Nos termos do artigo 35 do GDPR, uma DPIA deve ser concluída antes do início do tratamento em questão. Ela deve ser tratada como um exercício prático de gestão de riscos, capaz de influenciar o design do produto, a coleta de dados, os controles de segurança, a retenção, o acesso e outras decisões de tratamento — e não simplesmente como um documento de conformidade.
Este guia apresenta uma metodologia em cinco fases para determinar se uma DPIA é exigida, documentar o tratamento, avaliar os riscos, selecionar salvaguardas e aprovar e revisar a avaliação.
Importante: A exigência de uma DPIA depende da atividade de tratamento específica, da sua natureza, âmbito, contexto e finalidades, das listas aplicáveis das autoridades supervisoras e dos riscos para os indivíduos. Este guia traz informações gerais e não substitui a assessoria jurídica.
§Quando uma DPIA é exigida?
O artigo 35(1) exige que o controlador realize uma DPIA quando um tipo de tratamento, em especial o que envolve novas tecnologias, tende a resultar em alto risco para os direitos e liberdades das pessoas físicas.
A avaliação deve considerar:
- A natureza do tratamento
- O âmbito do tratamento
- O contexto em que o tratamento ocorre
- As finalidades do tratamento
- O impacto potencial sobre os indivíduos
- A probabilidade e a gravidade dos riscos
Artigo 35(3): três exemplos expressos
Uma DPIA é especificamente exigida, em particular, quando o tratamento envolve:
- Avaliação sistemática e abrangente de aspectos pessoais, incluindo a definição de perfis, quando as decisões baseadas no tratamento produzem efeitos jurídicos ou efeitos igualmente significativos.
- Tratamento em larga escala de categorias especiais de dados pessoais nos termos do artigo 9(1) ou de dados pessoais relativos a condenações penais e infrações nos termos do artigo 10.
- Monitoramento sistemático, em larga escala, de uma área acessível ao público.
Essas não são as únicas circunstâncias em que uma DPIA pode ser exigida. As autoridades supervisoras também publicam listas de operações de tratamento que exigem uma DPIA nos termos do artigo 35(4).
§O teste de limiar da DPIA
Quando não está imediatamente claro se uma DPIA é exigida, as organizações podem usar os critérios de risco consagrados, desenvolvidos pelo Grupo de Trabalho do Artigo 29 e endossados pelo EDPB.
Os nove critérios mais usados são:
- Avaliação ou pontuação, incluindo a definição de perfis
- Decisões automatizadas com efeitos jurídicos ou igualmente significativos
- Monitoramento sistemático
- Dados sensíveis ou de natureza altamente pessoal
- Tratamento em larga escala
- Cruzamento ou combinação de conjuntos de dados
- Tratamento envolvendo indivíduos vulneráveis
- Tecnologias ou soluções organizacionais inovadoras
- Tratamento que impede os indivíduos de exercer um direito, usar um serviço ou celebrar um contrato
Esses critérios são indicadores úteis de tratamentos potencialmente de alto risco. Eles não devem ser tratados como uma fórmula legal do tipo “dois critérios = DPIA”.
A avaliação deve considerar o tratamento como um todo e os requisitos aplicáveis da autoridade supervisora nacional. Uma atividade de tratamento pode exigir uma DPIA mesmo que um simples limite numérico não seja atingido. Por outro lado, a presença de um único fator não determina automaticamente o resultado em todos os casos.
Perguntas práticas de triagem
Pergunte:
- O tratamento avalia indivíduos ou define perfis deles?
- As decisões automatizadas podem afetar os indivíduos de forma significativa?
- Os indivíduos são monitorados de forma sistemática?
- O tratamento envolve informações sensíveis ou de natureza altamente pessoal?
- O tratamento é realizado em larga escala?
- Conjuntos de dados de fontes diferentes estão sendo combinados?
- Indivíduos vulneráveis são afetados?
- O tratamento introduz tecnologias ou métodos inovadores?
- O tratamento pode restringir a capacidade de um indivíduo de exercer um direito ou acessar um serviço?
Se vários indicadores estiverem presentes, é altamente recomendável realizar uma avaliação de limiar de DPIA documentada.
§Fase 1 — Descrever o tratamento
A primeira fase consiste em documentar o que a organização pretende fazer com os dados pessoais.
Uma DPIA útil deve descrever:
Natureza
- Categorias de dados pessoais
- Fontes dos dados
- Destinatários dos dados
- Controladores, controladores conjuntos, operadores e suboperadores
- Operações de tratamento
- Medidas de segurança
- Transferências internacionais
- Regras de retenção e eliminação
Âmbito
- Número de indivíduos afetados
- Volume de dados
- Cobertura geográfica
- Duração do tratamento
- Frequência do tratamento
Contexto
Considere:
- A relação entre a organização e os indivíduos
- As expectativas dos indivíduos
- Se os indivíduos têm controle efetivo
- A sensibilidade do ambiente
- Se há indivíduos vulneráveis envolvidos
- Se o tratamento pode afetar o emprego, a saúde, as finanças, a educação ou outros aspectos importantes da vida
Finalidade
Documente:
- O que a organização quer alcançar
- Por que o tratamento é necessário
- Resultados esperados
- Objetivos de negócio ou operacionais
Mapeamento do fluxo de dados
Quando apropriado, complemente a descrição escrita com um diagrama de fluxo de dados que mostre:
- Coleta
- Tratamento
- Armazenamento
- Acesso
- Compartilhamento
- Transferência
- Eliminação
Isso pode revelar fluxos de dados e terceiros que talvez não fiquem evidentes apenas na documentação descritiva.
§Fase 2 — Necessidade e proporcionalidade
Uma DPIA não deve se limitar a perguntar se o tratamento é tecnicamente possível. Ela deve avaliar se o tratamento proposto é necessário e proporcional à sua finalidade.
Base legal
Identifique a base legal pertinente do artigo 6.
Quando forem tratados dados de categorias especiais, identifique a condição aplicável do artigo 9. Quando houver dados relativos a condenações penais ou infrações, avalie o artigo 10 e a legislação nacional pertinente.
Minimização de dados
Para cada elemento de dados relevante, pergunte:
- Realmente precisamos dessa informação?
- O mesmo objetivo pode ser alcançado com menos dados?
- As informações podem ser agregadas ou anonimizadas?
- Os identificadores podem ser removidos ou pseudonimizados?
Retenção
Documente:
- Por quanto tempo os dados serão retidos
- Por que esse período é necessário
- O que aciona a eliminação ou a revisão
- Como a eliminação é garantida
Limitação da finalidade
Confirme que cada categoria de dados está vinculada a uma finalidade definida e legítima.
Exatidão
Identifique controles para:
- Manter as informações exatas
- Corrigir registros inexatos
- Lidar com informações desatualizadas
Transparência e direitos
Explique:
- Como os indivíduos serão informados
- Quais direitos se aplicam
- Como as solicitações de exercício de direitos serão tratadas
- Como os indivíduos podem apresentar preocupações
Alternativas menos invasivas
Uma DPIA sólida deve documentar as alternativas consideradas e explicar por que a abordagem escolhida é proporcional.
§Fase 3 — Identificar e avaliar os riscos
A DPIA deve se concentrar nos riscos para os direitos e liberdades dos indivíduos, em vez de simplesmente listar vulnerabilidades de cibersegurança.
Para cada risco relevante, documente:
- Descrição do risco
- Causa ou ameaça
- Categorias de indivíduos afetados
- Consequências potenciais
- Probabilidade
- Gravidade
- Avaliação geral do risco
- Salvaguardas existentes
- Risco residual
Áreas de risco comuns
Dependendo do tratamento, considere:
- Acesso não autorizado
- Perda de confidencialidade
- Perda ou alteração de dados
- Coleta excessiva
- Retenção excessiva
- Divulgação ilícita
- Roubo de identidade
- Fraude
- Discriminação
- Definição de perfis
- Perda de autonomia
- Dano reputacional
- Dano financeiro
- Dano físico ou psicológico
- Reidentificação
- Impossibilidade de exercer os direitos do titular dos dados
Probabilidade e gravidade
Considere as duas questões:
- Qual é a probabilidade de o dano ocorrer?
- Quão graves seriam as consequências caso ele ocorresse?
A avaliação deve ser compreensível o bastante para que outro revisor consiga acompanhar como a organização chegou à sua conclusão.
§Fase 4 — Tratamento dos riscos
Depois de identificados os riscos, determine quais salvaguardas são necessárias.
Entre as medidas possíveis estão:
Medidas técnicas
- Criptografia
- Pseudonimização
- Controles de acesso
- Autenticação multifator
- Segmentação de rede
- Registro de logs e monitoramento
- Prevenção contra perda de dados
- Eliminação segura
- Gestão de vulnerabilidades
Medidas organizacionais
- Políticas de privacidade
- Treinamento da equipe
- Governança de acessos
- Tabelas de retenção
- Procedimentos de resposta a incidentes
- Controles sobre fornecedores
- Acordos de proteção de dados
- Auditorias internas
- Revisões periódicas
Medidas de privacidade desde a concepção
Considere se o sistema pode ser redesenhado para:
- Coletar menos informações
- Reduzir o acesso
- Encurtar a retenção
- Remover identificadores desnecessários
- Tratar as informações localmente
- Agregar informações
- Dar mais controle aos indivíduos
O objetivo não é simplesmente reduzir a pontuação de risco. A organização deve determinar se as salvaguardas reduzem a probabilidade ou a gravidade dos riscos o suficiente para tornar o tratamento adequado.
§Risco residual e consulta prévia
Depois de selecionadas as salvaguardas, reavalie o risco remanescente.
Se a DPIA indicar que o tratamento resultaria em alto risco na ausência de medidas adotadas pelo controlador para mitigar esse risco, o artigo 36 exige consulta prévia à autoridade supervisora competente antes do início do tratamento.
A consulta prévia, portanto, não é uma etapa de rotina em toda DPIA. Ela se torna relevante quando as circunstâncias remanescentes atingem o limiar do artigo 36.
O controlador deve estar preparado para fornecer as informações exigidas pelo artigo 36, incluindo:
- Responsabilidades das partes envolvidas
- Finalidades e meios do tratamento
- Medidas e salvaguardas
- Dados de contato do DPO, quando aplicável
- A DPIA
- Outras informações solicitadas pela autoridade
§Fase 5 — Aprovação e revisão
Uma DPIA deve ter responsável e aprovação claramente definidos.
Participação do DPO
Quando houver um DPO designado, o controlador deve solicitar o parecer do DPO ao realizar a DPIA, nos termos do artigo 35(2).
O parecer do DPO deve ser documentado, incluindo qualquer decisão do controlador de não o seguir.
Isso não significa que toda organização seja obrigada a nomear um DPO apenas por realizar uma DPIA. A obrigação de ter um DPO é regida separadamente pelo artigo 37.
Revisão pelas partes interessadas
Dependendo do tratamento, envolva:
- Privacidade
- Jurídico
- Segurança
- Engenharia
- Produto
- Conformidade
- Compras
- RH
- Responsáveis pelas áreas de negócio
- Operadores pertinentes
Quando apropriado, o artigo 35(9) também permite que o controlador solicite a opinião dos titulares dos dados ou de seus representantes, observadas as condições dessa disposição.
Aprovação
Registre:
- Responsável pela DPIA
- Data de conclusão
- Responsável pelo tratamento
- Parecer do DPO, quando aplicável
- Riscos identificados
- Controles exigidos
- Riscos residuais
- Decisão de aprovação
- Ações pendentes
- Gatilhos de revisão
§Quando uma DPIA deve ser revisada?
Uma DPIA não é necessariamente um documento elaborado uma única vez.
O artigo 35(11) exige que o controlador realize uma revisão, quando necessário, para avaliar se o tratamento é realizado em conformidade com a DPIA, pelo menos quando houver mudança no risco representado pelas operações de tratamento.
A revisão pode, portanto, ser apropriada quando:
- A finalidade do tratamento muda
- Novas categorias de dados são introduzidas
- O volume de tratamento aumenta de forma relevante
- Uma nova tecnologia é introduzida
- Um novo operador é contratado
- O âmbito geográfico muda
- Novas jurisdições são incluídas
- Ocorre um incidente de segurança
- Surge uma nova vulnerabilidade ou um novo risco
- Os requisitos regulatórios mudam
- O sistema é redesenhado de forma substancial
Uma organização também pode optar por realizar revisões periódicas — por exemplo, anuais — como prática de governança. Mas a revisão anual não é um prazo legal universal previsto no artigo 35.
§Exemplo prático — sistema biométrico de controle de ponto de funcionários
Considere uma organização que pretende implantar um sistema biométrico de controle de ponto para funcionários em várias unidades.
A organização não deve simplesmente concluir que uma DPIA é exigida porque “a biometria sempre exige uma DPIA”.
Em vez disso, ela deve avaliar:
Tratamento
- Quais informações biométricas são coletadas?
- Como elas são geradas e armazenadas?
- É armazenado um template em vez da imagem bruta?
- Quem pode acessar as informações?
- Por quanto tempo elas são retidas?
- Há fornecedores envolvidos?
- Há transferências de dados envolvidas?
Finalidade
- O sistema está sendo usado exclusivamente para controle de ponto?
- Ele também é usado para monitorar funcionários ou avaliar seu desempenho?
- Ele pode afetar decisões relativas ao emprego?
Necessidade e proporcionalidade
Considere se alternativas menos invasivas poderiam alcançar o mesmo objetivo, como:
- Cartões de acesso
- PINs
- Autenticação por dispositivo móvel
- Outros métodos não biométricos de controle de ponto
Risco
Avalie consequências potenciais como:
- Comprometimento irreversível de identificadores biométricos
- Acesso não autorizado
- Desvio de finalidade
- Monitoramento de funcionários
- Discriminação ou correspondências imprecisas
- Retenção excessiva
- Perda de controle sobre informações sensíveis
Salvaguardas
Os controles possíveis podem incluir:
- Armazenamento baseado em templates
- Criptografia forte
- Controles de acesso rigorosos
- Períodos de retenção curtos
- Limitação da finalidade
- Mecanismos alternativos de controle de ponto
- Testes de precisão
- Revisão humana de correspondências contestadas
- Restrições a fornecedores
- Procedimentos de resposta a incidentes
A base legal e a condição do artigo 9 devem ser determinadas com base no contexto real da relação de trabalho e na legislação nacional aplicável. Não se deve presumir que o consentimento seja uma solução adequada simplesmente por ser conveniente, sobretudo quando pode haver desequilíbrio entre empregador e empregado.
§Erros comuns em DPIAs
Erro 1: “Dois critérios significam que a DPIA é obrigatória.”
Os nove critérios são um referencial prático de triagem de riscos, não uma fórmula numérica prevista em lei.
Erro 2: Iniciar a DPIA depois do lançamento
O artigo 35 exige a avaliação antes do início do tratamento de alto risco em questão. A DPIA deve ser feita cedo o bastante para influenciar o design e o processo decisório.
Erro 3: Tratar a DPIA como uma avaliação de cibersegurança
A segurança é importante, mas a DPIA deve avaliar os riscos para os direitos e liberdades dos indivíduos.
Erro 4: Usar descrições de risco genéricas
Uma DPIA sólida relaciona os riscos a indivíduos, dados, operações de tratamento e consequências potenciais concretos.
Erro 5: Presumir que todo projeto de biometria ou de IA tem a mesma base legal
A base legal e a condição aplicável às categorias especiais dependem do tratamento efetivo e da legislação aplicável.
Erro 6: Tratar o DPO como o “dono” da DPIA
O controlador continua responsável pela DPIA. O DPO designado emite parecer nos termos do artigo 35(2).
Erro 7: Consultar automaticamente a autoridade supervisora
A consulta prévia do artigo 36 é acionada quando a DPIA indica que o alto risco permaneceria na ausência de medidas de mitigação. Ela não é exigida em toda DPIA.
Erro 8: Nunca revisitar a DPIA
Mudanças relevantes no tratamento ou no seu perfil de risco devem acionar uma reavaliação.
§Checklist de entregáveis da DPIA
Um dossiê prático de DPIA normalmente deve conter, conforme aplicável:
- Avaliação de limiar da DPIA
- Descrição do tratamento
- Diagrama de fluxo de dados
- Análise da finalidade e da base legal
- Avaliação de necessidade e proporcionalidade
- Avaliação de minimização de dados
- Registro de riscos
- Metodologia de riscos
- Salvaguardas existentes
- Medidas adicionais de mitigação
- Avaliação do risco residual
- Parecer do DPO, quando aplicável
- Contribuições das partes interessadas
- Registro de aprovação
- Plano de remediação
- Gatilhos de revisão
- Documentação da consulta prévia, quando aplicável
§DPIA x outras avaliações
Uma DPIA costuma fazer parte de um processo de governança mais amplo.
DPIA x avaliação de riscos de segurança
Uma avaliação de riscos de segurança se concentra principalmente nas ameaças e nos controles de segurança da informação.
Uma DPIA se concentra nos riscos para os direitos e liberdades dos indivíduos decorrentes do tratamento de dados pessoais.
As duas avaliações podem subsidiar uma à outra, mas não devem ser tratadas automaticamente como o mesmo documento.
DPIA x avaliação de legítimo interesse
Uma avaliação de legítimo interesse verifica se o tratamento baseado em interesses legítimos atende aos requisitos legais aplicáveis.
Uma DPIA verifica se o tratamento tende a resultar em alto risco para os direitos e liberdades dos indivíduos.
Uma atividade de tratamento pode exigir as duas.
DPIA x avaliação de impacto sobre direitos fundamentais em IA
Uma avaliação de impacto sobre direitos fundamentais relacionada à IA, prevista no EU AI Act, é distinta de uma DPIA do GDPR. Quando ambas são aplicáveis, elas podem ser coordenadas e compartilhar informações factuais pertinentes, mas tratam de marcos regulatórios diferentes.
§Modelo de DPIA do EDPB
O EDPB publicou um modelo de DPIA para consulta pública em abril de 2026. O modelo busca apoiar uma abordagem mais uniforme para as DPIAs, e espera-se que as autoridades nacionais de proteção de dados avaliem como ele pode ser adotado como modelo comum ou compatível.
As organizações podem usar o modelo do EDPB como referência útil, verificando também os requisitos e as orientações da autoridade supervisora nacional competente.
§Perguntas frequentes
Uma DPIA é sempre exigida para IA?
Não. O uso de IA não significa automaticamente que uma DPIA seja exigida. A organização deve avaliar a natureza, o âmbito, o contexto e as finalidades do tratamento e se ele tende a resultar em alto risco.
Uma DPIA é obrigatória para dados biométricos?
Não automaticamente em todas as circunstâncias. No entanto, o tratamento biométrico pode apresentar riscos significativos e também envolver dados de categorias especiais. É preciso avaliar o tratamento efetivo, a finalidade, a escala e os requisitos aplicáveis da autoridade supervisora.
Uma única DPIA pode abranger várias atividades de tratamento?
Sim. O artigo 35 permite que uma única avaliação trate de um conjunto de operações de tratamento semelhantes que apresentem altos riscos semelhantes.
Uma DPIA pode ser concluída depois do início do tratamento?
A exigência normal é concluir a DPIA antes do início do tratamento em questão. Se uma atividade de tratamento existente tiver mudado ou seu perfil de risco tiver aumentado, o controlador deve avaliar se uma DPIA passou a ser exigida ou precisa ser atualizada. Uma DPIA retrospectiva pode ajudar a corrigir uma lacuna de governança existente, mas não apaga um descumprimento anterior.
Toda DPIA exige a aprovação do DPO?
Não. Quando houver um DPO designado, o controlador deve solicitar o parecer do DPO. O controlador continua responsável pela avaliação e pela decisão.
Toda DPIA exige consulta à autoridade supervisora?
Não. A consulta prévia do artigo 36 é exigida quando a DPIA indica que o tratamento resultaria em alto risco na ausência de medidas adotadas para mitigar esse risco.
Toda DPIA precisa ser publicada?
Não. O artigo 35 do GDPR não impõe uma exigência geral de publicar a DPIA completa. As organizações podem optar por publicar um resumo ou outras informações quando apropriado, observadas a confidencialidade, a segurança e outras considerações.
Com que frequência uma DPIA deve ser revisada?
Não há uma exigência universal no GDPR de revisão anual da DPIA. Revise quando necessário e, no mínimo, quando o risco representado pelo tratamento mudar. As organizações podem estabelecer ciclos adicionais de revisão periódica como medida de governança.
Elabore uma DPIA que apoie decisões reais
Uma DPIA deve ajudar a organização a tomar decisões melhores sobre como os dados pessoais são coletados, usados, protegidos, retidos e compartilhados.
As DPIAs mais eficazes:
- Começam cedo
- Envolvem as partes interessadas certas
- Concentram-se nos direitos e liberdades dos indivíduos
- Avaliam a necessidade e a proporcionalidade
- Identificam riscos concretos
- Definem salvaguardas práticas
- Documentam o risco residual
- Registram as decisões e as responsabilidades
- São revisitadas quando o tratamento ou o risco muda
A RegulatoryBridge pode apoiar organizações com avaliações de limiar de DPIA, elaboração completa de DPIAs, coordenação das partes interessadas, planejamento de remediação e consulta à autoridade supervisora quando os requisitos do artigo 36 são atendidos.
Conheça nossos serviços de conformidade com o GDPR ou entre em contato com a RegulatoryBridge para conversar sobre suas necessidades de DPIA.