AIPD do RGPD: Quando Uma Avaliação de Impacto sobre a Proteção de Dados É Exigida? (2026)

Uma AIPD é exigida nos termos do artigo 35 do Regulamento (UE) 2016/679 sempre que um tratamento for suscetível de gerar um alto risco para os direitos e liberdades das pessoas físicas. Os controladores devem concluir a avaliação antes de o tratamento começar, não depois.

Para uma visão geral completa do regulamento, veja o que é o RGPD. Se você está construindo um programa de conformidade, a lista de verificação de conformidade com o RGPD aborda o conjunto mais amplo de obrigações, e Requisitos de DPO do RGPD explica quando você deve nomear um Encarregado de Proteção de Dados para assessorar na AIPD.

O Que É uma AIPD Segundo o RGPD?

Uma Avaliação de Impacto sobre a Proteção de Dados é um processo estruturado e documentado pelo qual um controlador de dados identifica e avalia os riscos à privacidade criados por uma operação de tratamento planejada, e determina medidas para reduzir esses riscos a um nível aceitável. O artigo 35(1) do Regulamento (UE) 2016/679 define a obrigação: "Quando um certo tipo de tratamento, em particular usando novas tecnologias e tendo em conta a natureza, o âmbito, o contexto e as finalidades do tratamento, for suscetível de resultar num elevado risco para os direitos e liberdades das pessoas singulares, o controlador procede, antes de iniciar o tratamento, a uma avaliação do impacto das operações de tratamento previstas sobre a proteção de dados pessoais".

A AIPD substitui o regime de notificação prévia previsto na Diretiva 95/46/CE. O considerando 89 explica essa mudança: o RGPD elimina "a obrigação geral de notificação" porque o registro geral criava encargos administrativos sem melhorar de forma confiável a proteção. Em vez disso, o regulamento concentra a atenção regulatória no subconjunto de operações que genuinamente criam risco elevado.

A obrigação recai sobre o controlador. Os operadores podem prestar assistência, e o artigo 28(3)(f) exige especificamente que o operador "auxilie o controlador a garantir o cumprimento das obrigações nos termos dos artigos 32 a 36", mas o dever legal pertence exclusivamente ao controlador.

Uma AIPD não é um exercício único. O artigo 35(11) exige que os controladores revisem a avaliação "pelo menos quando há uma alteração do risco representado pelas operações de tratamento". Um tratamento avaliado como de baixo risco no momento do projeto pode se tornar de alto risco se a tecnologia, a escala, as categorias de dados ou o contexto de uso mudarem.

Quando uma AIPD É Obrigatória? O Limite de Alto Risco

A condição desencadeadora é que o tratamento seja "suscetível de resultar num elevado risco" para as pessoas, um padrão preditivo e prospectivo. O controlador deve avaliar se esse risco é provável, não esperar até que o dano se materialize. As novas tecnologias recebem menção específica no artigo 35(1) porque tendem a criar riscos que ainda não foram avaliados ou regidos por práticas estabelecidas.

O artigo 35(3) fornece três categorias explícitas que exigem inerentemente uma AIPD. Trata-se de pisos, não de tetos: outros tipos de tratamento não listados no artigo 35(3) ainda podem exigir uma AIPD se o padrão geral de alto risco do artigo 35(1) for atendido.

Artigo 35(3)(a): Definição de Perfis Automatizada e Sistemática com Efeitos Jurídicos ou Similarmente Significativos

O artigo 35(3)(a) exige uma AIPD para "uma avaliação sistemática e completa de aspetos pessoais relacionados com pessoas singulares, baseada no tratamento automatizado, incluindo a definição de perfis, e que sirva de base a decisões que produzam efeitos jurídicos relativamente à pessoa singular ou que a afetem significativamente de forma similar". Três elementos devem estar presentes em conjunto: a avaliação é sistemática e completa; o tratamento é automatizado; e as decisões resultantes produzem efeitos jurídicos (alteração de direitos ou de status jurídico) ou efeitos similarmente significativos (negação de emprego, exclusão de um benefício, deterioração material das condições financeiras).

O considerando 71 fornece exemplos concretos: pedidos de crédito on-line, triagem automatizada de recrutamento e modelos de precificação de seguros. A categoria também abrange pontuação algorítmica em policiamento preditivo, detecção automatizada de fraudes que bloqueia a conta de um cliente sem revisão humana, e pipelines de publicidade comportamental em que a diferenciação é material.

O princípio limitador é "efeitos jurídicos ou efeitos similarmente significativos". A personalização que muda a cor de uma página web, ou uma recomendação de playlist sem qualquer consequência, não atinge esse limite.

Artigo 35(3)(b): Tratamento em Larga Escala de Dados de Categoria Especial ou de Infrações Penais

O artigo 35(3)(b) exige uma AIPD para "o tratamento em larga escala de categorias especiais de dados a que se refere o artigo 9(1), ou de dados pessoais relacionados com condenações penais e infrações a que se refere o artigo 10". As categorias especiais incluem origem racial ou étnica, opiniões políticas, convicções religiosas ou filosóficas, filiação sindical, dados genéticos, dados biométricos tratados para identificação única, dados de saúde, e dados relativos à vida sexual ou à orientação sexual.

O qualificador de larga escala é importante. O considerando 91 explica que um profissional de saúde individual que trata os dados de seus próprios pacientes não está envolvido em tratamento em larga escala. O WP248 recomenda considerar quatro fatores: o número de titulares de dados; o volume ou a variedade de itens de dados; a duração da atividade; e a extensão geográfica. Um sistema hospitalar que trata registros de centenas de milhares de pacientes em uma rede regional claramente atinge esse limite; uma clínica de profissional autônomo que atende a algumas centenas de pacientes não.

Artigo 35(3)(c): Monitoramento Sistemático em Larga Escala de Áreas de Acesso Público

O artigo 35(3)(c) exige uma AIPD para "o monitoramento sistemático de zonas acessíveis ao público em larga escala". O considerando 91 dá como exemplo "o monitoramento de zonas acessíveis ao público em larga escala, nomeadamente quando são utilizados dispositivos optoeletrônicos". Sistemas de CFTV em espaços públicos são o caso paradigmático. O critério se aplica tanto a entidades privadas quanto a autoridades públicas. Sistemas modernos de análise de vídeo que usam reconhecimento facial ou reconhecimento de marcha se enquadram exatamente nessa categoria e acionam também uma consideração adicional nos termos do artigo 35(3)(a). Uma única câmera dentro de uma pequena loja, monitorada manualmente durante o horário de funcionamento, dificilmente será considerada em larga escala ou sistemática. Uma rede de centenas de câmeras no centro de uma cidade, com análises automatizadas e retenção de várias semanas, claramente é.

Os Nove Critérios do CEPD para Alto Risco

As diretrizes WP248 do CEPD (adotadas em outubro de 2017, endossadas pelo CEPD em maio de 2018) identificam nove critérios como indicadores de provável alto risco nos termos do artigo 35(1). Nenhum critério isolado é individualmente determinante; a posição do CEPD é que qualquer tratamento que satisfaça dois ou mais deve ser tratado como exigindo uma AIPD.

1. Avaliação ou pontuação. O tratamento avalia ou pontua pessoas, incluindo a definição de perfis e a previsão, a partir de aspectos como desempenho no trabalho, situação econômica, saúde, preferências pessoais, confiabilidade, comportamento, localização ou movimentos.

2. Decisão automatizada com efeitos jurídicos ou similares. O tratamento envolve decisões automatizadas que produzem efeitos jurídicos ou similarmente significativos, conforme o artigo 35(3)(a).

3. Monitoramento sistemático. O tratamento envolve observação ou controle sistemático de pessoas, incluindo dados coletados por meio de redes ou vigilância encoberta de funcionários ou consumidores. Abrange a impressão digital de dispositivos, o rastreamento persistente por cookies, o monitoramento de tráfego de rede e o software de monitoramento de funcionários.

4. Dados sensíveis ou de natureza altamente pessoal. O tratamento envolve dados de categoria especial do artigo 9, dados de infrações penais do artigo 10, dados financeiros, dados de localização, dados de saúde, ou outros dados cujo uso indevido poderia causar dano significativo. O CEPD destaca especificamente os dados de transações financeiras como indicador de alto risco.

5. Dados tratados em larga escala. Uma consideração autônoma que aplica o qualificador de larga escala do artigo 35(3)(b) a todos os tipos de dados pessoais, não apenas às categorias especiais.

6. Cruzamento ou combinação de conjuntos de dados. O tratamento combina, cruza ou compara dados de duas ou mais fontes distintas, de formas que podem exceder as expectativas razoáveis dos titulares de dados no momento em que cada fonte foi originalmente coletada.

7. Dados relativos a titulares vulneráveis. O tratamento envolve pessoas em posição de vulnerabilidade em relação ao controlador: crianças, funcionários, pacientes, idosos e requerentes de asilo. As crianças recebem menção especial porque são "menos conscientes dos riscos, das consequências e das salvaguardas envolvidos, e de seus direitos em relação ao tratamento de dados pessoais".

8. Uso inovador ou aplicação de novas soluções tecnológicas ou organizacionais. O tratamento aplica tecnologia de forma inovadora (IoT, reconhecimento biométrico, IA, dispositivos conectados), quando as consequências sociais ou individuais mais amplas ainda não foram estabelecidas.

9. Tratamento que impede os titulares de dados de exercer um direito ou usar um serviço. O tratamento decide se concede ou nega acesso a algo que o titular dos dados tem o direito ou a expectativa legítima de receber: uma conta bancária, um benefício governamental, um tratamento médico, um emprego ou uma moradia.

Listas Negras de AIPD das Autoridades Nacionais de Controle

O artigo 35(4) exige que cada autoridade nacional de controle "estabeleça e torne pública uma lista dos tipos de operações de tratamento sujeitos ao requisito de uma avaliação de impacto sobre a proteção de dados, nos termos do n.º 1". Essas listas negras são juridicamente vinculantes em suas respectivas jurisdições. Os controladores que operam em vários Estados-Membros da UE/EEE devem verificar a lista negra de cada autoridade nacional relevante, pois as categorias que acionam a obrigação podem variar.

O artigo 35(5) permite que as autoridades de controle também publiquem uma lista branca de tipos de tratamento que não exigem uma AIPD. Quando uma entrada da lista branca cobre uma operação proposta, uma AIPD não é necessária, salvo se circunstâncias específicas elevarem a operação acima do limite geral de alto risco.

O mecanismo de coerência previsto no artigo 35(6) se aplica quando uma lista proposta envolve tratamento "relacionado com a oferta de bens ou serviços a titulares de dados ou com o monitoramento do seu comportamento em vários Estados-Membros, ou que possa afetar substancialmente a livre circulação de dados pessoais na União". Nesse caso, a autoridade deve usar o mecanismo de coerência do artigo 63, envolvendo o CEPD no processo.

Exemplos ilustrativos de listas negras de autoridades nacionais selecionadas: a CNIL francesa incluiu controle de acesso biométrico em locais de trabalho, pontuação preditiva de risco social em contextos do setor público, tratamento em larga escala de dados de saúde, e cruzamento automatizado de bancos de dados de empregadores e de benefícios sociais. A Conferência Alemã de Proteção de Dados incluiu o tratamento sistemático de dados de comportamento de funcionários, registros de saúde de pacientes em larga escala, e avaliação de crédito orientada por IA. A ICO do Reino Unido (UK GDPR) lista a definição de perfis em larga escala de crianças, o monitoramento sistemático de comunicações de funcionários, dados biométricos para autenticação da equipe, e perfis comportamentais de múltiplas fontes.

Os controladores devem verificar a lista atual publicada por cada autoridade de controle relevante, e não confiar em um resumo. As listas são atualizadas à medida que o CEPD adota novas orientações ou as autoridades nacionais respondem a novas tecnologias.

O Que uma AIPD Deve Conter: O Artigo 35(7)

O artigo 35(7) estabelece os requisitos mínimos de conteúdo. A avaliação deve incluir "pelo menos" quatro elementos, ampliados no WP248.

Além dos quatro elementos obrigatórios, o WP248 recomenda também documentar: a identidade e os dados de contato do controlador e do encarregado de proteção de dados; as categorias de titulares de dados e de dados pessoais; os prazos de retenção; um registro de como o encarregado foi consultado; e a data da avaliação e a data prevista de revisão.

A AIPD é um documento de trabalho. Um resumo de duas páginas afirmando que "medidas adequadas foram tomadas" não está em conformidade. A posição do CEPD é que o documento deve refletir uma metodologia estruturada e repetível, como a metodologia de Avaliação de Impacto sobre a Privacidade da CNIL, a ISO 29134, ou o padrão BSI 200-2, embora o regulamento não exija nenhuma metodologia específica.

Quem É Responsável Pela AIPD?

O controlador é legalmente responsável por realizar a AIPD e pela exatidão e integralidade de seu conteúdo. Isso não pode ser delegado por contrato a um operador ou a um fornecedor de consultoria de AIPD.

O artigo 35(2) exige que o controlador "solicite o parecer do encarregado de proteção de dados, quando designado, ao realizar uma avaliação de impacto sobre a proteção de dados". Trata-se de uma obrigação de consulta, não de uma transferência de responsabilidade. O papel do encarregado na AIPD está previsto no artigo 39(1)(c), que exige que o encarregado "preste aconselhamento, quando solicitado, no que se refere à avaliação de impacto sobre a proteção de dados e supervisione a sua realização, nos termos do artigo 35". Se o controlador desconsiderar o aconselhamento do encarregado, deve documentar os motivos.

O artigo 35(9) incentiva os controladores a "buscar as opiniões dos titulares de dados ou de seus representantes sobre o tratamento pretendido". Trata-se de uma recomendação de melhor prática, não de um requisito obrigatório, mas, para produtos voltados ao consumidor, ela pode fortalecer a fase de identificação de riscos.

Os operadores que constroem produtos usados por controladores para tratamento de alto risco têm interesse indireto. O artigo 28(3)(f) exige que o operador auxilie o controlador, e muitos operadores agora fornecem documentação de AIPD pré-construída ou ferramentas de mapeamento de fluxo de dados como entrega contratual.

Prazo: Antes de o Tratamento Começar

O artigo 35(1) é inequívoco: a AIPD deve ser concluída "antes de iniciar o tratamento". A avaliação deve estar concluída, os riscos avaliados, as medidas de mitigação implementadas (ou a consulta prévia concluída, se o risco residual permanecer alto), e o controlador convencido de que o tratamento pode prosseguir licitamente. Tudo isso deve ser feito antes de qualquer tratamento ativo começar.

Os controladores devem incorporar a conclusão da AIPD aos cronogramas de projeto. Uma AIPD iniciada após o lançamento, ou retroativamente elaborada para cobrir um tratamento já em curso, não está em conformidade. As autoridades de controle já criticaram expressamente as AIPDs feitas a posteriori como evidência de que o princípio de prestação de contas do artigo 5(2) não foi observado.

O considerando 90 estabelece a sequência exigida: projetar o tratamento; realizar a AIPD; se o risco residual permanecer alto, consultar a autoridade de controle; só então iniciar o tratamento.

Para grandes organizações, um processo em fases é comum. Uma fase de triagem determina se uma AIPD completa é necessária. Quando a triagem confirma alto risco, a AIPD completa é realizada antes de o projeto do tratamento ser finalizado. Tanto a ICO quanto a CNIL publicam modelos de triagem que os controladores podem usar para documentar o resultado, mesmo quando a conclusão é de que uma AIPD completa não é necessária.

Fluxo de Trabalho de AIPD, Passo a Passo

Etapa 1: Identificar a operação de tratamento e confirmar se uma AIPD é exigida. Mapeie a operação planejada, incluindo tipos de dados, titulares, finalidades, fundamento legal, tecnologia, prazo de retenção e partes envolvidas. Aplique o teste de três partes: (a) A operação se enquadra em uma categoria obrigatória do artigo 35(3)? (b) A lista negra da autoridade de controle cobre esse tipo de tratamento? (c) Dois ou mais dos nove critérios do CEPD se aplicam? Se qualquer resposta for sim, uma AIPD é exigida. Documente o resultado de toda forma.

Etapa 2: Consultar o encarregado de proteção de dados. Nos termos do artigo 35(2), se um encarregado tiver sido nomeado, compartilhe o resultado da Etapa 1, peça que confirme a metodologia e sinalize preocupações jurídicas preliminares. Registre a data da consulta e a resposta do encarregado.

Etapa 3: Descrever o tratamento sistematicamente. Prepare uma descrição escrita abrangendo: categorias e volume de dados pessoais; titulares de dados afetados; método de coleta; finalidades específicas; fundamento legal nos termos do artigo 6(1) (e do artigo 9(2), se categorias especiais estiverem envolvidas); fluxo de dados desde a coleta até a exclusão; operadores e suboperadores e a relação contratual com cada um; cronograma de retenção; e jurisdições de tratamento.

Etapa 4: Avaliar a necessidade e a proporcionalidade. Para cada finalidade de tratamento, avalie: se a finalidade poderia ser alcançada sem dados pessoais, com dados anonimizados ou pseudonimizados, ou com menos dados; se o prazo de retenção é o mínimo necessário; se o fundamento legal é adequadamente compatível; e se o tratamento é consistente com as expectativas razoáveis dos titulares de dados. Quando existir uma alternativa menos intrusiva, documente o motivo de escolher o caminho mais intrusivo.

Etapa 5: Identificar e avaliar os riscos. Para cada elemento do tratamento, identifique cenários de risco categorizados pelo impacto nas pessoas (incapacidade de exercer direitos; dano físico, econômico ou reputacional; tratamento discriminatório; perda de confidencialidade; reidentificação; efeitos inibidores) e pela probabilidade, levando em conta as salvaguardas existentes. Para cada cenário, registre a classificação de probabilidade, a classificação de gravidade, e as medidas de mitigação existentes.

Etapa 6: Identificar e documentar as medidas de mitigação. Para cada cenário de risco médio ou alto, identifique medidas adicionais: técnicas (cifragem, pseudonimização, minimização de dados, exclusão automatizada, controle de acesso, registro de auditoria) e organizacionais (treinamento de equipe, obrigações contratuais de operadores, procedimentos de resposta a violações, revisões de acesso, privacidade desde o design). Para cada medida, registre o risco residual que permaneceria.

Etapa 7: Avaliar o risco residual geral. Se todos os riscos identificados foram reduzidos a um nível baixo ou aceitável, a AIPD sustenta a decisão de prosseguir. Se algum cenário de risco mantiver um alto risco residual, o controlador deve redesenhar o tratamento para reduzi-lo, ou avançar para a Etapa 8.

Etapa 8: Consulta prévia à autoridade de controle, se o alto risco residual permanecer. O artigo 36(1) estabelece: "O controlador consulta a autoridade de controle antes de proceder ao tratamento, sempre que uma avaliação de impacto sobre a proteção de dados nos termos do artigo 35 indicar que o tratamento resultaria num elevado risco na ausência de medidas tomadas pelo controlador para mitigar o risco". O tratamento não pode começar até que a autoridade tenha respondido ou o prazo de consulta tenha decorrido.

Etapa 9: Documentar, aprovar e registrar a AIPD. A AIPD concluída deve ser aprovada pelo controlador ou por um representante designado, com autoridade para aceitar o risco. Quando o encarregado foi consultado, seu aconselhamento e a resposta do controlador devem fazer parte do registro. Conserve como documentação de prestação de contas nos termos do artigo 5(2).

Etapa 10: Estabelecer um cronograma de revisão. O artigo 35(11) exige a revisão "pelo menos quando há uma alteração do risco representado pelas operações de tratamento". Incorpore uma data de revisão ao próprio documento: normalmente de 12 a 24 meses para operações de risco moderado, e de 6 a 12 meses para as que estão próximas ao limite de alto risco. Qualquer mudança relevante na tecnologia, na escala, nos tipos de dados, nas finalidades ou no contexto regulatório deve acionar uma revisão intermediária.

Consulta Prévia Nos Termos do Artigo 36

O artigo 36 é acionado quando a AIPD conclui que o risco residual permanece alto, mesmo após a aplicação de todas as medidas de mitigação razoáveis. O controlador deve então consultar a autoridade de controle antes de prosseguir. O artigo 36(1) usa o termo obrigatório "consulta".

Ao apresentar um pedido de consulta prévia, o controlador deve fornecer os materiais listados no artigo 36(3): as respectivas responsabilidades do controlador e do operador; as finalidades e os meios do tratamento pretendido; as medidas e salvaguardas para proteger os titulares de dados; os dados de contato do encarregado de proteção de dados; a AIPD concluída; e quaisquer outras informações solicitadas pela autoridade.

A autoridade de controle tem até oito semanas para fornecer parecer por escrito, nos termos do artigo 36(2), prorrogável por mais seis semanas para tratamentos particularmente complexos. Durante o período de consulta, a autoridade pode usar "qualquer um de seus poderes previstos no artigo 58", incluindo a emissão de uma advertência formal, a imposição de uma proibição temporária de tratamento, ou a instauração de processos por infração.

A consulta prévia não é uma pré-aprovação regulatória nem um porto seguro. Uma autoridade de controle que não se opõe dentro do prazo de consulta não aprovou afirmativamente o tratamento. O controlador continua legalmente responsável pela conformidade com o RGPD. Uma consulta prévia concluída, no entanto, cria um registro contemporâneo de que o controlador identificou o risco residual, o divulgou à autoridade competente, e não foi instruído a interromper.

O artigo 36(4) exige que os Estados-Membros consultem a autoridade de controle "durante a preparação de uma proposta de medida legislativa a ser adotada por um parlamento nacional... relacionada com o tratamento", o equivalente do setor público ao mesmo princípio.

Consequências de Não Realizar uma AIPD Exigida

A não realização de uma AIPD exigida constitui uma infração direta ao artigo 35. Nos termos do artigo 83(4), as infrações aos artigos 35 e 36 estão sujeitas ao patamar inferior de multa administrativa: até 10 milhões de euros, ou 2% do faturamento anual mundial total, o que for maior. A multa é aplicada por infração e por estabelecimento.

Tanto a AEPD espanhola quanto a autoridade de controle húngara já emitiram decisões em que a ausência de uma AIPD para tratamento de alto risco constava entre as infrações listadas. Os relatórios anuais do CEPD identificam a conformidade com a AIPD como uma das lacunas mais frequentemente encontradas durante inspeções.

Além do risco direto de multa, a ausência de uma AIPD cria problemas de prestação de contas a jusante. Um controlador que não consegue apresentar uma AIPD para um tratamento claramente de alto risco não consegue demonstrar conformidade com o artigo 5(2), nem com a obrigação de implementar medidas técnicas e organizacionais adequadas nos termos do artigo 24(1). A ausência do documento é, por si só, evidência de falha sistêmica.

Os operadores que atuam sob acordos do artigo 28 são cada vez mais obrigados pelos controladores a certificar sua cooperação com os processos de AIPD. Operadores que não conseguem documentar seus fluxos de dados, suboperadores e arquitetura de segurança criam lacunas de conformidade para seus clientes controladores.

Interação com Outras Disposições do RGPD

Proteção de dados desde o design e por padrão (Artigo 25). O artigo 25(1) exige que os controladores implementem medidas destinadas a aplicar os princípios de proteção de dados e a integrar as salvaguardas necessárias no tratamento. A AIPD é o principal mecanismo para identificar quais devem ser essas medidas para tratamentos de alto risco, alimentando diretamente o processo de privacidade desde o design.

Registros de atividades de tratamento (Artigo 30). A AIPD deve ser cruzada com o registro do artigo 30. O registro é o inventário; a AIPD é o aprofundamento para as entradas de alto risco.

Segurança do tratamento (Artigo 32). O artigo 32(1) exige medidas técnicas e organizacionais adequadas para garantir um nível de segurança apropriado ao risco. A avaliação de risco da AIPD é o fundamento natural para a análise do artigo 32. Os controladores que tratam esses exercícios como separados costumam descobrir que sua avaliação de segurança contradiz sua AIPD.

Categorias especiais e infrações penais (Artigos 9 e 10). Além de acionar a AIPD obrigatória do artigo 35(3)(b), a lista mais restrita de fundamentos legais permitidos pelos artigos 9 e 10 significa que a avaliação de necessidade e proporcionalidade deve examinar de forma mais rigorosa se a condição específica do artigo 9(2) invocada realmente se aplica a cada elemento do tratamento.

Transferências para países terceiros (Artigos 46 a 49). Quando o tratamento envolve a transferência de dados pessoais para fora da UE/EEE, o mecanismo de transferência deve ser documentado na AIPD, e a adequação da proteção no país destinatário deve ser considerada na avaliação de risco. O acórdão Schrems II (Comissário de Proteção de Dados contra Facebook Ireland Limited e Maximillian Schrems, processo C-311/18, Grande Seção, 16 de julho de 2020) exige que os controladores realizem uma avaliação de impacto da transferência para transferências baseadas em cláusulas contratuais-padrão; essa avaliação deve ser integrada à AIPD ou diretamente referenciada por ela.

Aviso legal: Este artigo apresenta informações jurídicas gerais sobre o Regulamento (UE) 2016/679 (RGPD) e não constitui aconselhamento jurídico. O RGPD é interpretado e fiscalizado por autoridades de controle em 30 Estados-Membros da UE/EEE, e os requisitos aplicáveis podem variar de acordo com a natureza do seu tratamento, os Estados-Membros em que você opera, e os desenvolvimentos na orientação regulatória e na jurisprudência. As informações desta página foram verificadas em fontes oficiais até junho de 2026. Consulte um advogado qualificado ou um especialista em proteção de dados licenciado na jurisdição relevante para obter aconselhamento sobre a sua situação específica.