Avaliação de Impacto à Proteção de Dados Modelo para Brasil

Inicie uma Avaliação de Impacto à Proteção de Dados antes de lançar qualquer novo projeto que processe informações pessoais sensíveis em larga escala. Isso inclui implementar sistemas de análise de clientes, ferramentas de monitoramento de funcionários ou compartilhar registros de saúde com provedores de serviços terceirizados. O fator determinante é qualquer mudança significativa em como você coleta, utiliza ou compartilha dados pessoais.

Muitas organizações conduzem essas avaliações durante a fase de planejamento de grandes iniciativas tecnológicas, especialmente aquelas envolvendo inteligência artificial, dados biométricos ou rastreamento de localização. Elas são particularmente vitais ao trabalhar com fornecedores que processam dados de pessoas no Brasil sob a LGPD ou ao introduzir novos recursos sensíveis à privacidade em plataformas existentes. A avaliação antecipada ajuda a identificar problemas de privacidade quando ainda são fáceis de corrigir.

• Avaliação Básica: Avalia atividades diretas de processamento de dados, focando em riscos comuns de privacidade e conformidade com regulações federais.
• Avaliação Completa de Impacto: Análise detalhada para sistemas complexos ou processamento de dados sensíveis, incluindo matrizes de risco abrangentes e estratégias de mitigação.
• Avaliação Específica de Fornecedor: Examina relacionamentos de processamento de dados por terceiros, particularmente importante sob os requisitos da LGPD.
• Avaliação Focada em Tecnologia: Avaliação especializada para sistemas de inteligência artificial, processamento biométrico ou tecnologias de rastreamento de localização.
• Avaliação para Saúde: Avaliação adaptada abordando conformidade com regulações de proteção de dados de saúde juntamente com preocupações gerais de privacidade no processamento de dados médicos.

• Encarregados de Proteção de Dados: Lideram o processo de avaliação, coordenam com partes interessadas e garantem conformidade com a LGPD e legislações estaduais aplicáveis
• Equipes de Segurança da TI: Fornecem parecer técnico sobre sistemas de dados, controles de segurança e vulnerabilidades potenciais
• Assessoria Jurídica: Revisa avaliações para conformidade regulatória e ajuda a identificar riscos legais
• Gerentes de Projeto: Integram achados da AIPD ao planejamento e implementação de projetos
• Controladores de Dados: Unidades de negócio ou departamentos responsáveis pelas atividades de processamento de dados sendo avaliadas
• Consultores Externos: Fornecem expertise especializada para avaliações complexas ou atividades de processamento de alto risco

• Inventário de Dados: Mapeie quais dados pessoais você coleta, onde são armazenados e como fluem através de seus sistemas
• Análise de Risco: Documente ameaças potenciais à privacidade, sua probabilidade e impacto nos indivíduos
• Detalhes do Processo: Descreva seus procedimentos de tratamento de dados, medidas de segurança e políticas de retenção
• Contribuição das Partes Interessadas: Recolha feedback de equipes de TI, jurídica e negócios sobre necessidades operacionais
• Verificação de Conformidade: Revise a LGPD e regulamentações de setores específicos que se aplicam
• Documentação: Compile evidências de controles de segurança, acordos com fornecedores e avisos de privacidade
• Plano de Mitigação: Desenvolva passos específicos para abordar riscos identificados e proteger dados pessoais

• Descrição do Projeto: Visão geral detalhada das atividades de processamento de dados e sua finalidade comercial
• Inventário de Dados: Lista completa dos tipos de informações pessoais, métodos de coleta e finalidades de processamento
• Matriz de Avaliação de Riscos: Avaliação sistemática dos riscos à privacidade, sua probabilidade e impacto potencial
• Controles de Segurança: Documentação das medidas técnicas e organizacionais que protegem dados pessoais
• Marco Legal: Análise das leis de proteção de dados brasileiras e requisitos regulatórios aplicáveis
• Diagrama de Fluxo de Dados: Representação visual de como as informações se movem através dos sistemas
• Medidas de Mitigação: Passos específicos para abordar riscos identificados e garantir conformidade
• Cronograma de Revisão: Cronograma para atualizações periódicas da avaliação e monitoramento de conformidade

Embora ambos os documentos se concentrem na proteção de dados, uma Avaliação de Impacto à Proteção de Dados diferencia-se significativamente de uma Política de Proteção de Dados. As principais distinções residem em sua finalidade, momento de uso e escopo.

• Finalidade e Função: Uma AIPD avalia riscos e impactos específicos de novas atividades de processamento de dados, enquanto uma Política de Proteção de Dados estabelece regras e padrões contínuos para todo o tratamento de dados
• Momento de Uso: As AIPDs são conduzidas antes do lançamento de novos projetos ou de mudanças significativas nos existentes; as políticas fornecem orientação contínua
• Nível de Detalhe: As AIPDs contêm análise detalhada de riscos e estratégias de mitigação para cenários específicos, enquanto as políticas descrevem princípios e procedimentos gerais
• Contexto Regulatório: As AIPDs respondem diretamente aos requisitos da Lei Geral de Proteção de Dados (LGPD) para avaliação de riscos, enquanto as políticas estabelecem estruturas de conformidade mais amplas
• Envolvimento das Partes Interessadas: As AIPDs exigem contribuição de múltiplos departamentos e especialistas técnicos; as políticas normalmente precisam de aprovação executiva e implementação em toda a empresa