Avaliação de Impacto na Proteção de Dados (AIPD)

Uma Avaliação de Impacto na Proteção de Dados (AIPD) ao abrigo do Artigo 35.º do RGPD é obrigatória quando o tratamento "for suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares". Para sistemas de transferência de ficheiros, esse limiar é atingido quando transfere dados de categorias especiais em larga escala (ficheiros de saúde, biometria), monitoriza sistematicamente colaboradores, trata dados de crianças, ou integra grandes fluxos de dados pessoais entre países terceiros. A AIPD documenta o tratamento, avalia a necessidade e proporcionalidade, avalia os riscos e identifica as mitigações — antes de o tratamento começar. Omiti-la quando é obrigatória expõe a coimas ao abrigo do Artigo 83.º(4) de até 10 M€ ou 2% do volume de negócios global.

Quando um sistema de transferência de ficheiros precisa de uma AIPD

O Artigo 35.º(3) lista três desencadeadores presumíveis: avaliação automática sistemática que produz efeitos jurídicos ou significativos, tratamento em larga escala de categorias especiais do Artigo 9.º ou dados penais, e monitorização sistemática em larga escala de espaços públicos. A maioria das autoridades nacionais de proteção de dados alargou este âmbito. A lista da CNIL (outubro de 2018, atualizada periodicamente) acrescenta: utilização inovadora de tecnologia, combinação de conjuntos de dados de diferentes responsáveis, tratamento de dados de localização ou comportamentais, e tratamento de dados de titulares vulneráveis. Uma plataforma de ensaios clínicos que trate imagens DICOM, IDs de doentes e ficheiros genómicos desencadeia o Artigo 35.º desde o primeiro dia.

Os conteúdos mínimos exigidos pelo Artigo 35.º(7)

O Artigo 35.º(7) especifica quatro componentes mínimos da AIPD: (a) descrição sistemática das operações de tratamento e das suas finalidades, (b) avaliação da necessidade e proporcionalidade, (c) avaliação dos riscos para os direitos e liberdades dos titulares, (d) medidas para fazer face aos riscos incluindo garantias e demonstração de conformidade. Expanda cada uma: em (a) inclua diagramas de fluxo de dados; em (b) cite a base legal e demonstre que alternativas menos invasivas não funcionam; em (c) pontue os riscos em probabilidade e gravidade; em (d) mapeie cada risco para um controlo técnico ou organizativo concreto.

Passo 1: descrever o fluxo de transferência de ficheiros de ponta a ponta

Comece com um diagrama de fluxo de dados. Ponto de carregamento, pré-processamento do lado do cliente, transporte (TLS 1.3), receção do lado do servidor, encriptação em repouso (AES-256-GCM), localização de armazenamento (eu-central-1), e-mail de notificação ao destinatário, ponto de descarregamento, desencriptação no browser do destinatário, desencadeamento de eliminação (expiração de 7 dias). Para cada seta, documente as categorias de dados pessoais (nome, e-mail, conteúdo do ficheiro, IP, data e hora), os atores (remetente, plataforma, destinatário, sub-subcontratantes) e a janela de retenção. Ferramentas como o modelo AIPD da Microsoft ou o software PIA da CNIL produzem registos exportáveis aceites por auditores.

Passo 2: avaliar a necessidade e proporcionalidade

O Artigo 35.º(7)(b) questiona se o tratamento é necessário para a finalidade declarada. A mesma finalidade poderia ser alcançada com menos dados? Para um sistema de transferência, as respostas típicas: o e-mail do destinatário é necessário para a entrega (não há substituto). O IP do remetente auxilia a deteção de fraude, mas não é estritamente necessário — registe e descarte após 30 dias em vez de conservar permanentemente. A análise de ficheiros para malware é proporcional se não extrair conteúdo além das assinaturas de malware. A indexação de conteúdo em tempo real para pesquisa é habitualmente desproporcionada a menos que os utilizadores deem opt-in. Documente cada decisão com as alternativas consideradas.

Passo 3: avaliação de risco com pontuação

Use uma matriz 5x5 (probabilidade × gravidade) ou a escala 4x4 do PIA da CNIL. Liste as ameaças: acesso não autorizado durante o trânsito, acesso não autorizado em repouso, violação por um utilizador interno malicioso, divulgação compelida por autoridades estrangeiras, divulgação acidental via ligação mal direcionada, retenção além da finalidade, incapacidade de honrar os direitos dos titulares. Para cada uma, pontue o risco inerente antes dos controlos. Para uma transferência apenas com TLS 1.3, a divulgação acidental via destinatário errado pontua probabilidade 3 (moderada) e gravidade 4 (significativa) para ficheiros empresariais confidenciais. Após expiração da ligação e registos de acesso, a probabilidade baixa para 2.

Passo 4: identificar e documentar as mitigações

Cada risco recebe uma linha de mitigação. Acesso não autorizado em trânsito: TLS 1.3 com HSTS, fixação de certificado em clientes móveis. Acesso não autorizado em repouso: AES-256-GCM com chaves por ficheiro, chaves mestras geridas por KMS. Divulgação compelida: encriptação do lado do cliente para que o fornecedor detenha apenas texto cifrado, alojamento exclusivamente na UE com fornecedores soberanos (OVH, Scaleway). Ligações mal direcionadas: opção de proteção por palavra-passe, notificações de descarregamento, expiração de ligação, IU de revogação. Excesso de retenção: TTL predefinido de 7 dias, extensão manual limitada a 30 dias, verificação de eliminação documentada. Cada mitigação referencia o controlo que a implementa.

Consulta ao EDP e à autoridade de supervisão

O Artigo 35.º(2) exige consulta ao Encarregado de Proteção de Dados se um for nomeado. O parecer do EDP deve ser documentado e o fundamento para o seguir ou dele divergir registado. O Artigo 36.º exige consulta à autoridade de supervisão se o risco residual permanecer elevado após as mitigações. A CNIL reporta os volumes de consulta prévia no seu relatório anual: cerca de 100 a 200 consultas prévias por ano, com 30 a 60% a resultar em recomendações que exigem reconfiguração. Preveja dois a quatro meses para a resposta da autoridade de proteção de dados quando é acionada a consulta prévia — bloqueia a entrada em produção.

Integração da Avaliação de Impacto na Transferência

Se o âmbito da AIPD incluir transferências internacionais, integre a Avaliação de Impacto na Transferência no quadro Schrems II como anexo. A AIT cobre os mesmos riscos por uma lente diferente: direito do país terceiro, acesso compelido, eficácia das CCT. Para uma ferramenta de transferência de ficheiros que utilize uma CDN dos EUA (Cloudflare, Fastly) mesmo com armazenamento de objetos exclusivamente na UE, a AIT deve abordar se os metadados (IPs, cabeçalhos de pedido) transitam por POPs de CDN nos EUA e se isso constitui uma transferência. As orientações atuais do CEPD tratam o encaminhamento em trânsito como transferência, por isso aborde isso.

Manter a AIPD atualizada

Uma AIPD não é um artefacto que se produz uma vez. O Artigo 35.º(11) exige revisão quando o tratamento muda materialmente. Para um serviço de transferência de ficheiros, as alterações relevantes incluem: novo sub-subcontratante, novo tipo de ficheiro suportado (adicionar vídeo quando anteriormente apenas documentos), expansão a novas categorias de utilizadores (consumidores versus empresas), alterações de arquitetura (migração de exclusivamente UE para multirregião). Reveja anualmente no mínimo, documente a data e o responsável pela revisão, e mantenha a AIPD em controlo de versões num registo de conformidade. Uma AIPD revista pela última vez em 2022, mas que ainda reflete o sistema atual, é um sinal de alerta.

Modelos e recursos que funcionam

O software PIA gratuito da CNIL (versão 3.0, atualizado em 2023) produz uma AIPD em PDF conforme com o Artigo 35.º(7). A ICO disponibiliza um modelo de AIPD e uma AIPD de exemplo para tratamento de alto risco. A AEPD espanhola publica o "Guía Práctica para las Evaluaciones de Impacto". O manual da ENISA de 2018 sobre medidas de segurança complementa estes com controlos técnicos. Para a transferência de ficheiros especificamente, compare o modelo com as orientações do Grupo de Trabalho do Artigo 29 WP248 (adotadas em 2017, aprovadas pelo CEPD). Fornecedores como a HexaTransfer publicam documentação pronta para AIPD — diagramas de arquitetura, especificações de encriptação, listas de sub-subcontratantes — que os clientes podem incorporar nas suas próprias avaliações.

A AIPD é o documento que as autoridades de supervisão pedem primeiro numa investigação. Escreva-a antes de lançar. Experimente em hexatransfer.com — gratuito, sem conta, até 10 GB.