A pergunta «é obrigatória uma AIPD?» deve ser respondida sobre uma operação concreta. O nome do produto, o número de trabalhadores da empresa ou uma pontuação produzida por um fornecedor não bastam. Em Portugal, a triagem combina o artigo 35.º do RGPD, a lista da CNPD e a avaliação do risco elevado no contexto real.
Este guia permite preencher uma decisão de triagem antes de contratar ou alterar um tratamento. Inclui uma leitura operacional da lista portuguesa e um exemplo de projeto biométrico. A triagem identifica a obrigação de avaliar; não substitui a própria AIPD nem demonstra que o tratamento é lícito.
Usar três verificações complementares
Comece pelos casos do artigo 35.º, n.º 3, do RGPD: avaliação sistemática e completa baseada em tratamento automatizado com decisões de efeitos jurídicos ou igualmente significativos; tratamento em larga escala de categorias especiais ou dados abrangidos pelo artigo 10.º; e controlo sistemático, em larga escala, de zonas acessíveis ao público.
Depois aplique a lista nacional adotada ao abrigo do artigo 35.º, n.º 4. Finalmente, avalie a regra geral do n.º 1: mesmo fora dos casos expressos, o tratamento pode ser suscetível de implicar risco elevado. Uma lista de situações obrigatórias não funciona como lista exaustiva de todos os riscos possíveis.
A página atual da CNPD sobre avaliação de impacto confirma esta articulação e distingue a realização da AIPD da consulta prévia. Esta última surge quando, apesar das medidas mitigadoras, permanece risco elevado. Não é necessário enviar automaticamente à autoridade todas as avaliações realizadas por uma empresa.
Registe as três verificações em campos separados. Assim, uma conclusão de «não aplicável» numa linha do regulamento nacional não oculta a existência de um caso expresso no RGPD ou de outro risco elevado identificado na análise.
Identificar corretamente a lista portuguesa
A publicação oficial tem a designação Regulamento n.º 798/2018 e torna público o Regulamento n.º 1/2018 da CNPD. As duas referências identificam o mesmo instrumento neste contexto. Guarde a versão consultada e a data da triagem para permitir reconstituir a decisão.
A lista abrange nove grupos. A tabela seguinte é um índice de trabalho; a aplicação deve respeitar a redação integral, incluindo condições e exceções.
| Ponto | Operação a verificar |
|---|---|
| 1 | Dados de saúde transmitidos por redes a partir de dispositivos eletrónicos |
| 2 | Interconexão ou relacionamento de categorias especiais, dados do artigo 10.º ou altamente pessoais |
| 3 | Recolha indireta desses dados com impossibilidade ou inexequibilidade de informar nos termos previstos |
| 4 | Criação de perfis em grande escala |
| 5 | Rastreio de localização ou comportamento com avaliação ou classificação, com a exceção indicada |
| 6 | Arquivo público, investigação ou estatística com as categorias indicadas, ressalvando a exceção legal |
| 7 | Identificação biométrica de pessoas vulneráveis, ressalvando a exceção legal com AIPD prévia |
| 8 | Dados genéticos de pessoas vulneráveis, com a correspondente exceção |
| 9 | Categorias indicadas combinadas com novas tecnologias ou novos usos tecnológicos |
Não transforme uma condição composta numa palavra-chave. No ponto 5, por exemplo, é necessário examinar o efeito de avaliação ou classificação e a exceção relativa a serviços especificamente requeridos. No ponto 3, a presença de recolha indireta não basta sem as restantes condições. Copie para a ficha apenas o excerto de critério pertinente e descreva os factos que o preenchem ou afastam.
Descrever os factos que uma pessoa consegue verificar
Uma descrição como «sistema de recursos humanos» é insuficiente. Indique quem será abrangido, quais os dados, como são recolhidos, quem os cruza, que decisões resultam e durante quanto tempo o tratamento ocorre. Inclua o uso pretendido pelo fornecedor quando exista e as exportações para outras ferramentas.
A cartografia de sistemas e dados fornece a estrutura dos fluxos. O registo de atividades de tratamento fornece finalidades, categorias e destinatários. Confirme esses elementos com quem executa a operação; documentos antigos podem omitir uma funcionalidade ativada depois da contratação.
Para avaliar larga escala, considere número e proporção de titulares, volume e variedade de dados, duração e alcance geográfico. Não use o limiar de 250 trabalhadores do regime do registo como limiar de AIPD. São questões jurídicas diferentes. Um tratamento de pessoas vulneráveis pode exigir avaliação mesmo sem grande escala, conforme o critério nacional aplicável.
A ficha deve distinguir factos confirmados, pressupostos e informações em falta. Se o fornecedor ainda não explicou se o sistema conserva imagens originais ou apenas representações, assinale a lacuna. Uma resposta comercial vaga não deve receber um «não» automático na coluna de risco.
Utilizar os critérios WP248 sem uma regra mecânica de contagem
As orientações WP248 rev.01, disponibilizadas pela CNPD, apresentam nove critérios de risco. Na maioria dos casos, dois critérios apontam para necessidade de AIPD, mas a análise é contextual. Um único critério pode bastar; em situações justificadas, a conjugação de critérios pode não revelar risco elevado. A decisão de não avaliar exige razões documentadas, sem afastar uma obrigação expressa aplicável.
Os critérios incluem avaliação, decisões significativas, monitorização, dados sensíveis ou altamente pessoais, escala, combinação de conjuntos, vulnerabilidade, inovação e impedimento de direitos ou acesso a serviços. Use-os para descobrir consequências concretas. Uma criança, um trabalhador ou um doente pode ter dificuldade acrescida em recusar o tratamento ou contestar uma utilização.
Considere o exemplo de uma plataforma de imagens escolares. A palavra «galeria» não esclarece se existe divulgação pública, identificação automática, acesso amplo ou reutilização. A triagem tem de examinar essas funcionalidades e os titulares envolvidos. Fazer uma AIPD não autoriza uma publicação que viole limites legais ou direitos de imagem.
Exemplo preenchido: controlo biométrico de assiduidade
Uma empresa fictícia com 60 trabalhadores estuda substituir cartões por leitura biométrica. O equipamento irá identificar inequivocamente cada trabalhador para registar entradas e saídas. O projeto é novo e não está abrangido por uma autorização anterior ou pela exceção legal com avaliação prévia referida no ponto 7.
| Campo da triagem B-04 | Conclusão fundamentada |
|---|---|
| Operação | Identificação biométrica de trabalhadores para assiduidade |
| Factos confirmados | Leitor, representação biométrica individual e associação ao registo de entrada |
| Lista CNPD | Ponto 7 aplicável: identificação inequívoca e trabalhadores como grupo vulnerável |
| Escala | Não utilizada como motivo de dispensa do ponto 7 |
| WP248 | Dados biométricos e vulnerabilidade reforçam a análise |
| Decisão | Realizar AIPD antes do início do tratamento |
| Condição de continuação | Avaliar necessidade, alternativas, sistema e risco residual; não iniciar apenas com a triagem |
A orientação atual da CNPD sobre biometria confirma a relevância do ponto 7 mesmo em pequena escala quando estão em causa trabalhadores. A empresa não pode concluir que o projeto está dispensado por ter apenas 60 pessoas, nem que a existência de uma lei sobre biometria satisfaz automaticamente a exceção específica da lista.
O passo seguinte é a avaliação do sistema biométrico para assiduidade e acessos, incluindo necessidade face ao cartão, representação não reversível, eliminação e resposta a falhas. A conclusão da triagem permanece «AIPD obrigatória», mesmo que o fornecedor apresente uma certificação de segurança. Essa certificação pode constituir informação para a análise, mas não substitui a obrigação.
Exemplo de revisão: câmaras de entrada num estabelecimento
Noutro caso fictício, um estabelecimento pretende uma câmara sobre a entrada. A descrição não permite concluir automaticamente que existe controlo sistemático em larga escala de zonas acessíveis ao público. A equipa verifica campo de visão, fluxo de pessoas, continuidade, locais associados, funções analíticas e grupos abrangidos.
O projeto de videovigilância em Portugal deve cumprir os seus limites próprios, independentemente da conclusão sobre AIPD. Se a câmara incide numa área proibida ou serve para controlar desempenho laboral, uma avaliação favorável de segurança não corrige o problema. Primeiro redesenhe ou rejeite a utilização indevida.
A conclusão «AIPD não obrigatória neste projeto delimitado» só pode ser registada depois de verificar todas as fontes pertinentes e fundamentar a ausência de risco elevado. Não use este exemplo como dispensa geral para câmaras de entrada. A associação a outras instalações, a análise automática ou uma mudança de público pode alterar a decisão.
Organizar responsabilidades e passar à avaliação
O responsável pelo tratamento deve assegurar a realização da AIPD. Pode recorrer a apoio externo, mas mantém a responsabilidade pela decisão. Solicita o parecer do encarregado de proteção de dados quando este tenha sido designado; não se presume que todas as organizações têm EPD. A independência do encarregado deve permitir que uma objeção seja registada e analisada sem ser apagada para acelerar a contratação.
O subcontratante fornece a informação e a assistência pertinentes. Peça descrição técnica, destinos, medidas e limitações reais. Um modelo de AIPD produzido pelo fornecedor pode servir de base, mas precisa de corresponder ao contexto da organização, às pessoas e às integrações efetivamente utilizadas.
Na avaliação, descreva ameaças e efeitos sobre os titulares, medidas propostas, responsáveis e verificação da eficácia. Distinga risco inicial de risco residual. Se este continuar elevado apesar das medidas, siga a consulta prévia do artigo 36.º antes de iniciar o tratamento. Não altere artificialmente uma nota de risco para evitar essa etapa.
Conservar uma decisão utilizável na próxima alteração
A ficha final deve ligar a operação, a versão técnica, as fontes aplicadas, os factos relevantes, a conclusão e a pessoa que decide. Acrescente os acontecimentos que obrigam a reabrir a triagem: novos dados, novo público, cruzamento de bases, nova finalidade, alteração de escala ou funcionalidade analítica.
No projeto B-04, a contratação fica condicionada à conclusão da avaliação e às medidas aprovadas. Se a empresa acabar por escolher cartões sem biometria, documenta a alteração e realiza a triagem da nova operação, em vez de manter um documento sobre o sistema abandonado. Se prosseguir com biometria, guarda a ligação entre a triagem, a AIPD e a configuração aceite.
O resultado esperado é uma decisão que outra pessoa consiga reconstruir. A ficha não precisa de repetir todo o RGPD; precisa de explicar por que aqueles factos preenchem ou não os critérios aplicáveis e qual é o próximo passo obrigatório para aquele tratamento.