Quando é obrigatória uma AIPD ao abrigo do RGPD?

Quando é obrigatória uma AIPD? A resposta começa no tratamento proposto, não no nome da tecnologia: deve realizá-la antes do tratamento quando este for suscetível de implicar elevado risco para os direitos e liberdades das pessoas ¹. A natureza, o âmbito, o contexto e as finalidades determinam essa probabilidade.

Resposta rápida: Uma AIPD é obrigatória antes do tratamento quando o projeto puder gerar elevado risco para direitos e liberdades. Verifique os três casos expressos do artigo 35, aplique os critérios europeus e consulte as listas da autoridade competente. Registe sempre uma conclusão fundamentada, afirmativa ou negativa, com responsável e critério de revisão ¹.

A decisão não se reduz a contar critérios. A orientação WP248 ajuda a organizar a triagem e explica por que uma combinação de características pode elevar o risco ². O artigo 35 continua a ser o teste jurídico central, e a análise deve mostrar como os factos concretos sustentam a conclusão ¹. Uma AIPD afirmativa abre um trabalho estruturado de avaliação e mitigação; uma decisão negativa também exige prova suficiente para ser defendida e revista.

O objetivo prático é decidir cedo, enquanto ainda é possível alterar finalidades, fluxos, acessos, fornecedores e salvaguardas. Uma equipa que deixa a questão para o lançamento perde a principal utilidade da avaliação: incorporar proteção de dados na conceção, comparar opções e impedir que um risco evitável se torne uma característica permanente do processo.

Essa antecipação também melhora a qualidade da prova. Enquanto o desenho está aberto, cada pressuposto pode ser ligado a uma escolha concreta, a equipa consegue comparar alternativas menos intrusivas e o responsável pela decisão vê claramente quais limites terão de permanecer verdadeiros depois do lançamento.

Última atualização: 26 de agosto de 2026

Comece pelo risco elevado provável

O artigo 35 aplica um teste prospetivo. Pergunte o que o tratamento proposto pode fazer às pessoas, tendo em conta a natureza dos dados e das decisões, o âmbito da operação, o contexto em que ocorre e as finalidades perseguidas ¹. A pergunta não é se já houve um dano, mas se a configuração prevista é suscetível de criar elevado risco.

A tecnologia, por si só, não decide: um recurso novo pode operar sobre dados pouco sensíveis, numa escala limitada e com efeitos modestos, enquanto uma operação tecnicamente banal pode combinar grande escala, observação persistente e consequências significativas. O inventário deve, por isso, descrever o fluxo real, os intervenientes, os dados, as pessoas abrangidas, os resultados e as dependências, em vez de usar rótulos como substituto da análise ¹.

O momento também é vinculativo: a AIPD ocorre antes do tratamento ¹. Isso significa concluir a triagem durante a definição do processo e reabri-la quando uma decisão de conceção altera o perfil de risco. A equipa deve distinguir a aprovação de uma ideia, a configuração operacional e a entrada em produção, porque cada etapa produz factos diferentes e a última não pode ser o primeiro momento de avaliação.

Uma conclusão inicial de risco improvável não encerra o assunto para sempre; deve explicar quais factos limitam o impacto, que controlos já pertencem ao desenho e que mudança faria a conclusão deixar de ser válida ¹. Assim, a decisão funciona como um controlo operacional: orienta o trabalho atual e também indica quando voltar a examinar o tratamento.

Confirme os três casos obrigatórios

O artigo 35 identifica três situações em que a AIPD é especialmente exigida. Cada linha abaixo requer factos, não apenas a repetição da categoria legal ¹. A equipa deve ligar a atividade proposta à condição completa e conservar a prova que permite confirmar escala, sistematicidade, tipo de dados ou efeito.

As expressões acumulativas importam. Uma avaliação automatizada só entra no primeiro caso quando é sistemática e extensa e serve de base a decisões com o efeito exigido ¹. Da mesma forma, a mera presença de dados sensíveis não prova, sem mais, grande escala ². Separar cada elemento evita tanto uma conclusão afirmativa baseada num fragmento como uma conclusão negativa que ignora a combinação.

O fluxo começa por definir o tratamento e testar os casos obrigatórios. Se nenhum se verificar, passa aos critérios e às listas, e só depois avalia o risco elevado provável ¹. Uma resposta afirmativa conduz à AIPD; uma resposta negativa é registada com motivo e condição de reavaliação ².

Esta ordem impede que a tabela seja tratada como lista exaustiva. Um projeto fora dos três casos pode continuar a exigir AIPD pelo teste geral de risco elevado, apoiado nos critérios e nas listas aplicáveis. Inversamente, os termos de cada caso não devem ser enfraquecidos para transformar qualquer automação, dado sensível ou observação num resultado automático.

Para cada caso, a ficha de triagem deve decompor a condição em elementos verificáveis. No primeiro, descreva o objeto da avaliação, a extensão, a sistematicidade, o grau de automatização e o efeito da decisão. No segundo, registe categorias de dados, população, duração, volume e alcance, explicando em conjunto por que a escala é ou não grande. No terceiro, delimite a zona pública, a continuidade da observação, a cobertura e o modo como as pessoas são acompanhadas.

Essa decomposição produz uma decisão auditável e impede atalhos semânticos. “Usa um algoritmo”, “contém dados de saúde” ou “tem uma câmara” não chegam, porque cada frase omite condições acumuladas; a equipa precisa de mostrar a configuração integral e preservar a base factual que permite a outra pessoa repetir a conclusão ¹. Uma validação final confirma ainda o resultado à luz do teste geral ².

Aplique os nove critérios como uma triagem

A orientação WP248 reúne nove características que ajudam a reconhecer tratamentos suscetíveis de elevado risco ². O Comité Europeu para a Proteção de Dados endossou essa orientação, pelo que ela oferece uma estrutura comum, sem substituir o texto do artigo 35 nem as listas competentes ³.

Dois critérios indicam normalmente que uma AIPD deve ser realizada, e a presença de mais critérios torna essa necessidade mais provável ². Trata-se de orientação endossada, não de um limiar legal inscrito no artigo 35. Um único critério pode justificar AIPD quando a intensidade ou o contexto elevam suficientemente o risco; por outro lado, uma combinação pode admitir conclusão negativa apenas quando a equipa explica, com rigor, por que o risco elevado não é provável.

Não conte caixas sem examinar relações. Grande escala combinada com dados sensíveis pode ampliar consequências; monitorização combinada com vulnerabilidade pode reduzir a capacidade de escolha; correspondência de conjuntos pode criar inferências que nenhum conjunto permitia isoladamente. A prova deve descrever essas interações e os controlos já incorporados, sem confundir uma medida planeada com uma redução de risco já demonstrada.

Uma matriz útil acrescenta, para cada critério, o facto observado, a fonte dessa informação, a intensidade, a interação com outros critérios e a incerteza restante. Assim, a equipa não transforma uma pergunta respondida com “talvez” numa ausência de risco, nem usa a mesma descrição vaga para projetos materialmente diferentes.

O resultado completo da triagem deve explicar o peso de forma contextual e verificável, não apenas a presença. Uma população pequena mas especialmente vulnerável pode tornar um único critério determinante; vários critérios de baixa intensidade podem, ainda assim, reforçar-se mutuamente. Esta leitura contextual preserva a flexibilidade da orientação sem a converter numa contagem arbitrária ³.

Verifique as listas da autoridade competente

Depois dos casos e critérios, consulte as listas aplicáveis da autoridade de controlo competente. O artigo 35 prevê listas de operações sujeitas a AIPD e admite listas de operações que não a exigem ¹. A tarefa é verificar a lista pertinente para o tratamento e conservar o resultado, não reproduzir um catálogo nacional num guia geral.

Registe a versão ou data consultada, a atividade comparada, os elementos que coincidem e a conclusão. Se uma lista positiva abranger a operação, siga esse resultado; se uma lista negativa parecer relevante, confirme que os factos e limites coincidem realmente. Uma designação parecida não substitui a leitura das condições cumulativas, e a ausência numa lista não elimina o teste geral de risco elevado.

Não invente uma autoridade, um limiar ou uma exceção nacional. Uma empresa que opera em mais de um contexto deve identificar, através da sua própria análise de competência, qual lista precisa de consultar. Se essa determinação ainda não estiver concluída, a triagem deve assinalar a dependência em vez de preencher a lacuna com uma regra presumida.

O registo da consulta deve ser suficientemente preciso para sobreviver a uma atualização da lista: guarde a data, a versão, a expressão comparada e os factos usados, mas não copie para o artigo uma enumeração que pode ser incompleta ou própria de outra competência. Quando a lista mudar, esse evento permite refazer apenas a comparação afetada e confirmar a conclusão geral.

Preserve uma verdadeira decisão negativa

Nem todo o tratamento exige AIPD. O teste é risco elevado provável, e uma operação corrente, limitada e com efeitos modestos pode ficar abaixo desse patamar ¹. A existência de software, dados pessoais ou publicidade não transforma automaticamente a atividade num caso de elevado risco.

Uma lista de correio limitada, utilizada pela própria organização para comunicar com contactos num contexto previsível, pode produzir uma conclusão negativa quando a escala, os dados, os efeitos e a possibilidade de oposição sustentam esse resultado ². O mesmo pode acontecer com publicidade própria limitada. Estes exemplos são condicionais, não portos seguros: correspondência de dados, perfilagem intensa, vulnerabilidade, grande escala ou consequências relevantes mudariam a análise.

Também não existe uma dispensa universal para pequenas empresas ². A dimensão da organização pode influenciar alguns factos operacionais, mas não apaga o impacto possível sobre as pessoas. Uma equipa pequena pode realizar tratamento de grande alcance; uma empresa maior pode executar uma operação estreita. A conclusão deve seguir o tratamento, não a etiqueta da entidade.

Uma decisão negativa robusta declara o que foi excluído e porquê. Se a equipa não conhece o volume, a frequência, a lógica decisória ou os conjuntos combinados, ainda não possui base para uma resposta tranquilizadora. Deve recolher esses factos, estabelecer limites verificáveis e só então registar que o risco elevado não é provável.

Trate os limites como condições operacionais, não como adjetivos. “Pequena campanha” deve corresponder a população, frequência, fontes e utilizações definidas; “publicidade própria” deve excluir combinações ou decisões que alterariam o perfil. O responsável pelo processo confirma que a prática diária respeita esses contornos e encaminha qualquer expansão para nova triagem.

A fundamentação negativa também compara consequências possíveis com salvaguardas já incorporadas. Não pode depender de controlos ainda sem responsável, prazo ou verificação, porque uma promessa futura não descreve o tratamento proposto. Se a segurança da conclusão exige uma medida adicional, essa medida entra no desenho e a decisão fica condicionada à sua implementação comprovada.

Este ramo é particularmente importante para evitar AIPD sem propósito e decisões negativas informais. Uma avaliação completa concentra esforço onde o risco é elevado; um “não” documentado conserva a explicação, reconhece incertezas e permite detetar quando a atividade deixou de corresponder ao cenário limitado inicialmente aprovado.

O responsável confirma esses limites antes de encerrar a ficha.

Registe qualquer dos resultados

O registo da triagem deve identificar a atividade, os factos relevantes e a aplicação do teste do artigo 35. Inclua natureza, âmbito, contexto, finalidades, pessoas e dados abrangidos, efeitos possíveis e salvaguardas já definidas. Assinale os critérios encontrados, a consulta das listas e a forma como cada elemento influenciou a conclusão ².

Depois, declare claramente “AIPD necessária” ou “AIPD não necessária”. Uma frase ambígua como “baixo risco” não mostra que o teste correto foi aplicado, nem distingue risco inerente, controlos planeados e risco residual. A fundamentação deve ligar os factos à probabilidade e gravidade dos efeitos sobre direitos e liberdades ¹.

O registo inclui ainda a posição do encarregado da proteção de dados, quando aplicável, o responsável pela decisão, a data e o critério de revisão ². A opinião deve ser apresentada como contributo identificável, não como substituto da responsabilidade da organização. Divergências relevantes merecem explicação, sobretudo quando a recomendação e a decisão seguem direções diferentes.

Uma prova útil permite que outra pessoa reconstrua a decisão. Deve ser possível saber que informação estava disponível, quem verificou as listas, que incerteza permaneceu e que alteração obriga a reabrir o exame. Esse padrão reduz decisões órfãs e impede que um “não” antigo seja reutilizado para uma operação materialmente diferente.

Use uma versão única da ficha como ponto de encontro entre produto, operação, proteção de dados e decisão. Cada contributo deve ter data e autor, enquanto anexos ou ligações internas apontam para inventários e configurações que sustentam os factos. Quando duas fontes divergem, o registo identifica a discrepância e não escolhe silenciosamente o dado mais conveniente.

Antes de fechar, o decisor confirma três perguntas: a atividade descrita corresponde à que será executada, todas as rotas relevantes foram testadas e o critério de revisão pode ser observado por alguém. Esse controlo final torna o resultado acionável, porque uma decisão sem responsável ou sem evento de revisão não consegue governar a mudança.

Quando a resposta é sim, execute o conteúdo do artigo 35

Uma conclusão afirmativa inicia a AIPD; não é a própria AIPD. O artigo 35 define quatro componentes mínimos que transformam a triagem numa avaliação estruturada ¹:

• uma descrição sistemática das operações previstas e das finalidades, incluindo, quando aplicável, o interesse legítimo prosseguido ²;
• uma avaliação da necessidade e da proporcionalidade das operações relativamente às finalidades ¹;
• uma avaliação dos riscos para os direitos e liberdades das pessoas;
• as medidas previstas para enfrentar os riscos, incluindo salvaguardas, segurança e mecanismos que demonstrem conformidade.

A descrição deve permitir seguir dados, decisões, intervenientes, sistemas, transferências, conservação e pontos de intervenção, enquanto a avaliação de necessidade e proporcionalidade pergunta se o desenho faz apenas o que a finalidade exige e se existem opções menos intrusivas. A parte de risco considera efeitos para as pessoas, enquanto as medidas mostram como prevenção, deteção, resposta e exercício de direitos funcionam na prática.

Quando adequado, a organização procura as opiniões das pessoas afetadas ou dos seus representantes ². A decisão de não o fazer também deve poder ser explicada à luz do contexto. O encarregado da proteção de dados é consultado quando essa função e as circunstâncias o exigem, preservando uma contribuição reconhecível e suficientemente precoce.

Se as medidas não reduzirem o risco elevado residual, pode tornar-se necessária consulta prévia da autoridade de controlo antes do tratamento ¹. A equipa não deve converter uma salvaguarda prometida numa conclusão de eficácia; precisa de critérios de verificação, responsável e prova. A passagem para consulta resulta do risco que permanece após medidas realistas, não do desconforto geral com o projeto.

As quatro partes devem formar uma cadeia coerente. Cada risco identificado liga-se a uma ou mais medidas, cada medida possui responsável e forma de teste, e a avaliação residual explica o que permanece depois da implementação. Uma lista extensa de controlos sem correspondência com os riscos não demonstra que a intervenção protege efetivamente as pessoas.

Também é necessário gerir alternativas recusadas. Se uma opção menos intrusiva não cumprir a finalidade, a AIPD regista o motivo; se cumprir, a necessidade da solução mais invasiva fica enfraquecida. Essa comparação dá conteúdo à proporcionalidade e ajuda o decisor a distinguir preferência técnica de requisito operacional.

A passagem para operação depende de provas de implementação, não apenas da aprovação documental. Testes, configurações, procedimentos e formação devem corresponder às medidas avaliadas, e uma discrepância material reabre o risco residual antes do tratamento. Assim, a AIPD acompanha a entrega sem se transformar num formulário desligado do sistema real.

O modelo do CEPD é uma referência opcional

O Comité Europeu para a Proteção de Dados adotou um modelo de AIPD em 14 de abril de 2026; o uso não é obrigatório, não cria um novo fundamento para realizar AIPD e o responsável conserva a escolha da metodologia ⁴. Sem método interno, oferece uma estrutura gratuita; com um processo estabelecido, funciona como verificação. A consulta terminou em 9 de junho de 2026, mas a página oficial ainda prevê a finalização depois da consulta ⁵.

Trate a AIPD como um processo contínuo

O artigo 35 exige revisão quando necessário, pelo menos quando ocorre uma alteração do risco representado pelas operações ¹. Por isso, a AIPD não termina com uma aprovação assinada. A sua validade depende de os factos, limites e controlos permanecerem verdadeiros.

Eventos de reavaliação úteis nascem da própria análise: nova finalidade, novo conjunto de dados, expansão de escala, mudança da lógica decisória, outro fornecedor, destinatário adicional, período de conservação diferente ou falha de uma salvaguarda ². O registo deve traduzir esses eventos para a operação concreta, atribuindo a alguém a tarefa de reconhecer a mudança e iniciar a revisão.

A revisão compara o estado atual com a base aprovada, reavalia os critérios e atualiza medidas, risco residual e decisão ². Não basta anexar uma nota de alteração; se a mudança afeta um pressuposto central, a equipa deve reabrir as partes dependentes e confirmar se o tratamento continua autorizado nos mesmos termos.

O ciclo fecha quando os eventos chegam ao responsável pela avaliação. Equipas que alteram produto, fornecedor, dados ou segurança precisam de saber qual mudança comunicar; o responsável pela AIPD precisa de um prazo e de autoridade para interromper uma alteração ainda não avaliada. Sem essa ligação, uma condição de reavaliação escrita não produz revisão real.

Aplique a triagem a situações reais

Considere primeiro uma solução que classifica candidaturas e produz uma decisão com efeito significativo. A equipa verifica a extensão e sistematicidade da avaliação, a dependência da decisão e os dados utilizados ¹. Se as condições do caso obrigatório estiverem presentes, a resposta é afirmativa; não é preciso esperar que dois critérios adicionais se acumulem.

Num serviço que trate categorias especiais em muitos registos, “muitos” precisa de fundamento contextual. Volume de pessoas, extensão dos dados, duração e alcance geográfico ajudam a avaliar grande escala ². Se a operação cumprir a condição do artigo 35, a AIPD é realizada; se a escala for genuinamente limitada, os restantes critérios e o risco geral continuam a ser examinados.

Uma câmara voltada para uma zona acessível ao público exige atenção à sistematicidade e à escala ¹. Uma captação pontual e estreita não deve ser equiparada sem análise a uma rede persistente, mas a equipa também não deve ignorar cobertura, duração, identificação ou cruzamento de imagens. Os factos decidem a categoria e o risco.

Por fim, uma campanha própria limitada pode admitir um “não” fundamentado, enquanto perfilagem extensa, combinação de fontes ou bloqueio de acesso pode inverter o resultado ¹. O valor do exercício está em tornar visíveis essas diferenças. O mesmo rótulo comercial pode esconder operações com consequências muito distintas, pelo que cada decisão conserva limites e uma condição de revisão.

Num projeto inovador que combina dados de origens diferentes, a novidade não decide sozinha. A equipa descreve as novas inferências, quem pode ser classificado, que escolhas ficam condicionadas e se as pessoas conseguem compreender ou contestar o resultado. Mesmo com um só critério formalmente assinalado, a intensidade dessas consequências pode sustentar uma AIPD.

Considere ainda um serviço utilizado por pessoas numa relação de dependência. A escala pode ser limitada, mas a possibilidade real de recusar, corrigir ou procurar alternativa também integra o contexto. A triagem documenta o desequilíbrio, as decisões suportadas e as vias de intervenção, evitando que o baixo volume oculte efeitos individuais graves.

Em sentido oposto, uma ferramenta administrativa interna, sem classificação significativa, dados sensíveis, monitorização ou combinação, pode sustentar uma conclusão negativa quando os limites são claros. O registo não afirma que toda a utilização interna é segura; identifica os factos que mantêm este tratamento abaixo do risco elevado provável e os eventos que mudariam essa leitura.

Os casos analisados devem terminar no mesmo formato de decisão. A equipa declara o ramo, aponta a prova, atribui um responsável e define o momento de revisão, para que exemplos não se tornem precedentes descontextualizados. Um caso anterior só é reutilizável quando os factos essenciais e as condições de operação coincidem de forma demonstrável.

Perguntas frequentes sobre AIPD

Uma AIPD é exigida apenas nos três casos do artigo 35?

Não. Os três casos são situações expressamente destacadas ¹, mas o teste geral continua a abranger qualquer tratamento suscetível de implicar elevado risco. Os critérios WP248 ajudam a reconhecer combinações relevantes ², sem substituir a análise dos factos.

Por isso, uma equipa deve concluir todas as rotas aplicáveis e não parar depois de verificar que nenhuma linha da tabela corresponde literalmente ao projeto. A decisão final liga a configuração inteira ao risco provável.

Dois critérios formam um limiar obrigatório?

Não. Dois critérios indicam normalmente a necessidade de AIPD ¹, e mais critérios reforçam essa probabilidade ². A orientação foi endossada a nível europeu ³, mas um critério pode bastar e uma conclusão diferente requer fundamentação específica.

O registo deve mostrar intensidade e interação. Uma contagem sem contexto não explica por que o tratamento ameaça direitos nem por que salvaguardas e limites tornam outra conclusão defensável.

Devo consultar uma lista nacional neste guia?

Deve consultar a lista da autoridade de controlo competente para a operação ². Este guia não enumera listas nem cria regras nacionais. Registe qual lista foi verificada, que condições foram comparadas e como o resultado se articulou com o artigo 35.

Se a competência ou a versão ainda for incerta, trate esse ponto como dependência aberta. Não escolha uma lista conveniente nem converta ausência de confirmação numa decisão negativa.

Existe uma dispensa para pequenas empresas?

Não existe uma dispensa universal ¹. Uma operação limitada pode não apresentar risco elevado provável, mas a conclusão depende da escala, sensibilidade, monitorização, efeitos e demais factos. A dimensão empresarial, isoladamente, não responde ao teste.

Os limites concretos precisam de prova e responsável. Uma expansão de volume, fontes, finalidade ou consequência reabre a triagem, independentemente de a organização conservar a mesma dimensão.

O que acontece depois de uma resposta afirmativa?

A equipa prepara a descrição sistemática, avalia necessidade e proporcionalidade, analisa riscos e define medidas ¹. Procura opiniões quando adequado ² e, se continuar a existir risco elevado residual, considera a consulta prévia antes do tratamento.

Cada risco deve estar ligado a uma medida verificável, com responsável e critério de eficácia. A aprovação só descreve o tratamento real quando essas medidas estão implementadas como foram avaliadas.

O modelo de AIPD do CEPD é obrigatório?

Não. O CEPD adotou o modelo em 14 de abril de 2026, mas o responsável pode escolher a sua metodologia e o modelo não cria um novo fundamento para AIPD ⁴. Serve como estrutura gratuita ou verificação do processo existente. A consulta terminou em 9 de junho de 2026, e a página oficial ainda prevê a finalização do modelo depois da consulta ⁵.

Quando se reabre a decisão?

Reabra-a quando operações ou risco mudarem. O documento deve indicar responsável e critério de revisão, porque a AIPD é um processo contínuo. A revisão confirma pressupostos, eficácia das medidas e adequação da conclusão atual, comparando a operação atual com a versão efetivamente aprovada.