Qual é o custo de um RIPD/DPIA?

Relatórios de Impacto à Proteção de Dados (RIPD) ou Avaliações de Impacto de Privacidade (PIA) são as avaliações de risco críticas que precisam ser realizadas quando ocorre o tratamento potencialmente arriscado de informações de identificação pessoal. Os RIPDs ou DPIAs são temidos por sua complexidade e pelo tempo que consomem. Neste artigo, analisamos a quantidade de esforço e, consequentemente, o custo que precisa ser considerado ao planejar a organização de proteção de dados.

Informações básicas

Um RIPD/DPIA normalmente é projetado para atingir três objetivos principais:

• Garantir a conformidade com os requisitos legais, regulamentares e de política aplicáveis ​​para privacidade.
• Identificar e avaliar os riscos de violações de privacidade ou outros incidentes e efeitos.
• Identificar controles de privacidade apropriados para mitigar riscos inaceitáveis.

O RIPD precisa ser realizado quando há risco de que os direitos e liberdades das pessoas físicas sejam ameaçados, principalmente do ponto de vista da proteção de dados.

Na prática, isso significa considerar adequação, necessidade, proporcionalidade, identificação de riscos, análise de riscos e seleção e priorização de medidas adequadas.

Esforço

Conduzir um RIPD/DPIA requer que várias pessoas com diferentes conhecimentos de domínio se reúnam e combinem seus conhecimentos. A análise de risco resultante deve ser facilmente compreendida para que possa ser avaliada em relação à pergunta: Os riscos remanescentes são aceitáveis?

Em novembro de 2022, a ECOMPLY realizou uma pesquisa pedindo a 42 especialistas em proteção de dados que avaliassem quanto tempo eles consideram que um RIPD/DPIA deveria consumir. Embora, é claro, que não haja dois RIPDs/DPIAs iguais e dependam fortemente do contexto (tipo de tratamento, estrutura da organização, experiência), os participantes foram solicitados a fornecer um número médio. Descobriu-se quase unanimemente que um RIPD/DPIA que depende de planilhas do Excel pode facilmente consumir de 3 a 4 dias inteiros, ou mais de 30 horas de trabalho.

As ferramentas usadas para conduzir esses RIPDs/DPIAs são o Microsoft Word, planilhas do Excel e o CNIL PIA. Embora a ideia de um RIPD/DPIA seja que a pessoa responsável pelo tratamento conduza o RIPD/DPIA e o DPO apenas audite o resultado, a realidade é que os DPOs são os que conduzem os RIPDs/DPIAs enquanto entrevistam os responsáveis ​​pelo tratamento.

Consequência

O fato de os RIPDs/DPIAs serem conduzidos principalmente por DPOs e consumirem um dia de trabalho para cada um impõe um limite prático ao número de RIPDs/DPIAs que podem ser razoavelmente conduzidos, bem como à qualidade de cada RIPD/DPIA. O principal fator limitante é o tempo. O que estamos vendo é que os orçamentos e recursos disponibilizados para as equipes de proteção de dados são insuficientes para manter os RIPDs/DPIAs de forma confiável.

Se alegarmos que uma hora de trabalho de um especialista em proteção de dados custa cerca de 100 Euros (mais se for contratado externamente), então cada RIPD/DPIA pode  traduzir uma gama de custos de até 3000 Euros..

Abordagens

Devido à falta de recursos, observamos que muitas empresas não estão realizando RIPDs/DPIAs. Simplesmente porque a Equipe de Proteção de Dados não tem tempo para fazer isso. Obviamente, essa abordagem expõe a organização ao risco de multas severas por parte das autoridades de proteção de dados por não observar as obrigações legais.

A abordagem alternativa é a mencionada acima, onde a equipe de proteção de dados envia questionários (ou seja, documentos do Word) aos responsáveis ​​por determinados tratamentos para obter uma melhor compreensão dos detalhes do tratamento. As respostas são então processadas por um membro da equipe de proteção de dados e inseridas na ferramenta CNIL PIA. A ferramenta CNIL PIA é muito versátil, o que custa complexidade. Na última etapa, todos os resultados são reunidos manualmente em um documento de relatório RIPD/DPIA, geralmente no Microsoft Word.

Se você está lendo até aqui, pode estar interessado em saber que a ECOMPLY criou um assistente de RIPD/DPIA. Este software assistente orienta o usuário em todo o processo de realização de um RIPD/DPIA com os seguintes benefícios:

• As informações existentes já são consideradas pelo assistente
• O assistente linear não deixa margem para confusão pois orienta passo a passo
• Preenchimento do assistente pode ser delegado para liberar tempo na equipe de proteção de dados
• O software compila todas as informações em um relatório conciso que permite aos usuários ver, arquivar e encaminhar facilmente os resultados do RIPD/DPIA
• O assistente foi criado para montar um RIPD/DPIA em menos de duas horas - tudo do primeiro passo ao relatório final - gerando economia de até seis horas ou 600 Euros em cada RIPD/DPIA

Quer saber mais? Entre em contato hoje mesmo!