O RGPD impõe uma Avaliação de Impacto sobre a Proteção de Dados para qualquer tratamento suscetível de gerar um risco elevado para os direitos e liberdades das pessoas. A SYAGA DPIA-Express estrutura e documenta a sua AIPD segundo a metodologia do artigo 35 e as orientações do CEPD, sem improviso e sem jargão.
Determinar se o seu tratamento deve ser objeto de uma AIPD, e depois conduzi-la de acordo com as regras
Qualquer tratamento suscetível de gerar um risco elevado para os direitos e liberdades das pessoas singulares deve ser objeto de uma Avaliação de Impacto sobre a Proteção de Dados antes da sua implementação (RGPD, art. 35).
O CEPD (ex-G29, orientações WP248 rev.01) definiu 9 critérios de risco elevado. Assim que um tratamento cumpra pelo menos dois destes critérios, uma AIPD deve em princípio ser realizada: uma única peça mal identificada, e o processo fica incompleto.
A CNIL (autoridade francesa) publica listas de tratamentos para os quais a AIPD é exigida ou não exigida. Determinar exatamente onde se situa o seu tratamento exige uma leitura rigorosa, não uma impressão geral.
Conduzir uma AIPD demasiado depressa expõe-o à incompletude perante uma autoridade de controlo; não a conduzir quando é exigida expõe a organização a um incumprimento do artigo 35. O método da CNIL estrutura esta escolha e documenta-a.
A estrutura imposta pelo artigo 35.7 do RGPD, aplicada ao seu tratamento, com uma conclusão fundamentada em cada etapa
Análise face aos 3 casos do artigo 35.3, à grelha dos 9 critérios do CEPD (WP248 rev.01) e às listas da CNIL dos tratamentos exigidos ou não exigidos. Conclusão fundamentada, quer a AIPD seja finalmente obrigatória ou não.
Finalidades, categorias de dados e de pessoas em causa, destinatários, prazos de conservação: a cartografia completa exigida pelo artigo 35.7.a, coerente com o seu registo das atividades de tratamento (art. 30).
Verificação de que cada dado recolhido é necessário à finalidade prosseguida, de que a base legal (art. 6) está identificada para cada tratamento, e de que o princípio da minimização (art. 5.1.c) é respeitado.
Para cada risco identificado: gravidade, probabilidade, medidas já implementadas, risco residual, apresentado sob a forma de tabela utilizável pela sua direção ou pelo seu DPO.
Medidas técnicas e organizativas previstas (art. 32), conclusão fundamentada e justificação documentada ao abrigo da responsabilização (art. 5.2), mobilizável em caso de fiscalização pela CNIL.
Um documento estruturado, sourceado e honesto sobre o que resta validar pelo seu advogado ou pelo seu DPO
O documento completo seguindo o artigo 35.7 (a a d), com uma conclusão fundamentada.
A análise prévia que decide se o seu tratamento entra no âmbito da obrigação.
A AIPD assenta na mesma base que o seu registo das atividades de tratamento.
Cada ponto de incerteza é sinalizado explicitamente, nunca decidido no seu lugar.
Cada afirmação jurídica é sourceada, não afirmada de memória.
Entregue num formato editável, reutilizável pelo seu DPO ou pelo seu advogado.
Um método que se apoia nos textos e nas autoridades, não em interpretações próprias
Avaliação de impacto sobre a proteção de dados. Texto consolidado do Regulamento (UE) 2016/679 (EUR-Lex, CELEX 32016R0679).
Os 9 critérios de risco elevado do CEPD (ex-G29), retomados pela CNIL como método de referência para determinar a obrigação de AIPD.
Listas dos tratamentos para os quais a AIPD é exigida ou não exigida, e método da CNIL para a condução de uma avaliação de impacto.
Registo das atividades de tratamento: a base de coerência (finalidades, dados, prazos) sobre a qual assenta qualquer AIPD.
O âmbito depende do número de tratamentos, da sua complexidade e do que já está documentado na sua organização. Orçamento estabelecido após uma primeira conversa.
Não sabe se o seu tratamento está abrangido
Tratamento identificado como de risco elevado
Vários tratamentos de risco a cobrir
Uma AIPD nunca é definitiva
O artigo 35.11 do RGPD impõe reexaminar a análise em caso de evolução significativa do tratamento (novo subcontratante, mudança de alojamento, extensão do âmbito de recolha). Um orçamento de reexame é estabelecido caso a caso.
O que o texto diz realmente, resumido em linguagem simples. Cada ponto mantém a sua ligação para o documento oficial.
Uma AIPD é simplesmente um trabalho de avaliação: analisam-se os riscos que um tratamento de dados impõe às pessoas, antes de o implementar. A CNIL define-a como "um processo formal que permite avaliar os riscos ligados ao tratamento de dados pessoais". Não é mais uma formalidade administrativa, é uma ferramenta de bom senso tornada obrigatória pelo RGPD em determinados casos. Fonte: CNIL (autoridade francesa) →
Não é preciso ser uma grande empresa para estar abrangido. A CNIL considera que uma AIPD é obrigatória assim que um tratamento cumpra pelo menos duas destas nove situações: classificar ou avaliar pessoas, tomar uma decisão automatizada com efeito real sobre elas, vigiá-las de forma sistemática, recolher dados sensíveis (saúde, origem, etc.), recolher em grande escala, cruzar várias bases de dados, visar pessoas vulneráveis (trabalhadores, doentes, menores...), utilizar uma tecnologia nova, ou privar alguém de um direito ou de um serviço. Fonte: CNIL (autoridade francesa) →
Para evitar adivinhar, a CNIL publicou duas listas oficiais: uma lista de 14 tipos de tratamentos onde a AIPD é obrigatória (dados de saúde, perfilamento de RH, vigilância de trabalhadores, geolocalização em grande escala...), e uma lista de 12 tipos onde não é exigida (folha de pagamento e gestão de pessoal com menos de 250 trabalhadores sem perfilamento, gestão de fornecedores, processo de doente de um profissional de saúde isolado...). Estas listas não cobrem todos os casos, mas já respondem a muitas situações correntes. Fonte: lista da CNIL dos tratamentos exigidos →
O RGPD (artigo 35) não pede um romance, mas quatro componentes precisos: descrever o tratamento e o seu objetivo, verificar que é realmente necessário e proporcionado, avaliar os riscos para as pessoas em causa, e depois listar as medidas previstas para reduzir esses riscos. Uma conclusão clara no final: o tratamento é aceitável, e em que condições. Fonte: RGPD, artigo 35 →
Se a sua organização designou um Encarregado da Proteção de Dados, o RGPD impõe que lhe seja pedido conselho no momento de conduzir a AIPD, e que este seja incumbido de verificar que a análise foi bem realizada. É uma salvaguarda, não uma casa a assinalar: o DPO continua a ser o reflexo correto antes de validar uma conclusão. Fonte: RGPD, artigos 35 e 39 →
Se, apesar das medidas previstas, o tratamento apresentar ainda um risco elevado para as pessoas, o RGPD impõe consultar a CNIL antes de começar. Esta dispõe então de oito semanas para dar o seu parecer escrito (prorrogável por seis semanas se o processo for complexo). Tranquilizador saber: este caso continua a ser a exceção, não a regra. Fonte: RGPD, artigo 36 →
A CNIL recorda que as coimas do RGPD podem atingir até 10 milhões de euros ou 2% do volume de negócios anual mundial, consoante o montante mais elevado. É um teto legal, não uma fatalidade: uma AIPD bem conduzida é precisamente o que permite demonstrar, em caso de fiscalização, que a questão foi levada a sério. Fonte: CNIL (autoridade francesa) →
O Comité Europeu para a Proteção de Dados (CEPD/EDPB) colocou em consulta pública, de 14 de abril a 9 de junho de 2026, um projeto de modelo único de AIPD destinado a harmonizar as práticas entre países europeus. A consulta está agora encerrada; acompanhamos o seguimento dado a este projeto para informar os nossos clientes no momento oportuno. Fonte: EDPB →
Antes de saber como fazer uma AIPD, é preciso saber se está abrangido. Aqui está o âmbito exato, tal como definido pelo RGPD e pela CNIL, sem suspense inútil.
O RGPD não fixa nenhum limiar de efetivo para a obrigação de AIPD. O seu artigo 35 impõe esta análise ao "responsável pelo tratamento", seja qual for a sua forma (associação, artesão, PME, autarquia, grande grupo), assim que um tratamento "seja suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares". Armadilha frequente a evitar: o limiar de 250 trabalhadores existe de facto no RGPD, mas refere-se a uma dispensa parcial do registo dos tratamentos (artigo 30), não à AIPD. Uma empresa de 5 trabalhadores pode estar abrangida; um grupo de 2000 trabalhadores pode não estar: tudo depende do tratamento, nunca da dimensão da estrutura. Fonte: RGPD, artigo 35 (reproduzido pela CNIL) →
O artigo 35 visa "o responsável pelo tratamento" em sentido lato: uma empresa privada tal como uma administração, uma autarquia, uma associação ou um estabelecimento de saúde. O texto prevê mesmo explicitamente o caso de uma "vigilância sistemática em grande escala de uma zona acessível ao público", que visa tipicamente uma câmara municipal ou um senhorio social a instalar videovigilância na via pública, não apenas uma empresa comercial. Fonte: RGPD, artigo 35, número 3 →
A CNIL e o antigo grupo do artigo 29 (tornado Comité Europeu, EDPB) fixaram nove critérios nas suas orientações de referência (WP248). Assim que um tratamento reúna pelo menos dois, a AIPD torna-se obrigatória: classificar ou avaliar pessoas, decidir automaticamente algo que as afete, vigiá-las de forma sistemática, tratar dados sensíveis, tratar em grande escala, cruzar ficheiros, visar pessoas vulneráveis (trabalhadores, doentes, menores), utilizar uma tecnologia nova, ou privar alguém de um direito ou de um contrato. Fonte: CNIL, orientações G29/EDPB (WP248) →
Na prática, a doutrina da CNIL associa tipicamente a estes critérios: um consultório médico ou uma clínica que trata dados de saúde em grande escala, um serviço de RH que utiliza uma ferramenta de classificação ou perfilamento de trabalhadores, uma empresa equipada com cartões e videovigilância sistemática das suas instalações abertas ao público, um organismo de crédito ou de cobrança que pratica o scoring, ou um objeto conetado de saúde que recolhe dados de hábitos de vida. Fonte: CNIL, lista dos 14 tratamentos com AIPD obrigatória →
A CNIL publicou também uma lista de 12 tipos de tratamentos para os quais a AIPD não é exigida: por exemplo a folha de pagamento e gestão de pessoal de um organismo com menos de 250 trabalhadores (sem perfilamento), o processo de doente de um profissional de saúde a exercer sozinho, ou a gestão corrente de fornecedores. Tranquilizador para muitas micro e pequenas empresas: ter trabalhadores ou clientes não basta, por si só, para desencadear a obrigação. Fonte: CNIL, lista dos 12 tratamentos sem AIPD →
Sem jargão de advogado: respostas simples, cada uma apoiada no texto oficial que a fundamenta.
As datas que realmente contam, sourceadas, para saber o que já é obrigatório hoje e o que está para vir.
O RGPD é aplicável desde 25 de maio de 2018, em toda a Europa. A obrigação de fazer uma AIPD (artigo 35), as duas listas da CNIL que indicam quando é obrigatória ou não, e as orientações europeias que explicam como a conduzir: tudo isto está em vigor, estável, e não depende de nenhuma reforma futura. É a base sobre a qual pode apoiar-se desde já.
O Comité Europeu para a Proteção de Dados (CEPD) trabalha num modelo único de AIPD para harmonizar as práticas entre países europeus. A consulta pública sobre este projeto terminou em 9 de junho de 2026; ainda não foi comunicada nenhuma data de publicação do modelo final. Nada obriga a esperar: o método da CNIL continua válido entretanto.
O Parlamento Europeu e o Conselho adotam, a 27 de abril de 2016, o regulamento 2016/679. É publicado no Jornal Oficial da União Europeia (JO L119) a 4 de maio de 2016, entrando depois em vigor vinte dias mais tarde, a 24 de maio de 2016, sem ainda ser aplicável. Fonte: EUR-Lex, referência oficial do regulamento →
Dois anos após a sua adoção, o regulamento aplica-se finalmente em toda a Europa (artigo 99.2). É nesse dia que a obrigação de AIPD do artigo 35 se torna oponível, e que o Comité Europeu para a Proteção de Dados (CEPD) é instalado pela primeira vez, retomando as orientações sobre a AIPD já redigidas (WP248 rev.01). Fonte: EUR-Lex, ficha do regulamento (artigo 99) → Fonte: CEPD, orientações retomadas →
Alguns meses após a entrada em aplicação do RGPD, a CNIL adota a sua deliberação n.º 2018-327: uma lista concreta de 14 tipos de tratamentos (dados de saúde, perfilamento de RH, vigilância de trabalhadores...) para os quais a AIPD deve ser sistematicamente realizada. Acabou-se o adivinhar caso a caso. Fonte: CNIL (autoridade francesa) →
Um ano depois, a CNIL completa a sua doutrina com a deliberação n.º 2019-118: uma lista dos tratamentos para os quais uma AIPD NÃO é exigida (folha de pagamento de menos de 250 trabalhadores sem perfilamento, gestão de fornecedores, processo de doente de um profissional isolado...). As duas listas da CNIL, em conjunto, já respondem a muitas situações correntes sem ter de decidir sozinho. Fonte: CNIL (autoridade francesa) →
O CEPD colocou em consulta pública um projeto de modelo de AIPD comum, destinado a harmonizar as práticas entre países europeus (atualmente, cada autoridade nacional tem a sua própria grelha). A consulta está encerrada desde 9 de junho de 2026; ainda não é um texto aplicável, apenas um projeto em apreciação. Fonte: CEPD →
O próprio CEPD indica que o modelo "será finalizado, sob reserva de alterações apropriadas", após o que as autoridades nacionais iniciarão as diligências para o adotar como modelo único, ou como "metamodelo" compatível com os modelos já existentes (incluindo o da CNIL). Nenhuma data é comunicada até à data: acompanhamos este dossiê para informar os nossos clientes assim que houver algo concreto, sem antecipar nada. Fonte: CEPD →
Quem sanciona, quanto, e com que critérios. Sem dramatizar: a grande maioria dos processos nada tem a ver com os montantes que fazem manchetes.
É um órgão especializado da CNIL, distinto do colégio que fiscaliza e aconselha no dia a dia, que profere as sanções. Dispõe de várias ferramentas graduadas, não apenas a coima: chamada de atenção, advertência, notificação para cumprir (com ou sem sanção pecuniária compulsória), injunção, limitação temporária ou definitiva do tratamento. A coima é apenas o último degrau da escala. Fonte: CNIL, as sanções proferidas →
O RGPD (artigo 83) fixa dois tetos, sendo retido o mais elevado dos dois: até 10 milhões de euros ou 2% do volume de negócios mundial do exercício anterior para os incumprimentos das obrigações organizativas (segurança, registo, DPO, avaliação de impacto...); até 20 milhões de euros ou 4% para as violações dos princípios de fundo (base legal, consentimento, direitos das pessoas, transferências fora da UE). Estes são tetos, não montantes automáticos. Fonte: RGPD, artigo 83 →
O artigo 83.2 impõe à autoridade que tenha em conta: a gravidade e a duração do incumprimento, o caráter intencional ou a simples negligência, as medidas já tomadas para limitar o dano, o grau de responsabilidade, os antecedentes, a cooperação com a autoridade, e a sensibilidade dos dados em causa. Em concreto: uma organização que documentou a sua abordagem (registo, AIPD, medidas de segurança) e coopera é avaliada de forma diferente da que nada fez. Fonte: RGPD, artigo 83.2 →
A 10 de novembro de 2022, a formação restrita da CNIL proferiu uma coima de 800 000 euros contra a Discord. Entre os incumprimentos retidos: um prazo de conservação excessivo, uma falha de segurança, e o artigo 35 do RGPD, a ausência de avaliação de impacto quando o tratamento, em grande escala e envolvendo menores, a exigia. É o exemplo mais direto da ligação entre "sem AIPD documentada" e sanção proferida. Fonte: deliberação SAN-2022-020, Légifrance →
A Criteo foi sancionada em 40 milhões de euros a 15 de junho de 2023, por não ter conseguido demonstrar um consentimento válido para a colocação de cookies publicitários. A Clearview AI foi sancionada em 20 milhões de euros a 17 de outubro de 2022, por uma recolha massiva de fotografias sem base legal. Estes montantes referem-se a tratamentos internacionais em muito grande escala, não ao caso de uma PME que documenta a sua abordagem. Fonte: deliberação SAN-2023-009, Légifrance →
Na mesma página oficial da CNIL que lista as deliberações, uma parte importante das sanções publicadas conta-se em milhares de euros, não em milhões: uma agência de publicidade sancionada em 3 000 euros, dois médicos em 3 000 e 6 000 euros, um serviço de entrega de refeições em 20 000 euros. A sanção é proporcional à dimensão e à gravidade, não um corte uniforme. Fonte: CNIL, as sanções proferidas →
O que é importante reter
Uma AIPD bem conduzida não torna uma organização intocável: constitui a prova, em caso de fiscalização, de que o assunto foi levado a sério. É precisamente isso que o artigo 83.2 do RGPD pede que se tenha em conta para fixar, ou não, uma coima.
Na Europa, cada país tem as suas próprias autoridades. Eis, para os 30 países do Espaço Económico Europeu, a autoridade de proteção de dados (o seu interlocutor RGPD) e a autoridade nacional de cibersegurança. Cada nome remete para o site oficial.
Fontes: sites oficiais das autoridades e lista dos membros do EDPB (edpb.europa.eu), consultados a 18 de julho de 2026. Autoridades de proteção de dados confirmadas: 30/30. Autoridades de cibersegurança confirmadas: 28/30. As menções «a confirmar» sinalizam uma fonte oficial ainda não estabilizada.
Descreva-nos o seu tratamento, entraremos em contacto com um orçamento personalizado.
Gratuito: o seu score + os seus desvios. O relatório detalhado e a certificação: 499 € + IVA, apenas se assim o decidir.
contact@syaga.eu Rever o método da CNIL