Avaliação de impacto sobre a proteção de dados: quando e como
Atualizado em 30 de outubro de 2026 · Pietro Cravero, EPD certificado
Quando é obrigatória
O RGPD indica três casos: avaliação sistemática e completa de aspetos pessoais com base em tratamento automatizado com efeitos significativos, tratamento em grande escala de categorias especiais de dados (art. 9.º) ou de dados relativos a condenações penais e infrações (art. 10.º), e controlo sistemático de zonas acessíveis ao público em grande escala (art. 35.º, n.º 3).
A lista da CNPD acrescenta outros casos, por exemplo tratamentos de dados biométricos para identificação inequívoca de pessoas vulneráveis. A lista não é exaustiva: fora dela, vale o critério geral do risco elevado.
O que deve conter
Uma descrição do tratamento e das finalidades, a avaliação da necessidade e proporcionalidade, a avaliação dos riscos para as pessoas e as medidas previstas para os enfrentar (art. 35.º, n.º 7).
Quando existe EPD, deve ser solicitado o seu parecer (art. 35.º, n.º 2). A AIPD é um documento vivo: revê-se quando o tratamento muda.
Situações frequentes
Biometria para controlo de acessos ou de assiduidade, videovigilância extensa, localização de trabalhadores, software clínico com dados de muitos doentes, sistemas de IA que avaliam pessoas.
Para os sistemas de IA de risco elevado, o AI Act prevê ainda uma avaliação do impacto nos direitos fundamentais para certos responsáveis pela implantação (art. 27.º), que pode aproveitar a AIPD já feita.
Perguntas frequentes
Uma pequena empresa também tem de fazer AIPD?
Sim, se o tratamento for de risco elevado. A obrigação depende do tratamento, não da dimensão da empresa.
É preciso enviar a AIPD à CNPD?
Não por regra. Só se consulta a CNPD quando, depois das medidas, o risco elevado se mantém (art. 36.º). A AIPD fica disponível para a apresentar se for pedida.
Quem faz a AIPD?
O responsável pelo tratamento, com o parecer do EPD quando existe. Pode ser apoiado por consultores externos, mas a decisão é sua.
Informação geral, não constitui aconselhamento jurídico para um caso concreto. Atualizado em 30 de outubro de 2026.
Quer aplicar isto à sua organização?
Envie-nos a sua situação: respondemos por escrito, em português, com uma primeira avaliação gratuita.