Como Realizar uma Avaliação de Impacto na Proteção de Dados (DPIA)

Realizar uma avaliação de impacto na proteção de dados (DPIA) é uma tarefa complexa, mas essencial para garantir que seus dados estão seguros contra lacunas de segurança e vulnerabilidades. Além disso, as DPIAs são exigidas por muitas regulamentações. Em particular, a realização regular de avaliações de impacto na proteção de dados é uma estipulação chave do Regulamento Geral sobre a Proteção de Dados (GDPR), uma lei abrangente de privacidade de dados que se aplica a todas as organizações que armazenam ou processam dados de residentes da União Europeia (UE). As DPIAs também são exigidas pelo GDPR do Reino Unido.

Continue lendo para aprender o que significa DPIA, os principais requisitos da GDPR, os casos que exigem DPIAs e como realizar avaliações de impacto na proteção de dados.

O que é uma avaliação de impacto na proteção de dados?

Avaliações de impacto na proteção de dados, às vezes chamadas de avaliações de impacto na privacidade (PIAs), são realizadas para identificar, analisar e minimizar os riscos de proteção de dados de um projeto ou plano que envolva informações pessoais identificáveis (PII) ou, como o GDPR denomina, “dados pessoais”.

Os riscos às informações pessoais podem incluir qualquer coisa, desde o acesso não autorizado por atores internos ou externos até o não tratamento dos dados pessoais de acordo com os desejos do titular dos dados. Uma DPIA deve sempre resultar em uma lista de medidas que a organização tomará para abordar os riscos identificados.

Quais são os benefícios de uma DPIA?

Os benefícios de realizar DPIAs vão muito além da conformidade com o GDPR. Eles incluem:

• Menor probabilidade de violações de dados para sistemas, cookies, aplicativos e sites
• Redução do risco de não cumprir obrigações legais
• Menos risco de despesas pesadas com recuperação de violações de dados, multas, processos judiciais e perda de negócios
• Conformidade mais fácil com outras regulamentações de proteção de dados

Quando a minha organização deve realizar uma DPIA?

O GDPR não exige que as organizações realizem uma DPIA para cada operação de processamento relacionada à privacidade. Em vez disso, devem conduzir uma DPIA sempre que o seu processamento de dados for susceptível de resultar em alto risco para os direitos e liberdades dos indivíduos (o termo do GDPR é “pessoas naturais”).

A falha em realizar uma DPIA quando exigida pelas diretrizes oficiais pode resultar em ações de fiscalização legal, incluindo multas elevadas por parte do European Data Protection Board.

Quando é necessário um DPIA?

Utilize os seguintes critérios de The Guidelines on Data Protection Impact Assessment para determinar se uma DPIA é obrigatória:

• Avaliação ou pontuação — Você deve realizar Avaliações de Impacto sobre a Proteção de Dados (DPIAs) ao perfilhar pessoas, especialmente seu desempenho no trabalho, situação econômica, saúde, preferências pessoais ou interesses, comportamento, localização ou movimento. O GDPR também exige DPIAs para determinações de pontuação de crédito, testes genéticos para avaliar riscos à saúde e perfilamento de marketing baseado em comportamento.
• Tomada de decisão automatizada — As AIPDs são necessárias ao implementar processos que automatizam a tomada de decisão legal. Você deve garantir que tal processamento não exclua ou discrimine um indivíduo.
• Monitoramento sistemático — Você deve realizar avaliações de impacto sobre a proteção de dados (DPIAs) quando estiver observando, monitorando ou controlando sujeitos de dados, inclusive quando eles estiverem em áreas públicas. Exemplos incluem monitoramento de segurança remoto como aplicativos de câmera de campainha.
• Tratamento de dados sensíveis — As Avaliações de Impacto sobre a Proteção de Dados (DPIAs) são necessárias sempre que você lida com dados pessoais altamente sensíveis, como os dados de saúde de um paciente.
• Processamento de dados em larga escala — DPIAs são necessários quando você realiza processamento de dados em larga escala. Critérios para determinar se o processamento de dados ocorre em larga escala incluem o número de sujeitos de dados e a duração e extensão geográfica da atividade.
• Correspondência ou combinação de conjuntos de dados — Você deve realizar uma DPIA ao mesclar ou comparar dois ou mais conjuntos de dados coletados para diferentes finalidades.
• Sujeitos de dados vulneráveis — As Avaliações de Impacto sobre a Proteção de Dados (DPIAs) são necessárias quando existe um desequilíbrio de poder entre os sujeitos de dados e o controlador de dados, já que isso pode levar a danos ao sujeito de dados. As DPIAs são exigidas para sujeitos de dados que não podem se opor ao processamento de seus dados, como crianças, empregados e pessoas com doenças mentais ou problemas cognitivos.
• Uso inovador — DPIAS são necessários para tecnologias mais recentes, como dispositivos IoT, scanners de impressão digital e sistemas de reconhecimento facial.
• Transferência de dados para fora da UE ou Reino Unido — Você deve realizar DPIAs ao transferir dados para fora da UE ou Reino Unido. Isso ajuda a garantir que as salvaguardas apropriadas estejam em vigor.
• Tratamento de dados de candidatos — Quando você realiza processos que impedem os titulares dos dados de exercer um direito ou usar serviços ou contratos, você deve realizar uma Avaliação de Impacto sobre a Proteção de Dados (DPIA). Um exemplo é quando um banco realiza verificações de crédito para solicitações de empréstimo.

Quando um DPIA não é necessário?

Não é necessário realizar uma DPIA nas seguintes circunstâncias:

• Você está cumprindo obrigações legais — Se você está processando dados com base em uma obrigação legal ou em nome do público, não é necessário realizar uma DPIA. No entanto, essa exceção só se aplica quando o processamento de dados atende a pelo menos uma das seguintes circunstâncias:
  • Você tem uma base legal para o processamento dos dados.
  • Uma disposição legal ou código estatutário regula a operação de processamento.
  • Você não está sujeito às obrigações de DPIA conforme estabelecido na legislação aplicável.
  • Uma avaliação de risco de proteção de dados foi realizada como parte da avaliação de impacto quando o GDPR foi adotado em maio de 2018.
• Você já realizou uma DPIA semelhante — Se você completou uma DPIA e pode provar que a natureza, o design, o escopo, o contexto e o propósito da situação atual são todos semelhantes, você pode estar isento de realizar uma nova DPIA.

Quando deve ser conduzida uma DPIA?

Você deve incorporar DPIAs em novos projetos que envolvam dados pessoais desde o início e usá-los durante todo o planejamento e desenvolvimento. Por exemplo, se você deseja criar um aplicativo IoT, considere as obrigações do DPIA durante as primeiras etapas do processo de planejamento e até a conclusão.

E quanto aos processos que já estavam em vigor antes da entrada em vigor do GDPR?

O requisito de DPIA aplica-se a processos que começaram em ou após 25 de maio de 2018, e a processos que começaram antes dessa data e mudaram de forma a afetar os requisitos de conformidade.

Embora tecnicamente você possa estar isento de realizar DPIAs, a maioria dos especialistas em conformidade recomenda a realização de DPIAs para operações de processamento de risco que já estavam em andamento antes da entrada em vigor do GDPR.

O que deve ser incluído em uma DPIA?

Desbloquear todos os benefícios das DPIAs e garantir a conformidade com o GDPR exige uma abordagem abrangente. As listas de verificação a seguir podem ajudá-lo a evitar a perda de informações ou contextos críticos.

Lista de Verificação de Consciencialização de DPIA

Uma lista de verificação de conscientização ajudará você a entender os processos atuais de DPIA da sua empresa e estabelecer uma cultura na qual todos os funcionários estejam atentos às necessidades de DPIA, reduzindo a probabilidade de erro humano. Listas de verificação de conscientização incluem:

• Treinamento de funcionários — Oriente os funcionários sobre como as DPIAs protegem os dados pessoais e quando são necessárias.
• Gestão de procedimentos e políticas — Reveja o quão bem as políticas da sua empresa estão alinhadas com os requisitos da DPIA.
• Implementation guidelines — Document what circumstances require a DPIA.

Listas de verificação de triagem de DPIA

Uma lista de verificação de triagem oferece uma análise mais detalhada que define critérios para quando uma Avaliação de Impacto sobre a Proteção de Dados (DPIA) é necessária para projetos específicos. Listas de verificação de triagem incluem:

• Compreendendo os dados em questão — Crie documentos que questionem sobre a quantidade de dados envolvida, a vulnerabilidade dos sujeitos dos dados e o quão pessoais e privados são os dados. Forneça também diretrizes para distinguir dados de alto risco dos de baixo risco.
• Detalhes sobre o processamento de dados — Especifique por quanto tempo os dados serão processados, os locais de armazenamento e supervisão, quem tem acesso, quais medidas de segurança estão implementadas e como notificar os titulares dos dados sobre o processamento. Documente também como planeja consultar profissionais de privacidade e reguladores.
• Declaração clara sobre por que uma DPIA foi ou não considerada necessária — Se você decidir autorizar uma DPIA, deve ter uma declaração escrita clara do propósito. Se decidir contra uma DPIA para um projeto, inclua sempre documentação sobre por que uma DPIA foi descartada.

Lista de verificação do processamento de DPIA

A lista de verificação de processamento orienta os processadores sobre a conduta exata assim que a DPIA começa, o que apoia sua capacidade de cumprir com os requisitos do GDPR do início ao fim. Não utilizar uma lista de verificação de processos aumenta significativamente as chances de erro humano e outros problemas durante a etapa de processamento. Uma lista de verificação de processamento inclui:

• Identificação de riscos — Defina como planeja consultar os processadores para entender os riscos antes que o processamento comece. Garanta que a extensão do processamento corresponda ao propósito geral. Uma vez que os riscos sejam avaliados, inclua medidas escritas sobre como planeja mensurar e mitigá-los.
• Lista de partes interessadas — Identifique todos os principais interessados e seus planos para comunicar e atualizá-los em várias etapas.
• Registros de tomada de decisão — Inclua documentação detalhada sobre quem você consulta antes e durante o processamento, bem como todos que receberam acesso aos dados. Além disso, documente todos os métodos de processamento, qualquer tecnologia utilizada e quaisquer alterações na metodologia.
• Revisar processos — Ao realizar uma DPIA, crie um cronograma para revisar constantemente o status do seu projeto e alterações. Lembre-se, quaisquer mudanças na natureza, contexto, escopo ou design da avaliação podem exigir que você inicie o processo desde o início.

Quais passos devo seguir para realizar uma DPIA?

Aqui estão os passos que você precisa seguir no processo de avaliação de impacto DPIA para cumprir com o Regulamento Geral sobre a Proteção de Dados.

1. Identifique a necessidade de uma DPIA.

Utilize as informações acima para determinar se é necessário um DPIA. Certifique-se de documentar os seguintes aspectos do processamento:

• Natureza — O que você planeja fazer com os dados
• Escopo — Quais dados serão processados
• Contexto — Fatores internos e externos que podem afetar as expectativas ou impactar
• Finalidade — Por que sua organização deseja processar os dados

2. Descreva as operações de processamento e seu propósito.

Documente como os dados serão processados durante o projeto e o escopo dos dados. Responda às seguintes perguntas:

• Como os dados estão sendo coletados e utilizados?
• Onde e como os dados estão sendo armazenados?
• De onde os dados estão sendo coletados?
• Os dados estão armazenados com terceiros?
• Existem categorias de dados de alto risco envolvidas?
• Quanta dados estão sendo coletados e quantos sujeitos de dados são impactados?
• Onde estão ocorrendo as atividades de processamento de dados?
• Quais são os requisitos de retenção de dados?

Em seguida, descreva o propósito das atividades de processamento de dados conforme se relaciona com os objetivos do projeto. Descreva cada atividade de processamento de dados, como ela impactará o consumidor e como será aproveitada para o projeto.

3. Avalie a necessidade e a proporcionalidade.

Um aspecto importante de uma DPIA é justificar as atividades de processamento de dados que ocorrem, explicando o que é realmente necessário para os objetivos e resultados do projeto. Comece respondendo a estas perguntas:

• Existe uma base legal para a coleta desses dados?
• As medidas de consentimento apropriadas estão em vigor?
• Os sujeitos de dados vulneráveis estão envolvidos?
• Projetos anteriores de natureza semelhante realizaram processamentos similares? Se sim, foram identificadas e corrigidas falhas de segurança?
• O processamento de dados é necessário para alcançar os objetivos do projeto?
• Como os direitos do consumidor estão sendo mantidos?
• Existem maneiras de minimizar o uso de dados dos consumidores?

4. Consulte as partes interessadas.

Você deve consultar várias partes-chave ao longo do processo do DPIA. Estas incluem:

• Encarregado de Proteção de Dados (DPO) — O DPO da organização é responsável por monitorar a conformidade com o GDPR e outras leis de proteção de dados, treinar o pessoal envolvido no processamento de dados e atuar como ponto de contato para os titulares dos dados. Consultar um DPO pode ajudar a demonstrar conformidade, aumentar a responsabilidade e obter feedback sobre os riscos do projeto.
• Partes interessadas no projeto — Envolver todos os interessados ajudará você a compreender completamente a extensão e a necessidade das atividades de processamento de dados, bem como a elaborar estratégias adequadas para lidar com os riscos.
• Titulares dos dados e seus representantes — Titulares dos dados e seus representantes podem fornecer feedback sobre como seus dados estão sendo processados e garantir a legalidade de suas atividades de processamento.
• Especialistas externos — Para privacidade de dados expertise, considere a contratação de especialistas externos como profissionais de segurança da informação, advogados, técnicos, analistas de segurança e sociólogos.

5. Identificar e avaliar riscos aos dados pessoais.

Crie uma lista priorizada dos seus ativos e identifique vulnerabilidades potenciais. Por exemplo, se um dos seus ativos for um servidor onde armazena dados de clientes, os riscos para esses dados podem incluir desastres naturais, falhas de hardware e ataques maliciosos.

Na sua análise de risco, considere:

• Dados cuja perda ou exposição impactaria as operações
• Processos empresariais chave que utilizam esses ativos de dados
• Se os dados estão sendo anonimizados
• Se as políticas de retenção de dados são aplicáveis
• Se os dados estão sendo armazenados em locais inseguros ou se poderiam ser movidos para tais locais
• Se o escopo do processamento de dados mudará ao longo do projeto
• Se os controles de acesso apropriados estão sendo aplicados
• Ameaças que podem prejudicar a capacidade da organização de operar, e a gravidade e probabilidade de cada ameaça

6. Identificar medidas para lidar com os riscos.

Uma vez que você tenha uma boa ideia dos riscos potenciais envolvidos no projeto, formule e implemente estrategicamente medidas apropriadas de mitigação de riscos. Soluções de segurança de dados podem ajudá-lo a garantir que:

• As medidas de segurança necessárias estão em vigor para prevenir o acesso não autorizado a dados pessoais por atores internos ou externos.
• Políticas de retenção de dados estão em vigor para remover dados que não são mais necessários.
• As tecnologias de descoberta e monitoramento oferecem visibilidade sobre onde os dados pessoais existem, quem está acessando-os, como estão sendo usados e como estão se movimentando pela organização.
• Ações de remediação (como a exclusão de dados desnecessários e a limpeza de acessos) podem ser automatizadas e realizadas em larga escala.

Você deve documentar quais riscos de proteção de informações uma medida de mitigação específica ajudará a abordar e como. Aqui estão dois exemplos:

Exemplo 1

Risco: A organização retém informações pessoais identificáveis por mais tempo do que o necessário.

Solução: Utilize uma ferramenta automatizada de retenção de dados para garantir que os dados sejam excluídos conforme necessário.

Exemplo 2

Risco: Usuários não autorizados podem acessar o servidor e acessar dados regulamentados.

Solução: Aumente os testes de segurança e o monitoramento do servidor para prevenir e detectar atividades suspeitas.

7. Obtenha a aprovação.

Uma vez que todos os riscos forem identificados e uma estratégia de segurança apropriada for elaborada, obtenha a aprovação para implementação das partes relevantes. A lista dependerá da organização e do projeto específico, mas frequentemente inclui o Data Protection Officer e membros da equipe de gestão.

8. Implemente medidas para abordar riscos.

Em seguida, implemente as soluções e outras medidas que você identificou para reduzir os riscos.

9. Produza um relatório final de DPIA.

Por último, mas não menos importante, você deve produzir um relatório final de DPIA. Ele deve incluir as seguintes informações:

• Uma descrição detalhada do projeto e seu propósito
• Uma avaliação das necessidades e do escopo do processamento de dados
• Uma avaliação dos riscos de proteção de dados e privacidade do consumidor
• Uma explicação de como a organização irá mitigar riscos e cumprir com os requisitos do GDPR

É uma boa prática publicar as Avaliações de Impacto sobre a Proteção de Dados (DPIAs) na íntegra ou em parte, mesmo que o GDPR não exija. Isso ajuda a promover a confiança nas suas operações de processamento e demonstra responsabilidade e transparência para todos os interessados.

Como a Netwrix pode ajudar com avaliações de impacto na proteção de dados?

Realizar uma DPIA pode ser demorado, especialmente para organizações com equipe de TI limitada. Felizmente, a Netwrix está aqui para ajudar. Oferecemos soluções de soluções de auditoria de conformidade que fortalecem a segurança, satisfazem os auditores e protegem organizações de todos os tamanhos. Com nossos serviços, você pode:

• Identifique dados regulamentados e restrinja o acesso a eles — Determine exatamente que conteúdo regulamentado sua organização possui e garanta que ele seja armazenado apenas em locais seguros.
• Controle o acesso aos seus dados — Aplique rigorosamente o princípio do princípio do menor privilégio com fluxos de trabalho automatizados de solicitação e aprovação de acesso, revisão regular e atestação por parte dos proprietários dos dados, gestão eficaz de Group Policy, configurações seguras de sistema e políticas robustas de políticas de senhas. Além disso, detecte ameaças em seus estágios iniciais e responda rapidamente para neutralizá-las.
• Reduza o tempo de preparação de auditoria de semanas ou dias para minutos — Produza rapidamente provas concretas de conformidade regulatória com relatórios predefinidos sobre configurações de sistema, acesso a dados, contas de usuários e mais.

FAQ

1. As DPIAs são obrigatórias?

O Artigo 35 do GDPR exige uma DPIA sempre que você realizar processos que possam aumentar o risco aos direitos ou liberdades individuais. O requisito de DPIA aplica-se a processos que começaram em ou após 25 de maio de 2018, e a processos que começaram antes dessa data e mudaram de forma a afetar os requisitos de conformidade.

2. Existem exceções?

Uma DPIA pode não ser necessária se você estiver processando dados com base em uma obrigação legal ou em nome do público, ou se já tiver realizado uma DPIA semelhante.

3. Quem é responsável por realizar as DPIAs?

Um DPIA deve envolver o seu Data Protection Officer, se tiver um, bem como a pessoa responsável pelo projeto que desencadeou o DPIA e quaisquer processadores de dados relevantes.

4. Quando devem ser realizadas as DPIAs?

As organizações devem incorporar DPIAs desde o início de qualquer novo projeto e conduzi-los ao longo do processo de planejamento e desenvolvimento.

5. O que deve conter uma DPIA?

O Information Commissioner’s Office (ICO) descreve o que incluir em uma avaliação de DPIA. Em particular, certifique-se de documentar os seguintes fatores sobre o processamento de dados:

• Natureza — O que você planeja fazer com os dados
• Escopo — O que o processamento abrange
• Contexto — Fatores internos e externos que podem afetar as expectativas ou impactar
• Finalidade — Por que a organização deseja processar os dados