DPIA — Avaliação de Impacto

1. O que é uma DPIA?

A Avaliação de Impacto sobre a Proteção de Dados (DPIA) é um processo documentado que ajuda a identificar e minimizar os riscos de proteção de dados de um projeto. — obrigatória nos termos do Art. 35.º do RGPD quando o tratamento é "susceptível de implicar um risco elevado para os direitos e liberdades das pessoas singulares".

O EDPB (Guidelines 3/2019) e o WP29 identificam expressamente a videovigilância como tratamento que requer DPIA. Para clientes da CoreTrack que utilizam câmaras MDVR, a DPIA é obrigatória.

2. Quando é obrigatória?

3. Template DPIA para Frotas com Vídeo

A CoreTrack fornece este template para apoiar os clientes na realização da sua DPIA. O template deve ser adaptado à realidade de cada cliente e revisto anualmente ou quando ocorrerem alterações significativas.

Secção 1 — Identificação

• Nome do Controller (empresa de frota)
• DPO e contacto
• Nome do Processor (CoreTrack — Duarte Saman Unip Lda)
• Data da DPIA e versão
• Responsável pela elaboração da DPIA

Secção 2 — Descrição do Tratamento

• Natureza: Videovigilância em veículos (MDVR) + rastreamento GPS
• Finalidades: Segurança rodoviária, prevenção de acidentes, gestão de frota, recolha de evidências
• Categorias de dados: Imagem de vídeo, localização GPS, telemetria, potencialmente biométricos (face)
• Titulares: Motoristas, peões, outros condutores, ciclistas
• Base legal: Art. 6(1)(f) interesse legítimo (segurança) + Art. 9(2)(a) consentimento se biométrico
• Retenção: Vídeo estrada: 90 dias; Habitáculo: 30 dias; GPS: 12 meses (anonimizado após 6)
• Destinatórios: Seguradoras (com anonimização), autoridades (ordem judicial)
• Transferências: UE (AWS Frankfurt) — sem transferência internacional

Secção 3 — Necessidade e Proporcionalidade

• Necessidade: A videovigilância é necessária para segurança rodoviária? Existem alternativas menos intrusivas?
• Proporcionalidade: O ângulo de captação — o mínimo necessário? A duração da retenção — proporcional?
• Minimização: Gravação por evento vs. contínua? áudio desativado por defeito?
• Anonimização: Faces de terceiros borradas em exportações? Modo pessoal respeitado?

Secção 4 — Riscos aos Direitos e Liberdades

Secção 5 — Medidas de Mitigação

Secção 6 — Consulta Prévia (Art. 35(6))

Se, após a aplicação das medidas de mitigação, o risco permanecer elevado, o Controller deve consultar previamente a CNPD (Art. 36.º). A CoreTrack fornece apoio técnico nesta consulta.

Secção 7 — Consulta aos Trabalhadores (Art. 98 Lei 7/2009)

Em Portugal, a instalação de sistemas de monitorização de trabalhadores exige consulta prévia — comissão de trabalhadores ou interlocutor designado. A DPIA deve documentar esta consulta.

Secção 8 — Revisão

A DPIA deve ser revista:

• Anualmente
• Quando ocorrerem alterações significativas no tratamento
• Após incidentes de segurança
• Quando a CNPD solicitar

4. Download do Template

O template completo em formato editável está disponível mediante solicitação a dpo@coretrack.pt. A CoreTrack fornece também:

• Template de carta de informação aos motoristas (Art. 13 RGPD)
• Template de consentimento para gravação de áudio e dados biométricos
• Template de notificação de videovigilância (sinalética para veículos)
• Checklist de consulta — comissão de trabalhadores

5. Apoio da CoreTrack

A CoreTrack, como subresponsável, assiste o Cliente na elaboração da DPIA (Art. 28(3)(f) RGPD), fornecendo informação técnica sobre as medidas de segurança, configurações de retenção, acessos e anonimização implementadas na plataforma.