Modelos e registos · ISO 27701 · Cláusula A.1
Modelo de avaliação de impacto na privacidade ISO 27701
A análise aprofundada que se faz antes de arrancar um tratamento de elevado risco: o que se vai fazer, se é necessário e proporcional, o que pode prejudicar as pessoas e como se evita.
Numa frase
A avaliação de impacto na privacidade descreve o tratamento e as suas finalidades, avalia a sua necessidade e proporcionalidade, analisa os riscos para os direitos e liberdades dos titulares e fixa as medidas para lhes fazer face, que é o conteúdo mínimo do artigo 35.º, n.º 7, do RGPD; a ISO/IEC 27701 inclui-a entre os controlos do responsável pelo tratamento da tabela A.1.
- Onde a norma o exige
- ISO 27701 · Cláusula A.1 Cita-se a edição de 2025: os números de 4 a 10 são capítulos; A.1, A.2 e A.3 são as tabelas do Anexo A com os controlos do responsável pelo tratamento, do subcontratante e comuns a ambos.
- Tipo de informação
- Registo obrigatório Registo a conservar quando o tratamento o exige (art. 35.º do RGPD; controlo da tabela A.1)
- Quem o preenche
- O responsável pelo tratamento, com o encarregado da proteção de dados O subcontratante colabora fornecendo a informação de que disponha (art. 28.º, n.º 3, alínea f), do RGPD)
- Quando
- Antes de iniciar o tratamento E de novo quando o risco se alterar (art. 35.º, n.º 11, do RGPD)
- Durante quanto tempo se conserva
- Enquanto durar o tratamento E o prazo que a organização decidir depois, para poder demonstrar que foi feita a tempo
O que a norma exige
O que o referencial ISO 27701 exige e o que fica ao seu critério
A norma pede ao responsável pelo tratamento que avalie o impacto na privacidade quando um tratamento novo ou uma alteração o tornem necessário, e que conserve o resultado. O RGPD torna-a obrigatória quando é provável um elevado risco para os direitos e liberdades, e dá como exemplos a avaliação sistemática com efeitos jurídicos, o tratamento em grande escala de categorias especiais e o controlo sistemático de zonas acessíveis ao público em grande escala.
O artigo 35.º, n.º 7, fixa o conteúdo mínimo e o n.º 2 obriga a solicitar o parecer do encarregado da proteção de dados, se tiver sido designado. Se o risco residual continuar elevado, é preciso consultar a autoridade de controlo antes de iniciar o tratamento (art. 36.º).
Não ser obrigatória não impede que se faça: muitas organizações aplicam-na de forma simplificada a qualquer tratamento novo, e convém deixar escrito porque se concluiu que a avaliação completa não era necessária.
Estrutura
Campos que o modelo deve ter
- Descrição sistemática do tratamento e das suas finalidades
- Interesse legítimo prosseguido, se for o fundamento jurídico
- Avaliação da necessidade e da proporcionalidade
- Riscos para os direitos e liberdades dos titulares
- Medidas previstas: garantias, segurança e mecanismos de proteção
- Parecer do encarregado da proteção de dados
- Opinião dos titulares, se tiver sido recolhida
- Risco residual e decisão: tratar, alterar ou consultar a autoridade
- Data, aprovação e próxima revisão
Exemplo
Exemplo: controlo de assiduidade biométrico numa fábrica fictícia
Empresa, pessoas e números fictícios: o exemplo serve apenas para mostrar como fica um registo bem preenchido.
| Campo | Conteúdo |
|---|---|
| Tratamento | Registo de tempos de trabalho com impressão digital · Conservas Ria Formosa (fictícia), 140 trabalhadores |
| Necessidade | Compara-se com cartão e aplicação móvel: ambos cumprem a finalidade sem dados biométricos |
| Riscos | Tratamento de categorias especiais; fuga irreversível de modelos biométricos |
| Parecer do EPD | Desaconselha a impressão digital por falta de proporcionalidade |
| Decisão | Abandona-se a biometria e implementa-se cartão com código · 20 de janeiro de 2026 |
| Revisão | Sempre que se proponha qualquer alteração ao sistema de registo de ponto |
Na auditoria
Erros que os auditores costumam apontar
- A avaliação é feita depois de contratar e implementar a ferramenta.
- Limita-se a um questionário de segurança, sem analisar necessidade nem proporcionalidade.
- Não consta o parecer do encarregado da proteção de dados.
- Não fica escrita a razão pela qual um tratamento de risco não precisou de avaliação completa.
No Kimobox
Como se gere este registo no Kimobox
- 1O registo de um tratamento novo passa por um fluxo que pergunta se exige avaliação de impacto.
- 2A avaliação é documentada como formulário com aprovação do encarregado e da gestão de topo.
- 3As medidas acordadas transformam-se em ações com responsável, data e aviso de atraso.
Perguntas frequentes
O que nos perguntam antes de começar
Quando é obrigatória?
Quando um tratamento for suscetível de implicar um elevado risco para os direitos e liberdades das pessoas (art. 35.º, n.º 1, do RGPD). As autoridades de controlo publicam listas dos tratamentos que a exigem.
É o subcontratante que a faz?
Não: a obrigação é do responsável pelo tratamento. O subcontratante ajuda-o com a informação sobre os seus meios e medidas.
Faça a gestão dos registos do referencial ISO 27701 sem modelos avulsos
Mostramos-lhe o módulo a funcionar com dados semelhantes aos seus.
Continue a explorar
Páginas relacionadas
Avaliação de impacto (AIPD)
Quando um tratamento implica um risco elevado para os direitos das pessoas, o RGPD exige a realização de uma…
Controlos para responsáveis e subcontratantes
O Anexo A reúne os controlos de referência do PIMS para responsáveis pelo tratamento e subcontratantes; o…
Modelo de registo das atividades de tratamento ISO 27701
O que deve conter o registo das atividades de tratamento num PIMS ISO 27701 e no art. 30.º do RGPD: campos…
Modelo de inventário de dados pessoais ISO 27701
Como montar um inventário de dados pessoais para um PIMS ISO 27701: onde estão os dados, em que sistemas…