DPIA e avaliação de impacto na privacidade

Uma Avaliação de Impacto na Proteção de Dados (DPIA) é um processo estruturado exigido pelo Artigo 35 do GDPR para atividades de processamento que representam riscos elevados para os dados pessoais dos indivíduos. Uma DPIA capta a natureza, o âmbito, o contexto e as finalidades do tratamento; avalia necessidade, proporcionalidade e medidas de conformidade; identifica e avalia riscos para os direitos e liberdades dos titulares dos dados; e especifica medidas para enfrentar esses riscos (controlos de segurança, pseudonimização, minimização de dados, limites de retenção). Os ativos de apoio incluem mapas de fluxo de dados (como os dados pessoais se movem através dos sistemas e através das fronteiras), avaliações de interesses legítimos e registos de processadores de terceiros.

As DPIA são legalmente exigidas pelo artigo 35.º do RGPD para o tratamento que possa resultar em elevado risco para os indivíduos — incluindo a definição sistemática de perfis, o tratamento em grande escala de categorias especiais de dados e a monitorização sistemática de áreas acessíveis ao público. A não realização de uma DPIA exigida pode resultar em penalidades regulatórias e demonstra falta de responsabilidade – um princípio fundamental do GDPR. Além da conformidade legal, as DPIAs demonstram aos reguladores e aos titulares dos dados que a organização considerou e abordou sistematicamente os riscos de privacidade. Eles também são cada vez mais exigidos por leis de privacidade de países terceiros (LGPD brasileira, GDPR do Reino Unido, CPRA da Califórnia) e por seguradoras como prova de gerenciamento de riscos de privacidade.

Os relatórios completos da DPIA abrangem a avaliação completa — descrição do processamento, avaliação da necessidade e da proporcionalidade, identificação dos riscos, registos de consultas (com o responsável pela proteção de dados e, quando necessário, com a autoridade de controlo) e medidas de mitigação. Os mapas e inventários de fluxo de dados mostram como os dados pessoais se movem através dos sistemas, através das fronteiras e entre processadores – apoiando registros de atividades de processamento (ROPA) e prontidão para notificação de violação. As avaliações de interesse legítimo (LIAs) são avaliações em três partes necessárias para o processamento que se baseia no interesse legítimo como base legal nos termos do Artigo 6(1)(f) do GDPR. Os registros de processadores de terceiros rastreiam todos os processadores e subprocessadores de dados, incluindo o status do contrato de processamento de dados (DPA), mecanismos de transferência e localização – necessários para a responsabilidade contínua do GDPR.

Ativos DPIan, mapas de fluxo de dados e registros de processador são carregados no Sustalium e vinculados às estruturas de conformidade de privacidade relevantes. As evidências de privacidade se conectam aos registros de conformidade do GDPR, aos procedimentos de direitos dos titulares dos dados e aos protocolos de notificação de violação. Sustalium rastreia cronogramas de revisão de DPIA – os DPIAs devem ser revisados ​​quando as operações de processamento mudam significativamente – e sinaliza DPIAs expiradas para reavaliação. Os registros do processador estão vinculados aos registros de aquisição para que novos compromissos do processador acionem automaticamente os requisitos de revisão da DPIA. Para organizações que operam em diversas jurisdições, a Sustalium mapeia os requisitos de conformidade de privacidade para as implementações nacionais aplicáveis ​​do GDPR e outras leis de privacidade.

O GDPR é a estrutura principal – o Artigo 35 exige DPIAs, o Artigo 30 exige registros de atividades de processamento, o Artigo 32 exige medidas de segurança registradas e o Artigo 33 exige procedimentos de notificação de violação registrados. A Lei da UE sobre IA exige avaliações de impacto semelhantes às DPIA para sistemas de IA de alto risco. A DORA exige avaliações de risco de TIC que se sobreponham ao mapeamento do processamento de dados da DPIA. A Diretiva Privacidade Eletrónica exige avaliações de privacidade para o processamento de comunicações eletrónicas. As leis de privacidade de fora da UE, incluindo o GDPR do Reino Unido, a LGPD brasileira, a CPRA da Califórnia e a PIPL da China, todas têm requisitos de DPIA ou equivalentes. A ISO 27701 (gestão de informações de privacidade) exige processos registrados de avaliação de impacto na privacidade.