P.I.A.: avaliação do impacto sobre a privacidade

1) Destino e área de aplicação

O objetivo é identificar e reduzir sistematicamente os riscos para os direitos e liberdades dos sujeitos de dados nas alterações do produto/infraestrutura.
Abrangência: novos/substancialmente alterados fichas, modelos de antifrode e RG, implementação de SDK/PSP/KYC Provedores, migração de dados, testes de personalização A/B, transferências, perfilação.

2) Quando necessário P.I.A./DPIA

• Perfilagem/observação em larga escala (analista comportamental, mapeamento de risco, desencadeadores RG).
• Tratamento de categorias especiais (biometria liveness, saúde/vulnerabilidade RG).
• Uma combinação de conjuntos de dados que oferece novos riscos (fusão de dados de marketing e pagamento).
• Monitoramento sistemático da área disponível publicamente (por exemplo, bate-papos estrim).
• Transmissões fora do EEE/UK (associado a DTIA).
• Mudanças significativas nos alvos/fundamentos ou novos vendedores/subprocessadores.
• Se o risco for baixo, o screening de PIA suficiente e um breve registro no RoPA.

3) Papéis e responsabilidades

DPO é o dono da metodologia, avaliação independente, alinhamento de risco residual, contato com supervisão.
O Produt/Engineering é um iniciador, descreve metas/fluxos, implementa medidas.
Segurança/SRE - TOMs: criptografia, acessibilidade, registro, DLP, testes.
Data/BI/ML - Minimização, anonimato/pseudonimização, gerenciamento de modelos.
Legal/Compliance - base legal, DPA/SCCS/IDTA, conformidade com as regras locais.
Marketing/CRM/RG/Payments - donos de domínios de dados e processos.

4) Processo P.I.A./DPIA (transversal)

1. Iniciação e screening (FAB/Mudança): O questionário "DPIA é necessário? ».
2. Mapeamento de dados (Data Map): fontes → campos → fins → bases → destinatários → prazos de armazenamento → geografia → subprocessadores.
3. Avaliação de legitimidade e necessidade: Escolha de lawful basis (Contract/Legal Obligation/LI/Consent), teste LIA (equilíbrio de interesses) na Legitimate Interests.
4. Identificação de risco: ameaças à privacidade, integridade, acessibilidade, direitos das entidades (soluções automatizadas, discriminação, uso secundário).
5. Compilação de risco: probabilidade (L 1-5) x influência (I 1-5) → R (1-25); zonas de cor (zel/amarelo/orange/vermelho).
6. Plano de Medidas (TOMs): preventivo/detetive/corretivo - com proprietários e prazos.
7. Risco residual: reaproximação após as medidas; solução go/conditioned go/no-go; para alto risco residual - consulta com supervisão.
8. Relatório DPIA, atualizações RoPA/Políticas/cookies/CMP, documentos contratuais.
9. Monitoramento: KRIs/KPIs, reviravolta DPIA em alterações ou incidentes.

5) Matriz de risco de privacidade (exemplo)

Probabilidade (L): 1 - raro; 3 - periódica; 5 - frequente/constante.
Impacto (I): Leva em conta a quantidade de PII, sensibilidade, geografia, vulnerabilidade dos sujeitos, reversibilidade, efeitos regulatórios.

6) Conjunto de medidas técnicas e organizacionais (TOMs)

Minimização e integridade: coleta apenas os campos desejados; Separação de identificadores e eventos; data vault/zonas de RAW→CURATED.
Pseudônimo/anonimato: pseudo-ID estável, tocenização, k-anonimato dos relatórios.
Segurança: criptografia at rest/in transit, KMS e rotação de chaves, SSO/MFA, RBAC/ABAC, WORM, DLP, EDR, gerente de segredo.
Controle de vendedores: DPA, registro de subprocessadores, auditoria, teste de incidente, proibição de uso secundário.
Direitos das entidades: procedimentos DSAR, mecanismos de objeção, «não-tracking» onde possível, human-review para soluções críticas.
Transparência: atualização de políticas, cookie-banner, centro de preferência, versão de listas de fornecedores.
Qualidade e justiça dos modelos: testes bias, explorabilidade, recalibragem periódica.

7) Comunicação com LIA e DTIA

LIA (Legitimate Interests Assessment): executado se a base for LI; inclui teste de meta, necessidade e equilíbrio (prejuízo/benefício, expectativas dos usuários, medidas de mitigação).
DTIA (Data Transfer Impacto Assessment): obrigatório para países com SCCs/IDTA sem adequação; fixa o ambiente legal, acesso das autoridades, medidas técnicas (E2EI/chaves de clientes), área das chaves.

8) Modelo de relatório DPIA (estrutura)

1. Contexto: iniciador, descrição de fici/processo, metas, audiência, prazos.
2. Fundamentos legais: Contract/LO/LI/Consent; Currículo LIA.
3. Mapa de dados: categorias, fontes, destinatários, subprocessadores, geografia, prazo de armazenamento, perfilagem/automação.
4. Avaliação de risco: lista de ameaças, L/I/R, direitos afetados, possíveis danos.
5. Medidas: TOMs, proprietários, prazos, critérios de eficiência (KPI).
6. Risco residual e solução (go/condicional/no-go); se high é um plano para consultar a supervisão.
7. Plano de monitoramento: KRIs, eventos para revisão, comunicação com o processo de incidente.
8. Assinaturas e concordâncias: Produt, Security, Legal, DPO (obrigatório).

9) Integração com lançamentos e FAB

Gate DPIA: Para alterações de risco - artefato obrigatório na FAB.
Função-flags/canários: inclusão de fichas com público limitado, coleta de sinais de privacidade.
Mudança de privacidade: Política, lista de vendedores/SDK, atualizações CMP, data de entrada.
Plano de reversão: desativar SDK/fici, remover/arquivar dados, rever chaves/acessibilidade.

10) Métricas de eficiência P.I.A./DPIA

Coverage:% dos lançamentos de screening PIA ≥ 95%;% de alterações de risco com DPIA ≥ 95%.
Time-to-DPIA: Tempo mediático desde a iniciação até a decisão ≤ X dias.
Quality: A proporção de DPIA com medidas de medida KPI ≥ de 90%.
DSAR SLA: confirmação ≤ 7 dias, execução ≤ 30; comunicação com DPIA para novas fichas.
Invidents: percentual de fugas/queixas relacionadas a áreas sem DPIA → 0;% de notificações de 72 horas - 100%.
Vendor readiness:% dos vendedores de risco com DPA/SCCs/DTIA - 100%.

11) Malas de domínio (iGaming)

A) Novo fornecedor KYC com biometria

Riscos: prisões especiais, licência, uso secundário de imagens.
Medidas: armazenamento do provedor, DPA rigoroso (proibição de treinamento de dados), criptografia, remoção por SLA, provedor fallback, canal DSAR.

B) Modelo antifrod de escrutínio comportamental

Riscos: soluções automáticas, discriminação, explicabilidade.
Medidas: human-review para soluções de high-impacto, explorabilidade, bias-auditoria, registro de causas, minimização de fichas.

C) Marketing-SDK/retargeting

Riscos: rastreamento sem consentimento, transferência oculta de identificadores.
Medidas: CMP (grande consent), server-side tagging, modo anon-IP, proibição contratual de fins secundários, transparência na Política.

D) Resolvível Gaming (RG) alerts

Riscos: sensibilidade de dados, bandeiras erradas → danos ao usuário.
Medidas de intervenção suave, direito de recurso, acesso limitado, registro de decisões, formação de safort.

E) Migração de dados para a nuvem/nova região

Riscos: Intersonteiriça, novo subprocessador.
Medidas: SCCS/IDTA + DTIA, chaves na UE, segmentação de ambientes, teste de incidente, atualização do registro de subprocessadores.

12) Folhas de cheque

12. 1 Screening PIA (rápido)

• Há perfilação/automação de soluções?
• As unidades especiais/dados infantis estão a ser processados?
• Novos vendedores/subprocessadores/países?
• Os objetivos/bases do processamento estão mudando?
• Grandes grupos vulneráveis estão envolvidos?

→ Se sim ≥1 -2 pontos, iniciamos o DPIA.

12. 2 Prontidão do relatório DPIA

• Mapa de dados e RoPA atualizados
• LIA/DTIA (se aplicável) concluído
• Medidas (TOMs) atribuídas e mensuráveis
• Risco residual avaliado e negociado pelo DPO
• Políticas/cookies/SMS atualizados
• Pista doca e versões salvas

13) Modelos (fatias)

13. 1 Formulação do objetivo (exemplo):

«Garantir a prevenção de fraudes em saques com o uso de dados comportamentais de interesse legítimo, minimizando dados e human review para soluções que limitam o acesso aos meios».

13. 2 medidas KPI (exemplo):

Redução do modelo FNR em P95 sem crescimento FPR> 2 p.p.
O tempo de resposta DSAR para os novos fichas ≤ de 20 dias.
Remoção da biometria 24 horas após a verificação, registro de confirmação de 100%.

13. 3 Campo em RoPA (suplemento):

14) Armazenamento de artefatos e auditoria

DPIA/LIA/DTIA, soluções, versões de Políticas/Banner, DPA/SCCs/Registro de subprocessadores, logs de concordância CMP - armazenamento centralizado (WORM/versioning).
Auditoria uma vez por ano: amostra DPIA, verificação de medidas implementadas, controle de métricas, teste DSAR.

15) Mapa de trânsito de implementação

Semanas 1-2: implementar o screening PIA na FAB, aprovar o modelo DPIA, treinar os proprietários.
Semanas 3-4: iniciar Data Map/RoPA, SMR/banner, registros de vendedores, preparar DPA/SCCS/DTIA.
Mês 2: realizar o primeiro DPIA em alta-risk (CUS/antifrode/marketing), vincular KPIs.
Mês 3 +: Reviravoltas trimestrais DPIA, bias-auditoria de modelos, testes de fuga, melhorias contínuas.

TL; DR

PIA/DPIA = screening inicial + mapa de dados + legalidade (LIA/DTIA) + avaliação de risco e medidas (TOMs) + risco residual negociado sob controle DPO + monitoramento de métricas. Incorporamos a FAB e lançamentos - e transformamos a privacidade em um processo controlado, verificável, em vez de «trabalho de incêndio».