O que é uma DPIA (Avaliação de Impacto sobre a Proteção de Dados)?

O RGPD determina no Artigo 35 que uma DPIA deve conter pelo menos quatro elementos:

1. Uma descrição clara das atividades de processamento de dados planejadas e das finalidades do tratamento.
    

2. Uma avaliação da necessidade e da proporcionalidade (ou seja, o escopo do processamento de dados é proporcional aos objetivos da organização?).
   

3. Uma análise dos riscos à proteção de dados para as pessoas envolvidas (chamadas de "titulares dos dados" no regulamento).
   

4. Medidas documentadas para reduzir esses riscos.

Embora o RGPD seja relativamente novo, as empresas conduzem avaliações de impacto e avaliações de risco de vários tipos há décadas, muitas vezes para cumprir exigências legais.

A legislação dos EUA exige avaliações de impacto ambiental desde a década de 1970; as leis de privacidade dos anos 1990 estenderam a ideia ao conceito de avaliações de impacto sobre a privacidade (PIAs). As leis de proteção de dados agora estendem aos domínios dos dados e da privacidade de dados a ideia de que as empresas devem antecipar e mitigar possíveis danos.

A UE leva a sério o RGPD e a exigência de DPIA a ele associada, aplicando multas a organizações que deixam de implementar DPIAs ou que, de outro modo, estão em não conformidade.

Em 2019, por exemplo, uma escola de ensino médio no norte da Suécia foi multada (a primeira multa do país) ao implementar um piloto para fazer a chamada usando tecnologia de reconhecimento facial biométrico. Ela o fez sem conduzir uma DPIA. No fim, a escola foi multada em EUR 19.000, embora observadores tenham notado que a multa máxima poderia ter chegado a quase EUR 1 milhão.¹ (As penalidades previstas no RGPD podem chegar a EUR 20 milhões ou 4% da receita global anual de uma empresa, o que for maior.)

Um site acompanha as multas do GDPR. Até abril de 2026, mais de 3.000 multas haviam sido contabilizadas. Muitas dessas multas citam especificamente o Artigo 35 do RGPD (que trata das DPIAs) como um dos fatores que contribuíram para a multa.Em um exemplo de dezembro de 2025, uma empresa francesa foi multada em EUR 3,5 milhões, com menção a uma infração ao Artigo 35. A maior multa do RGPD da história foi aplicada à Meta pela Comissão de Proteção de Dados da Irlanda, em 2023, no valor de EUR 1,2 bilhão, embora aquele caso tenha se concentrado em transferências de dados, e não em avaliações de impacto.

O GDPR.eu oferece orientações sobre como conduzir adequadamente uma DPIA, acompanhadas de um modelo. No entanto, convém observar que conduzir uma DPIA muitas vezes é apenas o início de um processo minucioso de gerenciamento de riscos. Às vezes, as multas surgem quando uma DPIA identifica riscos e vulnerabilidades potenciais, mas a ausência de mitigações reais reduz a DPIA a um mero exercício.

Nos piores casos, uma DPIA pode servir como um rastro documental que prova que uma empresa conhecia os riscos e não os tratou adequadamente. Na France Travail, a agência nacional de emprego, as medidas de segurança detalhadas em DPIAs nunca foram implementadas, o que levou a uma grande violação de dados. Em janeiro de 2026, os reguladores multaram a France Travail em EUR 5 milhões.²

De acordo com o RGPD, três situações sempre acionam uma DPIA.

Primeira: quando a tomada de decisão automatizada afeta significativamente as pessoas. Um exemplo seria o algoritmo de um banco que rejeita automaticamente uma solicitação de empréstimo com base na definição de perfil, situação em que a base legal da decisão fica sob escrutínio.

Segunda: o processamento em larga escala de dados sensíveis, que incluem dados biométricos, opiniões políticas e outros tipos de dados que revelam detalhes íntimos da vida de uma pessoa.

Terceira: o monitoramento sistemático de áreas públicas em larga escala (como grandes redes de câmeras em estações de trem ou shopping centers).

Além desses gatilhos automáticos, as diretrizes da UE estabelecem nove critérios para identificar atividades de processamento de dados de alto risco que podem exigir DPIAs. Esses critérios incluem a avaliação ou a pontuação de indivíduos, o uso inovador de novas tecnologias, o tratamento de dados sobre pessoas vulneráveis (como crianças) e a combinação de conjuntos de dados de diferentes fontes.

Muitas empresas seguem uma diretriz básica: se as operações de processamento atendem a dois ou mais desses critérios, seria prudente realizar uma DPIA.

O processo de DPIA começa por determinar se uma avaliação completa se justifica, normalmente durante as fases iniciais do planejamento do projeto.

Quando uma avaliação é exigida, as organizações normalmente mapeiam em detalhes suas atividades de processamento de dados pertinentes. Esses mapas registram como os dados pessoais são coletados, de quem, as finalidades do tratamento e por quanto tempo os dados são retidos.

Em seguida vem a análise de risco, na qual cada dano potencial decorrente dos dados (perda financeira, discriminação, danos à reputação ou até mesmo perigo físico) é avaliado quanto à probabilidade e à gravidade.

Para cada risco identificado, a organização documenta uma mitigação. As mitigações podem incluir proteções técnicas, como criptografia ou controles de acesso, e medidas organizacionais, como treinamento de pessoal ou escolhas gerais de design do projeto. O RGPD orienta as empresas a adotar o princípio da proteção de dados desde a concepção. Em outras palavras: a proteção de dados deve estar integrada a tudo o que a empresa faz, em vez de ser acrescentada depois, como algo secundário.

Após a mitigação, resta o que os reguladores chamam de "risco residual", o risco que persiste mesmo depois de medidas razoáveis. Se o risco residual permanecer alto, a organização deve informar sua autoridade supervisora nacional.

Nos termos do RGPD, algumas organizações devem nomear um encarregado de proteção de dados (DPO), um profissional corporativo independente responsável pela conformidade com o RGPD. Onde há DPOs, eles frequentemente conduzem o processo de DPIA ou, no mínimo, são consultados ao longo dele.

Os stakeholders afetados pelo tratamento geralmente se manifestam quando isso é viável. Alguns reguladores dispõem de ferramentas que ajudam a agilizar o processo de DPIA. No caso do Information Commissioner's Office (ICO) do Reino Unido, por exemplo, há um modelo de DPIA gratuito e disponível para download, organizado em torno de sete etapas. (Embora o Reino Unido não seja mais um Estado-membro da UE, o país tem uma legislação muito semelhante ao RGPD da UE, chamada UK GDPR.) O equivalente francês (a CNIL, sigla de "Commission nationale de l'informatique et des libertés") lançou um software de código aberto. A autoridade espanhola publicou em seu site modelos distintos para órgãos públicos e empresas privadas, além de um guia extenso sobre gerenciamento de riscos.

De modo geral, essas ferramentas e guias reforçam que um processo de DPIA eficaz começa cedo e trata a privacidade das pessoas e os riscos à privacidade desde o início.