérios do Artigo 35.º n.º 3 e a lista CNPD. Descreva o escopo do tratamento, finalidades, categorias de dados e titulares. Reúna informações básicas sobre tecnologias utilizadas e contexto operacional.
Documente de forma detalhada: (a) Descrição do fluxo de dados e sistemas; (b) Atores envolvidos (Responsável, Subcontratante, DPO, etc.); (c) Bases legais e legitimidade do tratamento; (d) Consentimento (se aplicável); (e) Períodos de retenção; (f) Medidas de segurança existentes.
Utilizando metodologia estruturada (EDPB WP248 ou CNIL), identifique os riscos potenciais: (a) Risco de acesso não autorizado ou violação de dados; (b) Risco de exclusão arbitrária de titulares; (c) Risco de profiling discriminatório; (d) Risco de ingerência na privacidade. Avalie probabilidade e gravidade de cada risco.
Para cada risco identificado, defina medidas técnicas (encriptação, pseudonimização, controlo de acesso) e organizacionais (formação, políticas, auditorias). Priorize as medidas conforme o nível de risco residual aceitável.
Envolver o Encarregado de Proteção de Dados (obrigatório) e especialistas relevantes (IT, Segurança, Jurídico). Coletar pareceres e integrá-los na AIPD final. O DPO deve avaliar a adequação das medidas propostas.
Se a AIPD indicar risco elevado não adequadamente mitigado, procede consulta prévia à Autoridade de Controlo (CNPD em Portugal) conforme Artigo 36.º. A CNPD responderá em 30 dias.
Obtenha aprovação formal do Responsável pelo Tratamento e DPO. Documente toda a AIPD de forma clara e acessível. Estabeleça calendário de revisão periódica (anualmente ou quando materialmente altere). Monitorize implementação de medidas.
Existem várias metodologias reconhecidas internacionalmente para estruturar a realização de AIPD.
| Metodologia | Origem | Descrição |
|---|---|---|
| CNIL (França) | Comissão Nacional de Informática e Liberdades | Metodologia francesa com matriz de risco estruturada em 3 dimensões (ameaças, vulnerabilidades, consequências). Muito utilizada internacionalmente. |
| ICO (Reino Unido) | Information Commissioner's Office | Abordagem pragmática focada em demonstração de conformidade. Enfatiza documentação clara e consulta com titulares de dados. |
| ISO 29134 | Organização Internacional de Normalização | Padrão internacional que define estrutura, metodologia e elementos de DPIA. Aplicável a qualquer contexto regulatório. |
| EDPB WP248 | Conselho Europeu de Proteção de Dados | Parecer que detalha 9 critérios de avaliação de risco e procedimentos de consulta prévia. Orientação oficial europeia. |
Uma AIPD completa deve produzir os seguintes documentos e artefatos.
Resumo executivo para a gestão: descrição do tratamento, riscos identificados, medidas propostas, conclusão sobre conformidade.
Documentação completa da análise de risco, incluindo matriz de risco, avaliação de vulnerabilidades e medidas de segurança propostas.
Parecer independente do Encarregado de Proteção de Dados sobre a adequação e conformidade da AIPD.
Cronograma de implementação das medidas de mitigação, responsabilidades, recursos necessários e calendário de revisão.
Documentação das consultas internas (especialistas) e, se aplicável, consulta prévia com a Autoridade de Controlo.
Decisão formal do Responsável pelo Tratamento autorizar ou condicionar a implementação do tratamento.
Diferentes tipos de AIPD podem exigir adaptações metodológicas conforme o contexto específico.
Visite a página de Tipos de AIPD para ver guias específicas para:
A AIPD não é um documento estático. Deve ser revista periodicamente ou quando o contexto muda.
Quando Rever a AIPD:
Mantenha um registo de todas as versões da AIPD e das datas de revisão.
O Encarregado de Proteção de Dados desempenha papel central na realização de AIPD.
Conforme o Artigo 39.º do RGPD, o DPO:
Compreendeu a metodologia de AIPD. Explore tipos específicos ou solicite serviços profissionais.
A Audiqcer oferece serviços de realização completa, revisão e formação em AIPD.
Descreva o contexto do seu tratamento para receberíamos recomendações personalizadas e estimativa de esforço.