Uma nova utilização de dados precisa de uma decisão antes de começar. Ter informação disponível num sistema não significa que a organização a possa usar para qualquer projeto. A limitação das finalidades exige explicar o objetivo inicial, identificar o que muda e avaliar se o tratamento posterior pode prosseguir nas condições propostas.
Este método produz uma ficha de mudança de finalidade com critérios, exemplos preenchidos e condições de execução. Serve para situações como transformar pedidos de apoio em material de análise, cruzar bases ou utilizar resultados para contactar pessoas. O objetivo é decidir sobre uma operação concreta, com alternativas que reduzam dados e consequências.
Escrever a finalidade com precisão suficiente
O artigo 5.º, n.º 1, alínea b), do RGPD exige finalidades determinadas, explícitas e legítimas e limita tratamentos posteriores incompatíveis. A finalidade descreve o objetivo; o fundamento jurídico explica a condição que permite tratar. «Interesse legítimo» não é uma descrição suficiente do que a organização pretende fazer.
Uma formulação útil identifica ação e resultado: «tratar pedidos de reparação para organizar a intervenção e informar o cliente». Isso permite decidir que dados são necessários e que acesso faz sentido. «Melhorar a empresa» não oferece o mesmo limite operacional. A precisão deve ser suficiente para o contexto, sem confundir finalidade com todos os detalhes técnicos do sistema.
O parecer WP203 de 2013 sobre limitação das finalidades explica a especificação e a compatibilidade no quadro anterior ao RGPD. É uma referência interpretativa histórica; a decisão atual deve ser ancorada no regulamento em vigor, incluindo as condições do artigo 6.º, n.º 4.
Descrever o que muda no projeto
Compare pessoas abrangidas, campos, destinatários, acesso, conservação, efeitos e finalidade. Uma alteração de ferramenta pode conservar o objetivo e mudar riscos relevantes. Uma alteração aparentemente pequena, como acrescentar uma pontuação comercial, pode introduzir um uso novo mesmo sem mudar o sistema.
Peça ao proponente que explique que decisão será tomada com os resultados. Se pretende apenas contar tipos de avaria, pode ser possível trabalhar com menos dados. Se pretende identificar clientes para lhes fazer propostas, a operação tem outra finalidade e consequências. A minimização dos dados ajuda a encontrar alternativas antes de avaliar a reutilização de toda a base.
A ficha deve identificar ainda a informação que as pessoas receberam e o fundamento inicial. Uma finalidade nova não cabe automaticamente num consentimento antigo. O guia de opt-in e preferências ajuda a verificar o âmbito da manifestação, sem presumir que pedir novo consentimento será sempre possível ou válido.
Aplicar os critérios de compatibilidade quando pertinentes
Quando o tratamento posterior não se baseie no consentimento ou em disposição legal que satisfaça as condições do artigo 6.º, n.º 4, avalie a compatibilidade nos termos desse artigo. Os elementos incluem ligação entre finalidades, contexto e relação com os titulares, natureza dos dados, possíveis consequências e garantias apropriadas.
Uma nova invocação de interesses legítimos não supera, por si só, a incompatibilidade. A finalidade, o fundamento e as demais condições devem ser analisados de forma coerente. Se existir uma lei invocada para a reutilização, identifique-a e verifique o seu âmbito e condições; uma referência genérica a obrigações legais não resolve a avaliação.
Os critérios não são cinco caixas em que uma maioria de respostas positivas aprova automaticamente o projeto. Um efeito grave e inesperado pode pesar mais do que uma relação temática entre os usos. Documente os factos que sustentam a conclusão e as incertezas que precisam de ser resolvidas.
Exemplo preenchido: análise de avarias recorrentes
Uma empresa fictícia conserva pedidos de reparação para prestar assistência. A equipa técnica propõe estudar categorias de avaria por modelo de equipamento para melhorar instruções de utilização. O projeto inicial inclui nomes e texto integral dos pedidos, embora esses campos não sejam necessários para o relatório pretendido.
| Critério | Avaliação fictícia |
|---|---|
| Ligação entre finalidades | A análise de avarias relaciona-se com a melhoria da assistência prestada |
| Contexto | Clientes forneceram informação para resolver problemas concretos; verificar o aviso e expectativas razoáveis |
| Natureza | Pedidos podem conter contactos e detalhes privados escritos livremente |
| Consequências | Pretende-se melhorar instruções, sem classificar ou contactar individualmente clientes |
| Garantias | Remover identificadores e texto desnecessário, limitar acesso e produzir resultados agregados revistos |
| Decisão | Redesenhar o conjunto antes da análise e documentar a conclusão de compatibilidade no contexto validado |
A equipa decide utilizar modelo, categoria técnica e período aproximado, excluindo nomes e mensagens integrais. Valida se combinações raras permitem identificação e define a conservação do conjunto. A conclusão depende dessas condições; não aprova automaticamente um projeto futuro com dados ou destinatários diferentes.
O aviso e o registo de tratamento devem refletir o uso efetivo e as obrigações de informação pertinentes. Uma decisão interna de compatibilidade não dispensa transparência. Quando a conclusão depende de uma garantia ainda não implementada, o projeto permanece condicionado até a verificação demonstrar a execução.
Exemplo de uso que exige outra decisão
A mesma organização propõe depois usar os pedidos para inferir vulnerabilidades económicas e selecionar ofertas individuais. A relação superficial com «clientes e equipamentos» não torna esse uso igual ao anterior. Mudam a finalidade, o impacto e a expectativa de quem procurou assistência.
Neste cenário, a equipa não reutiliza a aprovação da análise técnica. Examina o perfil pretendido, os dados de que depende e as condições de licitude. Se a reutilização for incompatível e não existir uma via válida que permita o tratamento nas condições legais, deve ser abandonada ou redesenhada. Escrever um novo interesse comercial no registo não basta.
A oposição ao marketing direto seria relevante para usos comerciais admissíveis, mas oferecer opt-out não sana uma recolha ou reutilização que não podia ocorrer. Da mesma forma, uma configuração que oculta nomes ao analista não resolve todos os efeitos de um perfil aplicado depois a pessoas identificadas.
Avaliar as garantias pelo efeito que produzem
A pseudonimização com separação de acessos pode limitar quem associa dados a pessoas. Porém, não deve servir para declarar compatível qualquer finalidade. Verifique quem possui a correspondência, como os resultados regressam aos sistemas operacionais e se a pessoa pode continuar a ser afetada individualmente.
A agregação pode ser suficiente para alguns objetivos, desde que se avalie o risco de identificação. A transformação de dados pessoais em informação efetivamente anónima continua a precisar de enquadramento enquanto trata dados pessoais. A análise de anonimização ajuda a verificar o conjunto, os destinatários e as combinações que podem revelar pessoas.
Outras garantias incluem limitação de destinatários, proibição efetiva de uso individual, conservação reduzida, controlo de exportações e revisão dos resultados. Escolha as que tratam os riscos identificados. Uma lista genérica de medidas não explica por que motivo as consequências do projeto são aceitáveis.
Tratar investigação, estatística e arquivo com o seu âmbito
O artigo 5.º prevê um tratamento específico da compatibilidade para arquivo de interesse público, investigação científica ou histórica e fins estatísticos, nas condições do artigo 89.º, n.º 1. Estas expressões não dispensam os restantes princípios, fundamentos e salvaguardas aplicáveis.
Uma empresa não transforma qualquer segmentação comercial em «estatística» apenas porque utiliza cálculos. Examine a finalidade real e o uso dos resultados, incluindo decisões sobre pessoas. Se os dados incluem categorias especiais, a condição pertinente do artigo 9.º continua a ser necessária; a classificação do projeto como investigação não a fornece automaticamente.
Documente o que sustenta o enquadramento e as garantias concretas. Um projeto que muda de resultados agregados para decisões individuais deve voltar à análise. A decisão inicial não acompanha ilimitadamente todas as etapas futuras só porque permanecem na mesma equipa.
Informar e ajustar o percurso operacional
Os artigos 13.º, n.º 3, e 14.º, n.º 4, preveem informação antes do tratamento posterior para outra finalidade. Defina o conteúdo adicional e a forma adequada de o fazer chegar às pessoas. O procedimento de informação sobre dados de terceiros é útil quando a organização recebeu originalmente os dados através de outra fonte.
Atualize a descrição interna, as permissões, as instruções ao prestador e a regra de conservação. Se o contrato só cobre uma finalidade determinada, a equipa não deve começar a nova operação sem tratar as responsabilidades e instruções pertinentes. A alteração do aviso não muda automaticamente o contrato nem torna lícito o tratamento.
Faça uma verificação com dados fictícios: confirme quais os campos exportados, quem os recebe e que resultados podem ser produzidos. Compare o comportamento observado com as condições da decisão. Se a ferramenta envia texto integral quando a aprovação previa apenas categorias, a implementação ainda não corresponde ao projeto avaliado.
Guardar uma decisão que possa ser revista
A ficha final contém finalidade inicial e proposta, fundamento, critérios analisados, garantias, conclusão, responsável e eventos de revisão. Registe expressamente condições que impedem o início enquanto não forem cumpridas. Uma aprovação sem prazo ou âmbito pode ser reutilizada indevidamente para novos conjuntos.
Reavalie quando mudam dados, destinatários, tecnologia ou efeitos sobre as pessoas. A finalidade é um limite operacional que orienta minimização, acesso, conservação e informação. A organização consegue respeitá-lo quando cada novo uso tem uma decisão própria e as equipas sabem quais as operações efetivamente aprovadas.