Na esfera da Lei Geral de Proteção de Dados (LGPD), a definição de tratamento de alto risco de dados pessoais é um ponto crítico que merece atenção especial por parte dos agentes de tratamento. De acordo com o art. 4º da Resolução nº 2/2022, esse tratamento é caracterizado quando atende, cumulativamente, a pelo menos um critério geral e um critério específico. Esta análise, portanto, é essencial para garantir a conformidade e a segurança no manejo dos dados pessoais dos titulares.
Análise de Critérios Gerais e Específicos
A análise de um tratamento de alto risco se dá através de critérios gerais e específicos delineados pela LGPD proporcionam um quadro claro para determinar se um determinado tratamento se enquadra como de alto risco. Os critérios gerais englobam o tratamento em larga escala ou o tratamento que possa afetar significativamente os interesses e direitos fundamentais dos titulares. Por sua vez, os critérios específicos incluem o uso de tecnologias emergentes, vigilância de áreas acessíveis ao público, decisões baseadas em tratamento automatizado de dados pessoais e a utilização de dados sensíveis ou de grupos vulneráveis, como crianças, adolescentes e idosos.
Base Conceitual dos Critérios Gerais
A compreensão dos critérios gerais é fundamental para avaliar o risco envolvido no tratamento de dados pessoais. A noção de larga escala e o impacto sobre os interesses e direitos fundamentais dos titulares são pontos-chave nesse contexto. O conceito de larga escala, especialmente, é relevante em várias situações, desde a definição do tratamento de alto risco até a classificação de infrações graves e a avaliação da gravidade de incidentes de segurança.
Análise Quantitativa e Qualitativa
É crucial ressaltar que a determinação do tratamento de alto risco envolve tanto uma análise quantitativa quanto qualitativa. Enquanto a larga escala é avaliada principalmente quantitativamente, levando em conta o número de titulares envolvidos, o impacto significativo sobre os interesses e direitos fundamentais dos titulares é uma avaliação qualitativa. Isso significa considerar o potencial impacto nas liberdades individuais, no exercício de direitos e na ocorrência de danos materiais ou morais.
Critérios Gerais para Tratamento de Alto Risco
Critério Geral 1: Larga Escala
O termo larga escala se primordialmente ao número significativo de titulares envolvidos. De forma complementar, para a caracterização da larga escala podem ser considerados, ainda, o volume de dados envolvidos, bem como a duração, a frequência e a extensão geográfica do tratamento realizado.
Número Significativo
Quanto ao número significativo de titulares, a Autoridade Nacional de Proteção de Dados (ANPD) estabeleceu um valor referencial considerando como número significativo e, portanto, em larga escala, qualquer tratamento que envolva o quantitativo mínimo de 2 (dois) milhões de titulares, o que representa aproximadamente 1% da população brasileira.
Larga Escala: Metodologia para Caracterização
A ANPD propõe uma abordagem multicritério para essa análise, levando em consideração diversos elementos práticos e contextuais do tratamento. Neste artigo, serão detalhadas as seis etapas dessa metodologia, visando proporcionar uma compreensão abrangente do processo de avaliação.
▶️ Para acessar a planilha que traz a Metodologia de Alto Risco para Teste da ANPD, basta clicar aqui.
Etapa 1: Determinação do Número de Titulares e seu Peso Associado
Na primeira etapa, é essencial determinar o número de titulares (NT) cujos dados são tratados e atribuir um peso associado a esse valor. A tabela fornecida pela ANPD estabelece diferentes pesos de acordo com faixas específicas de quantidade de titulares. Esses pesos serão somados aos obtidos nas etapas subsequentes para avaliar a caracterização da larga escala.
| Peso a ser atribuído ao Número de Titulares (NT) | Total de titulares cujos dados são tratados |
| 1 | Menor que 10 mil |
| 5 | Maior ou igual a 10 mil e menor que 500 mil |
| 10 | Maior ou igual a 500 mil e menor que 1 milhão |
| 15 | Maior ou igual a 1 milhão e menor que 1,5 milhão |
| 20 | Maior ou igual a 1,5 milhão e menor que 2 milhões |
| 25 | Maior ou igual a 1,5 milhão e menor que 2 milhões |
Etapa 2: Determinação do Volume de Dados Pessoais e seu Peso Associado
Para obter a volume de dados tratados por titular (VDT), realiza-se a soma dos dados pessoais totais tratados e, em seguida, divide-se esse resultado pelo número total de titulares. O peso correspondente a essa divisão, conforme especificado na tabela abaixo, é então somado aos pesos obtidos nas demais etapas para determinar se o tratamento se caracteriza como sendo de larga escala.
| Peso a ser atribuído à VDT | Definição da faixa da média dos volumes dos dados por titular |
| 1 | Menor ou igual a 5 |
| 3 | Maior que 5 e menor ou igual a 10 |
| 6 | Maior que 10 e menor ou igual a 20 |
| 9 | Maior que 20 e menor ou igual a 50 |
| 12 | Acima de 50 |
Etapa 3: Determinação do Peso Associado à Duração do Tratamento
A terceira etapa envolve a determinação do valor associado ao período de tempo (T) durante o qual os dados dos titulares são tratados. Novamente, a ANPD fornece uma tabela com valores atribuídos a diferentes faixas de duração do tratamento. Esses valores serão somados aos pesos das etapas anteriores para compor o resultado final da análise.
| Valor Atribuído à T | Definição das faixas da duração do tratamento dos dados de Titulares |
| 1 | Menor ou igual a 1 ano |
| 2 | Maior que 1 ano e menor ou igual a 5 anos |
| 3 | Maior que 5 anos e menor ou igual a 10 anos |
| 4 | Maior que 10 anos |
Etapa 4: Determinação da Frequência do Tratamento e seu Peso Associado
É importante considerar a frequência (F) com que os dados pessoais são tratados e atribuir um peso associado a esse quantitativo. A finalidade do tratamento deve justificar a frequência com que o agente de tratamento o realiza. A ANPD disponibiliza uma tabela com valores para diferentes faixas de frequência de tratamento, os quais serão somados aos pesos das etapas anteriores.
| Valor Atribuído à F | Definição das faixas da frequência com que os dados dos titulares são tratados |
| 1 | Anualmente |
| 2 | Mensalmente |
| 3 | Semanalmente |
| 4 | Diariamente |
| 5 | Múltiplas ocorrências diárias |
Etapa 5: Determinação da Extensão Geográfica do Tratamento
Nesta etapa, avalia-se a extensão geográfica (EG) na qual os dados pessoais são tratados e atribui-se um peso associado a essa dimensão. A ANPD estabelece valores para diferentes faixas de extensão geográfica, desde municipal até internacional. O peso atribuído será somado aos obtidos nas etapas anteriores.
| Valor Atribuído à EG | Definição da faixa de extensão geográfica dos dados de titulares |
| 0,5 | Municipal: quando se limita à extensão do próprio município |
| 1,0 | Estadual: quando envolve mais de um município dentro do mesmo estado |
| 1,5 | Regional: quando envolve municípios de estados diferentes contidos numa mesma Região |
| 2,0 | Nacional: quando envolve municípios de estados diferentes contidos em 2 (duas) ou mais regiões do Brasil |
| 3 | Internacional: quando extrapola o território do Brasil |
Etapa 6: Definição do Valor Total da Análise de Larga Escala e Tomada de Decisão
Na última etapa, soma-se o valor total da análise de larga escala. Esse valor serve como parâmetro para a tomada de decisão sobre a caracterização do tratamento como de larga escala. A ANPD estabelece um limite mínimo para essa caracterização e sugere avaliação adicional para resultados próximos a esse limite.
Estabeleceu-se como limite máximo para não ser considerado larga escala um resultado inferior a 25. Qualquer resultado que for superior a 25 pontos no somatório, a ANPD sugere que seja considerado como larga escala.
Para resultados do somatório entre 23,5 e 25, a recomendação é que o agente de tratamento avalie o caso concreto para decidir se é larga escala.
| Valores do somatório | Larga Escala |
| < 23,5 | Não |
| 23,5 ? e < 25 | Avaliar |
| ? 25 | Sim |
Critério Geral 2: Afetar Significativamente Interesses e Direitos Fundamentais
O art. 4º, §2º, da Resolução nº 2/2022 da LGPD enumera exemplos do que pode constituir tal afetação, incluindo a possibilidade de impedir o exercício de direitos, a utilização de serviços ou causar danos materiais ou morais aos titulares. Esses danos podem incluir discriminação, violação à integridade física, direito à imagem e à reputação, fraudes financeiras ou roubo de identidade.
É necessário, então, considerar três elementos centrais para caracterização de afetar significativamente os direitos e interesses dos titulares de dados. São eles:
- impedir o exercício de direitos;
- impedir a utilização de um serviço; ou
- puder ocasionar danos materiais ou morais aos titulares, tais como:
- discriminação;
- violação à integridade física;
- ao direito à imagem e à reputação;
- fraudes financeiras; ou
- roubo de identidade.
O rol acima não é taxativo, podendo haver outras situações que acarretam danos morais ou materiais além das listadas.
Critérios Específicos para Tratamento de Alto Risco
Uso de Tecnologias Emergentes ou Inovadoras
Tecnologias emergentes são aquelas em desenvolvimento, capazes de alterar ou redefinir modelos de negócio, e com potencial para exercer uma influência substancial sobre a economia. Essas inovações representam avanços práticos com um alto grau de relevância empresarial, destacando-se pelo potencial de crescimento rápido e impacto na sociedade, embora seus riscos ainda não estejam totalmente compreendidos, especialmente no que diz respeito às práticas de privacidade e proteção de dados. Exemplos dessas tecnologias incluem Inteligência Artificial (IA), Sistemas de Reconhecimento Facial e Veículos Autônomos.
Vigilância ou Controle de Zonas Acessíveis ao Público
Esse critério se aplica a situações em que ocorre o tratamento de dados pessoais com o propósito de monitorar ou controlar a presença e movimentação de pessoas em áreas de acesso público, como ruas, praças, estações de metrô, aeroportos, estádios e shopping centers. É importante ressaltar que o uso exclusivo em ambientes domésticos, onde não há captação de imagens dessas áreas mencionadas, não se enquadra nesse critério. Exemplos de ferramentas utilizadas para tal vigilância ou controle incluem câmeras de segurança, drones de monitoramento e dispositivos de rastreamento via GPS.
Decisões Tomadas Unicamente com Base em Tratamento Automatizado de Dados Pessoais
Essas decisões se referem ao uso de sistemas computacionais e algoritmos para realizar operações ou tomar decisões relacionadas a informações pessoais. Isso pode envolver a classificação, avaliação, aprovação ou rejeição de dados pessoais com base em critérios previamente estabelecidos. Assim, esse critério se aplica a situações em que algoritmos ou outras tecnologias são empregados para o tratamento automatizado de dados de forma significativa.
Utilização de Dados Pessoais Sensíveis ou de Dados Pessoais de Crianças, Adolescentes e Idosos
Por fim, a utilização de dados sensíveis ou pertencentes a grupos classificados como vulneráveis requer uma atenção especial. Esse critério específico abrange situações em que são manipulados dados sensíveis ou dados de grupos vulneráveis, como crianças, adolescentes e idosos, exigindo um grau maior de proteção.
Conclusão
Em conclusão, a determinação de um tratamento como de alto risco na LGPD é baseada na combinação de critérios gerais e específicos. Ao atender a um dos critérios gerais e, cumulativamente, a um dos critérios específicos, um tratamento é considerado de alto risco. Portanto, a análise criteriosa desses critérios é essencial para garantir a conformidade com as regulamentações de proteção de dados e para proteger os direitos fundamentais dos titulares de dados. Ao seguir as metodologias de análise e compreender os diferentes elementos envolvidos, as organizações podem garantir uma abordagem responsável e eficaz no tratamento de dados pessoais, promovendo a segurança e a privacidade dos indivíduos.
Para garantir a conformidade de suas atividades com a LGPD, o auxílio de um software especializado em LGPD ou uma consultoria especializada em proteção de dados podem amparar na implementação de um programa de governança em privacidade robusto, contribuindo assim para a proteção dos direitos dos titulares e para a conformidade legal.
