Uma Avaliação de Impacto à Proteção de Dados (DPIA) nos termos do Artigo 35 do GDPR é exigida sempre que o processamento for suscetível de resultar em alto risco aos direitos e liberdades das pessoas físicas. O Grupo de Trabalho do Artigo 29 (atual EDPB) estabeleceu nove critérios — quando dois ou mais se aplicam, realize um DPIA.

Um DPIA defensável tem cinco etapas: descrever o processamento, avaliar a necessidade e a proporcionalidade, identificar riscos, identificar mitigações e, então, aprovar formalmente e agendar a revisão. A metodologia da ICO e as Diretrizes do EDPB estão fortemente alinhadas quanto a essa estrutura.

Bem feito, um DPIA é um artefato que molda o produto — não um ritual de conformidade. Ele revela riscos cedo e força escolhas sobre minimização de dados, retenção e acesso. Os melhores DPIAs são concluídos antes da primeira linha de código.

O Artigo 35(1) exige um DPIA quando o processamento for "suscetível de resultar em alto risco". O Artigo 35(3) lista três casos obrigatórios:

1. Avaliação sistemática e extensa de aspectos pessoais com base em processamento automatizado, incluindo criação de perfis, que produza efeitos jurídicos ou efeitos similarmente significativos.
2. Processamento em larga escala de categorias especiais de dados (Artigo 9) ou de dados de condenações criminais (Artigo 10).
3. Monitoramento sistemático de uma área de acesso público em larga escala.

A maioria das Autoridades de Controle publica listas nacionais (Artigo 35(4)) de processamentos adicionais que sempre exigem um DPIA. Verifique as listas da sua Autoridade de Controle principal e de quaisquer Autoridades cujos residentes do Estado-Membro você processe.

Quando não estiver claro, aplique o teste dos nove critérios. Dois ou mais = DPIA exigido.

1. Avaliação ou pontuação — criação de perfis, análise comportamental.
2. Decisão automatizada com efeito jurídico ou similarmente significativo.
3. Monitoramento sistemático — observação de área pública, monitoramento de funcionários, rastreamento na web.
4. Dados sensíveis ou altamente pessoais — categorias especiais, dados criminais, mas também dados financeiros, de localização e de comunicações eletrônicas.
5. Dados processados em larga escala.
6. Correspondência ou combinação de conjuntos de dados — inclusive de diferentes controladores ou para diferentes finalidades.
7. Dados relativos a titulares de dados vulneráveis — crianças, funcionários, pessoas com doença mental, requerentes de asilo.
8. Uso inovador ou aplicação de novas soluções tecnológicas ou organizacionais — IA, biometria, IoT.
9. Impede que titulares de dados exerçam um direito ou utilizem um serviço / contrato.

A base de qualquer DPIA é uma descrição precisa do que você realmente faz com os dados. Registre:

• Natureza — categorias de dados pessoais, fontes, destinatários, retenção, segurança técnica, transferências internacionais.
• Âmbito — volume de dados, número de titulares de dados, extensão geográfica e temporal.
• Contexto — natureza da relação com os titulares dos dados, controle que eles possuem, sensibilidade do contexto (ambiente de trabalho, saúde).
• Finalidades — o que você busca alcançar, resultados pretendidos, valor para o negócio.

Combine isso com um diagrama de fluxo de dados. Descrições em texto livre deixam passar pontos que os diagramas de fluxo de dados capturam.

• Base legal — Artigo 6(1)(a)–(f). Se for categoria especial, também a condição do Artigo 9(2).
• Alternativas menos intrusivas consideradas — seria possível alcançar a finalidade com menos dados, dados anonimizados, dados agregados ou retenção mais curta?
• Limitação da finalidade — cada categoria de dados realmente sustenta a finalidade declarada?
• Minimização de dados — uma lista explícita de campos e uma justificativa documentada para cada um.
• Qualidade e exatidão — quais mecanismos mantêm os dados atualizados?
• Retenção e exclusão — períodos exatos, com a justificativa legal/de negócio.
• Informação e direitos — como você informa os titulares dos dados e como eles exercem seus direitos?

Para cada risco identificável, documente:

• Descrição do risco (clara, em linguagem simples).
• Origem do risco.
• Probabilidade de a ameaça se concretizar (baixa / média / alta).
• Severidade do dano aos titulares dos dados (baixa / média / alta).
• Pontuação geral de risco.

Tipos de ameaça a serem cobertos rotineiramente: acesso não autorizado (interno, atacante externo), modificação (perda de integridade), perda (destruição, indisponibilidade), discriminação, roubo de identidade, prejuízo financeiro, dano reputacional, perda de confidencialidade, perda de controle sobre os dados, reidentificação de dados pseudonimizados.

Para cada risco, identifique o tratamento planejado:

• Aceitar — o risco residual é aceitável. Documente o porquê e quem aprovou.
• Reduzir — controles aplicados (criptografia, gestão de acessos, treinamento, redução da retenção).
• Evitar — alterar o tratamento para eliminar o risco (usar dados anonimizados em vez disso, descontinuar uma funcionalidade).
• Transferir — alocação contratual (rara para riscos primários; comum para responsabilidade residual via seguro ou termos com fornecedores).

Reavalie o risco residual após os controles planejados. Se o risco residual permanecer alto, você deve consultar a Autoridade de Supervisão antes do início do tratamento (Artigo 36).

• Parecer do DPO (Artigo 35(2)) — o DPO deve ser consultado; o controlador pode divergir do parecer, mas deve documentar o raciocínio.
• Consulta às partes interessadas — o Artigo 35(9) recomenda consultar os titulares dos dados ou seus representantes quando apropriado.
• Autoridade de aprovação — normalmente o responsável sênior com prestação de contas do controlador de dados (CISO, COO ou CEO para tratamentos críticos para a empresa).
• Publicação — não exigida pelo GDPR, mas o ICO e muitas SAs recomendam publicar resumos editados do DPIA como sinal de confiança.
• Ciclo de revisão — o Artigo 35(11) exige revisão quando houver alteração do risco representado pelas operações de tratamento. Defina uma revisão em calendário, no mínimo, anualmente.

A consulta prévia do Artigo 36 é exigida quando, após aplicar as medidas de mitigação, o risco residual aos direitos e liberdades permanecer alto.

A SA recebe:

• O próprio DPIA.
• Responsabilidades do controlador e de quaisquer controladores conjuntos / operadores.
• Finalidades e meios do tratamento pretendido.
• Medidas e salvaguardas.
• Dados de contato do DPO.
• Quaisquer outras informações solicitadas pela SA.

Prazo de resposta da SA: 8 semanas (prorrogável por 6 semanas em casos complexos). O tratamento não pode começar durante esse período sem autorização.

Cenário: Uma empresa de logística planeja introduzir registro de entrada/saída baseado em reconhecimento facial para 4.500 trabalhadores de armazém em 12 unidades na Alemanha e na Espanha.

Teste de limiar: Dados sensíveis (dados biométricos do Artigo 9 para identificação) + larga escala + titulares vulneráveis (empregados) + uso inovador = território claro de DPIA. As listas das SAs alemã e espanhola também classificam a identificação biométrica no ambiente de trabalho como DPIA obrigatório.

Descrição (Etapa 1): Modelos faciais derivados de câmera frontal na entrada da unidade; comparados com o modelo cadastrado armazenado em um equipamento por unidade; correspondências registradas com data/hora e ID do trabalhador; modelos biométricos retidos pelo período do contrato de trabalho + 30 dias; logs de correspondência retidos por 3 anos.

Necessidade (Etapa 2): Base legal Artigo 6(1)(b) contrato de trabalho + 9(2)(b) obrigação de direito trabalhista (Alemanha) e consentimento explícito (Espanha, com codeterminação do conselho de trabalhadores). Alternativas consideradas: cartão com PIN (rejeitado — registro por terceiros), crachá com NFC (rejeitado — mesmo motivo), impressão digital (rejeitado — higiene). Justificada a necessidade dos modelos faciais em relação às alternativas.

Riscos (Etapa 3): (a) A centralização dos modelos biométricos cria um alvo atraente para violação. (b) Falsa não correspondência causando dedução salarial. (c) Desvio de finalidade — dados de registro de ponto usados para avaliação de desempenho. (d) Coerção do empregado: recusar a coleta biométrica força a não adesão a condições piores.

Tratamento (Etapa 4): (a) Equipamento local por unidade; modelos criptografados com chaves gerenciadas por HSM; sem cópia em nuvem. (b) Fluxo de substituição manual para não correspondência; a folha de pagamento não pode descontar com base apenas em falha de registro de ponto. (c) Proibição contratual + separação técnica entre dados de registro de ponto e sistemas de desempenho de RH. (d) Caminho genuíno de não adesão (alternativa por crachá) sem prejuízo, documentado no acordo com o conselho de trabalhadores.

Aprovação: Parecer do DPO obtido — recomendou a exclusão dos modelos faciais após 7 dias do encerramento do contrato, em vez de 30. O controlador aceitou. Codeterminação do conselho de trabalhadores obtida. Risco residual: médio-baixo. Não foi necessária consulta à SA.

• Pular o teste de limiar. Fizeram o DPIA cedo demais; depois perceberam que não precisavam de um. O oposto (não fazer um e a fiscalização revelar a necessidade) é muito pior.
• Tratar a necessidade como mera formalidade. "Alternativas menos intrusivas consideradas" é a seção que os reguladores leem com mais atenção. Menções simbólicas não sobrevivem a uma auditoria.
• Ambiguidade do responsável pelo risco. Riscos sem uma pessoa nomeada com prestação de contas tendem a permanecer sem tratamento.
• Omitir a etapa de consulta ao titular dos dados. Quando apropriado (empregados, ampla base de usuários), a consulta do Artigo 35(9) fortalece a defensabilidade.
• Não reavaliar o risco residual. Se você não reavalia após o tratamento, não consegue demonstrar se o Artigo 36 é acionado.
• Tratar o DPIA como um artefato único. Alterações materiais (nova categoria de dados, novo operador, nova jurisdição, nova finalidade) acionam novamente a avaliação.
• Deixar a engenharia concluir o DPIA por conta própria. O envolvimento de um profissional de privacidade é exigido pelo Artigo 35(2). Sem ele, a avaliação carece de fundamento jurídico.