Skip to main content

Avaliação de impacto sobre a proteção de dados (DPIA) para sistemas de IA: artigo 35.º do RGPD

A AIPD é uma obrigação do RGPD, não do regulamento da IA. Quando os sistemas de IA a exigem e a relação com a FRIA.

Uma avaliação de impacto sobre a proteção de dados (DPIA) é uma obrigação do artigo 35.º do RGPD, e não do Regulamento de IA. O responsável pelo tratamento tem de a realizar antes de um tratamento suscetível de implicar um elevado risco para os direitos e liberdades das pessoas. Os sistemas de IA que definem perfis de pessoas, tratam dados de categorias especiais em grande escala ou monitorizam espaços públicos são casos típicos.

O Regulamento de IA refere a DPIA no artigo 26.º, n.º 9 e no artigo 27.º, n.º 4. O RGPD sanciona a violação do artigo 35.º com coimas até 10 milhões de EUR ou 2 % do volume de negócios anual mundial. Aplica-se o montante mais elevado (artigo 83.º, n.º 4, do RGPD). Passo seguinte: verifique se o seu sistema trata dados pessoais e quem é o responsável pelo tratamento.

O artigo 35.º, n.º 3, do RGPD indica três casos que exigem uma DPIA

  • Avaliação sistemática e completa baseada em tratamento automatizado

    Abrange a avaliação de aspetos pessoais, incluindo a definição de perfis, em que se baseiem decisões que produzam efeitos jurídicos ou afetem significativamente de forma semelhante a pessoa (artigo 35.º, n.º 3, alínea a)). Exemplo: a pontuação de crédito.

  • Tratamento em grande escala de categorias especiais de dados ou de dados sobre infrações

    Abrange as categorias especiais de dados nos termos do artigo 9.º, n.º 1, do RGPD e os dados sobre condenações penais e infrações nos termos do artigo 10.º (artigo 35.º, n.º 3, alínea b)). Exemplo: um sistema de IA que trata dados de saúde em grande escala.

  • Controlo sistemático de zonas acessíveis ao público em grande escala

    Abrange o controlo de zonas públicas em grande escala (artigo 35.º, n.º 3, alínea c)). Exemplo: a análise de vídeo num espaço público.

As autoridades de controlo publicam listas de outros tipos de tratamento que exigem uma DPIA (artigo 35.º, n.º 4, do RGPD).

Uma DPIA tem quatro partes mínimas

  • Descrição do tratamento

    Uma descrição sistemática das operações de tratamento e das suas finalidades, incluindo, se for caso disso, o interesse legítimo prosseguido (artigo 35.º, n.º 7, alínea a)).

  • Necessidade e proporcionalidade

    Uma avaliação da necessidade e da proporcionalidade do tratamento em relação às finalidades (artigo 35.º, n.º 7, alínea b)).

  • Riscos para os titulares dos dados

    Uma avaliação dos riscos para os direitos e liberdades das pessoas cujos dados são tratados (artigo 35.º, n.º 7, alínea c)).

  • Medidas contra os riscos

    As garantias, as medidas de segurança e os mecanismos que respondem aos riscos e demonstram o cumprimento do RGPD (artigo 35.º, n.º 7, alínea d)).

O responsável pelo tratamento solicita também o parecer do encarregado da proteção de dados, caso tenha sido designado (artigo 35.º, n.º 2). Solicita, se for caso disso, a opinião dos titulares dos dados ou dos seus representantes (artigo 35.º, n.º 9). Revê a DPIA, pelo menos, quando o risco se altera (artigo 35.º, n.º 11). Se a DPIA indicar um elevado risco que o responsável pelo tratamento não atenue, consulta primeiro a autoridade de controlo (artigo 36.º).

Uma DPIA e uma FRIA são avaliações distintas que podem partilhar conteúdo

  • Leis e objetos diferentes

    A DPIA decorre do RGPD e diz respeito à proteção de dados pessoais. A FRIA decorre do artigo 27.º do Regulamento de IA e diz respeito aos direitos fundamentais.

  • Destinatários da obrigação diferentes

    A DPIA recai sobre o responsável pelo tratamento, público ou privado. A FRIA recai apenas sobre os responsáveis pela implantação enumerados no artigo 27.º, n.º 1.

  • Conteúdo partilhado

    Se a DPIA já cumprir uma obrigação do artigo 27.º, a FRIA pode remeter para ela ou incluir partes dela (artigo 27.º, n.º 4). A FRIA continua a ter de abranger cada elemento do artigo 27.º, n.º 1.

O que faz a avaliação DPIA da Scanara

A Scanara não decide se é exigida uma DPIA. Decide o utilizador, na qualidade de responsável pelo tratamento, em conjunto com o seu encarregado da proteção de dados.

Perguntas DPIA guiadas

Um banco de perguntas segue o conteúdo do artigo 35.º, n.º 7, do RGPD. Responde o utilizador; a Scanara guarda as respostas como provas e redige o relatório DPIA.

Respostas pré-preenchidas a partir de análises

Se analisou um repositório, a Scanara pré-preenche respostas com base nos resultados da análise. Compete-lhe verificá-las e corrigi-las.

Ligação à FRIA

Uma avaliação FRIA pode fazer referência a uma DPIA aprovada do mesmo sistema (artigo 27.º, n.º 4).

Abrir a demonstração da Scanara

Saiba mais sobre as regras relacionadas

Perguntas frequentes sobre a DPIA

O Regulamento de IA exige uma DPIA?

Não. A obrigação decorre do artigo 35.º do RGPD. O Regulamento de IA apenas a refere: os responsáveis pela implantação de sistemas de risco elevado utilizam, quando aplicável, as informações fornecidas pelo fornecedor nos termos do artigo 13.º para a sua DPIA (artigo 26.º, n.º 9).

Uma avaliação de impacto sobre a proteção de dados do RGPD substitui a FRIA?

Não. Uma avaliação de impacto sobre a proteção de dados pode fornecer partes da FRIA, porque o artigo 27(4) permite ao responsável pela implantação remeter para ela ou incluir partes pertinentes, mas apenas quanto às obrigações do artigo 27 que já cumpre. A FRIA tem de continuar a abranger cada elemento do artigo 27(1).

Quando é necessária uma DPIA para um sistema de IA?

Quando o tratamento for suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares (artigo 35.º, n.º 1, do RGPD). O artigo 35.º, n.º 3, indica três casos que a exigem: a avaliação sistemática e completa baseada em tratamento automatizado, o tratamento em grande escala de categorias especiais de dados ou de dados sobre infrações, e o controlo de zonas públicas em grande escala. Consulte também a lista da sua autoridade de controlo.

O que acontece se uma DPIA exigida for omitida?

Coimas até 10 milhões de EUR ou, no caso de uma empresa, até 2 % do volume de negócios anual a nível mundial do exercício anterior, consoante o montante que for mais elevado (artigo 83.º, n.º 4, alínea a), do RGPD).

O Scanara prepara evidências a partir dos seus repositórios

O Scanara lê os seus repositórios GitHub ligados e executa análises baseadas em regras para padrões comuns de IA e de aprendizagem automática. Pode não detetar código fora do padrão. Em separado, gera rascunhos de documentação a partir de modelos e das suas respostas nas avaliações, como evidências para o seu trabalho de conformidade. A classificação é decidida por si.