O que são o LIA e o DPIA na proteção de dados?

No âmbito do Regulamento Geral de Proteção de Dados (GDPR) e, na Espanha, da LOPDGDD, não basta “ter boa intenção” ou “usar dados públicos”. Se você trata dados pessoais, precisa ser capaz de justificar por que faz isso, para quê, que impacto pode ter sobre as pessoas e quais medidas aplica para proteger seus direitos.

Duas ferramentas habituais para documentar essa análise são o LIA (Avaliação de Interesse Legítimo) e o DPIA (Avaliação de Impacto sobre a Proteção de Dados).

O que é o LIA (Legitimate Interest Assessment)

O LIA é uma análise usada quando uma organização pretende basear um tratamento de dados na base legal do interesse legítimo. Sua finalidade é demonstrar, por escrito, que esse interesse pode prevalecer sobre os direitos e as liberdades das pessoas afetadas, e que o tratamento é razoável e proporcional.

Para que serve um LIA

Um LIA serve para responder de forma documentada a perguntas como:

• Qual é o interesse legítimo concreto que se busca?
• É realmente necessário tratar dados pessoais para atingir essa finalidade?
• Como o tratamento afeta as pessoas e quais expectativas razoáveis elas podem ter?
• Que salvaguardas são aplicadas para reduzir o impacto (informação clara, direito de oposição, minimização de dados etc.)?

Quando um LIA costuma ser necessário

O LIA costuma ser relevante quando o tratamento não se baseia no consentimento nem em um contrato e se pretende justificá-lo por interesse legítimo. Na prática, ele aparece com frequência em atividades como a prospecção comercial B2B, o uso de dados de contato profissionais ou o aproveitamento de informações publicadas em fontes de acesso público, desde que haja uma justificativa e medidas adequadas.

Importante: o interesse legítimo não é automático. Ele depende do contexto, do tipo de dados, da finalidade, da relação com o titular e das medidas de mitigação aplicadas.

O que é o DPIA (Data Protection Impact Assessment)

O DPIA (Avaliação de Impacto sobre a Proteção de Dados) é uma análise mais profunda, feita quando um tratamento pode representar um alto risco para os direitos e as liberdades das pessoas. Seu objetivo é identificar riscos, avaliar sua gravidade e probabilidade e definir medidas concretas para reduzi-los antes de iniciar o tratamento.

Para que serve um DPIA

Um DPIA ajuda a:

• Descrever o tratamento de forma clara (dados, finalidade, fluxos, destinatários, prazos etc.).
• Avaliar a necessidade e a proporcionalidade do tratamento.
• Detectar riscos para as pessoas (perda de controle, discriminação, exposição, falsidade ideológica etc.).
• Definir medidas técnicas e organizacionais para mitigar esses riscos.
• Determinar o risco residual após a aplicação dessas medidas.

Quando um DPIA pode ser obrigatório

O DPIA pode ser obrigatório quando o tratamento é especialmente intrusivo ou intensivo, por exemplo (a título orientativo):

• Tratamentos em larga escala.
• Perfilamento ou avaliação sistemática de pessoas com efeitos relevantes.
• Uso de novas tecnologias com incerteza sobre seus impactos.
• Combinação de grandes volumes de dados ou de múltiplas fontes.
• Observação ou monitoramento sistemático.

Importante: não existe uma regra universal válida para todos os casos. A obrigação de realizar um DPIA depende do contexto e do nível de risco, e costuma exigir uma análise específica.

Principais diferenças entre LIA e DPIA

• LIA: concentra-se em justificar o uso do interesse legítimo como base legal.
• DPIA: concentra-se em identificar e mitigar os riscos elevados do tratamento.

Em alguns projetos, os dois podem ser necessários: um LIA para justificar a base legal e um DPIA para documentar a gestão do risco quando o tratamento é mais sensível ou intensivo.

Uma observação prática sobre “modelos”

Embora existam modelos ou esquemas orientativos, nem o LIA nem o DPIA devem ser tratados como mera formalidade. Para que tenham valor real (e sejam defensáveis perante um DPO ou uma autoridade), eles precisam refletir o tratamento concreto, suas finalidades, os dados envolvidos e as medidas aplicadas.

Este conteúdo é informativo e não constitui assessoria jurídica personalizada.

Se o seu caso é cold email

Se a sua atividade inclui prospecção comercial por e-mail (por exemplo, cold email), é especialmente importante documentar bem a base legal aplicável e as medidas de transparência, minimização e respeito ao direito de oposição. E, se você quer executar campanhas de e-mail frio, pode fazer isso com a Mailerfind.