O que é uma Avaliação de Impacto na Proteção de Dados (DPIA)?
Uma avaliação de impacto na proteção de dados (DPIA) é uma forma de avaliação de risco projetada para ajudar as organizações a identificar, analisar e minimizar os riscos de privacidade associados a um determinado projeto. Todas as entidades (com algumas exceções) abrangidas pelo Regulamento Geral de Proteção de Dados (RGPD) devem realizar DPIA regulares como parte do princípio da “privacidade desde a conceção”. Não fazer isso pode resultar em ações legais, incluindo multas potencialmente elevadas.
Benefícios de uma Avaliação de Impacto na Proteção de Dados (DPIA)
Mesmo que o GDPR não seja relevante para sua organização, a realização de uma DPIA ajudará você a minimizar a probabilidade e a gravidade de uma violação de dados e a cumprir outras regulamentações de privacidade de dados. A realização de uma DPIA permitirá que você se recupere de incidentes de segurança de maneira rápida e eficiente e evite multas e processos judiciais dispendiosos.
Quando são necessárias avaliações de impacto na proteção de dados?
De acordo com o Artigo 35 do RGPD, uma DPIA é necessária nas seguintes circunstâncias:
“Quando um tipo de tratamento, em particular o que utiliza novas tecnologias e tendo em conta a natureza, o âmbito, o contexto e as finalidades do tratamento, for suscetível de resultar num elevado risco para os direitos e liberdades das pessoas singulares, o responsável pelo tratamento deve , antes do tratamento, realizar uma avaliação do impacto das operações de tratamento previstas na proteção dos dados pessoais.»
Qualquer projeto iniciado em ou após 25 de maio de 2018 exigirá uma DPIA. Isto também se aplica a projetos iniciados antes dessa data, mas que desde então foram alterados de tal forma que podem introduzir novos riscos de privacidade. Essencialmente, quaisquer atividades de tratamento de dados que representem um risco para os direitos e liberdades dos cidadãos da UE estarão sujeitas a uma AIPD. Tais atividades podem incluir o processamento em larga escala de dados pessoais, a realização de avaliações pessoais de indivíduos e a vigilância de áreas públicas. As organizações não são obrigadas a realizar uma DPIA se estiverem processando dados em nome do público ou se tiverem a obrigação legal de fazê-lo. Abaixo estão algumas notas adicionais sobre as condições em que uma DPIA é necessária.
Tratamento de dados em grande escala: inclui o número de titulares de dados envolvidos, o âmbito territorial do projeto e a duração das atividades de tratamento.
Criação de perfil: para proteger os titulares dos dados contra discriminação injusta, quaisquer atividades de processamento que avaliem ou classifiquem um indivíduo com base em seu desempenho no trabalho, saúde, gênero, raça, religião, situação econômica e outros fatores, como como as preferências pessoais, interesses, comportamento do titular dos dados e assim por diante.
Tomada de decisão automatizada: como acima, quaisquer atividades de processamento de dados que dependam de tomada de decisão automatizada devem ser cuidadosamente analisadas para garantir que não resultem em discriminação injusta contra um indivíduo.
Vigilância física: As organizações que utilizam tecnologias de vigilância para monitorar titulares de dados em áreas públicas são obrigadas a realizar uma DPIA.
Processamento de dados pertencentes a indivíduos vulneráveis: isso inclui crianças, pessoas com doenças mentais e qualquer outra pessoa que não tenha a capacidade de se opor ao processamento de seus dados.
Mesclar ou comparar conjuntos de dados: uma organização deve realizar uma DPIA quando as atividades de processamento de dados incluírem a fusão ou comparação de vários conjuntos de dados coletados para finalidades diferentes.
Processamento de dados biométricos: isso inclui o uso de scanners de impressão digital e software de reconhecimento facial, além do uso de dispositivos de Internet das coisas (IoT).
Transferência de dados para fora da UE: ocorre quando uma organização expande os seus serviços para um país fora da UE.
Restringir o acesso de um titular de dados aos serviços: Em algumas circunstâncias, um titular de dados pode ter o acesso negado a um serviço com base em informações que a organização coletou em seu nome. Nestas circunstâncias, será necessário realizar uma AIPD.
5 etapas para uma avaliação de impacto na proteção de dados (DPIA) bem-sucedida
Etapa 1: Determine se uma DPIA é necessária para o seu projeto- Naturalmente, a primeira etapa é descobrir se você realmente precisa realizar uma DPIA para o seu projeto. Isto inclui documentar a natureza, o âmbito, o contexto e a finalidade das atividades de tratamento envolvidas.
Etapa 2: Nomear o pessoal relevante - Além de nomear um Encarregado de Proteção de Dados (DPO), que é obrigatório se as atividades principais da organização consistirem em operações de processamento de dados que exijam o monitoramento sistemático dos titulares dos dados em um grande escala, a organização precisará nomear um líder de projeto. Eles também podem optar por contratar profissionais de TI, advogados, analistas e outros profissionais com vasta experiência em privacidade de dados.
Etapa 3: Crie um inventário de seus ativos e identifique vulnerabilidades potenciais - Você precisará criar uma lista priorizada de ativos e recursos críticos e documentar quaisquer ameaças potenciais. Um bom lugar para começar seria usar ferramentas automatizadas de descoberta e classificação de dados para ajudá-lo a identificar quais dados confidenciais você possui e onde eles estão localizados. Lembre-se de que você também precisará manter um inventário de seus ativos físicos, que inclui unidades, dispositivos, servidores, roteadores, impressoras e assim por diante. Ao lado de cada um desses ativos, você precisará documentar as diferentes maneiras pelas quais eles podem ser comprometidos e qual seria o impacto potencial se fossem comprometidos. Isto também incluiria o desenvolvimento de uma compreensão de quais outros sistemas e dados dependem desses ativos.
Etapa 4: Documente todas as ferramentas e processos usados para mitigar riscos - Assim como acontece com seus ativos e recursos críticos, você precisará criar um inventário das ferramentas e processos de segurança que já possui para minimizar a probabilidade de uma violação de segurança. Você também precisará anotar quais ameaças essas ferramentas e processos ajudam a mitigar e como. Quaisquer tecnologias e processos relevantes que você não possui atualmente, mas que acha que ajudariam a melhorar sua postura de segurança, também devem ser observados.
Etapa 5: Produzir um relatório DPIA - A etapa final é produzir um relatório abrangente que forneça uma descrição detalhada do projeto, o propósito do projeto e seu escopo. Todas as informações das etapas anteriores devem ser incluídas neste relatório. O seu relatório DPIA também deve incluir informações sobre as medidas que a sua organização tomou para mitigar riscos e cumprir os requisitos do GDPR. Mesmo que não seja um requisito do RGPD, é uma boa prática publicar o seu relatório DPIA, pois isso demonstrará transparência e responsabilidade perante as suas partes interessadas, para não mencionar os seus clientes. Todo o pessoal relevante, incluindo o DPO, deverá estar envolvido no relatório e será necessário que este seja aprovado pelas autoridades de supervisão.
Se você quiser ver como o Lepide pode ajudá-lo a analisar o risco de seus dados confidenciais e a prontidão para conformidade, agende hoje mesmo sua avaliação de risco gratuita.