Realizando Avaliação de Impacto à Privacidade

Quando Usar

• Ao lançar um novo sistema, produto ou atividade de processamento que lida com dados pessoais
• Ao realizar Avaliações de Impacto à Proteção de Dados (DPIAs) do Artigo 35 do GDPR
• Ao avaliar a conformidade com CCPA/CPRA para operações de processamento de dados
• Ao realizar avaliações de risco de privacidade alinhadas ao NIST Privacy Framework
• Ao mapear fluxos de dados através de fronteiras organizacionais e processadores terceirizados
• Ao construir pipelines automatizados de governança e avaliação de privacidade
• Ao se preparar para auditorias regulatórias ou demonstrar obrigações de responsabilidade

Pré-requisitos

• Familiaridade com os conceitos do GDPR, CCPA/CPRA e NIST Privacy Framework
• Acesso a inventários de processamento de dados e documentação de arquitetura de sistemas
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada do Encarregado de Proteção de Dados (DPO) ou da equipe de privacidade
• Conhecimento dos fluxos de dados organizacionais e relacionamentos com processadores terceirizados

Instruções

Fase 1: Inventário de Dados e Catálogo de Atividades de Processamento

Construa um inventário completo das atividades de processamento de dados pessoais. Cada registro de atividade de processamento (ROPA) deve capturar as categorias de dados, base legal, períodos de retenção e titulares de dados envolvidos.

from agent import PrivacyImpactAssessmentEngine

engine = PrivacyImpactAssessmentEngine()

# Register a processing activity for assessment
activity = engine.register_processing_activity(
    name="Customer Analytics Platform",
    description="Collects browsing behavior and purchase history for personalization",
    data_controller="Acme Corp",
    data_processor="CloudAnalytics Inc",
    data_categories=["browsing_history", "purchase_records", "ip_address", "device_id"],
    data_subjects=["customers", "website_visitors"],
    legal_basis="consent",
    retention_period_days=730,
    cross_border_transfer=True,
    transfer_destinations=["US", "IN"],
    automated_decision_making=True,
)
print(f"Registered activity: {activity['activity_id']}")

Fase 2: Mapeamento de Fluxos de Dados

Mapeie todos os fluxos de dados desde a coleta até a exclusão, identificando cada ponto de contato, transformação e local de armazenamento. Isso revela riscos ocultos de privacidade no movimento de dados entre sistemas.

# Build the data flow map
flow_map = engine.map_data_flows(
    activity_id=activity["activity_id"],
    flows=[
        {
            "stage": "collection",
            "source": "Web browser cookie + form submission",
            "destination": "CDN edge server",
            "data_elements": ["ip_address", "device_id", "browsing_history"],
            "encryption_in_transit": True,
            "protocol": "TLS 1.3",
        },
        {
            "stage": "processing",
            "source": "CDN edge server",
            "destination": "Analytics data warehouse (US-East)",
            "data_elements": ["browsing_history", "purchase_records", "device_id"],
            "encryption_in_transit": True,
            "encryption_at_rest": True,
            "protocol": "mTLS",
        },
        {
            "stage": "storage",
            "source": "Analytics data warehouse",
            "destination": "S3 encrypted bucket",
            "data_elements": ["browsing_history", "purchase_records"],
            "encryption_at_rest": True,
            "retention_days": 730,
            "access_controls": "IAM role-based, MFA required",
        },
        {
            "stage": "sharing",
            "source": "Analytics data warehouse",
            "destination": "Third-party ML provider (IN)",
            "data_elements": ["browsing_history", "purchase_records"],
            "encryption_in_transit": True,
            "data_processing_agreement": True,
            "cross_border": True,
        },
        {
            "stage": "deletion",
            "source": "S3 bucket + data warehouse",
            "destination": "Secure erasure",
            "method": "Cryptographic erasure + lifecycle policy",
            "verification": "Automated deletion audit log",
        },
    ],
)
engine.render_data_flow_diagram(flow_map)

Fase 3: Avaliação de Risco de Privacidade com Matriz de Pontuação

Aplique uma metodologia estruturada de pontuação de risco avaliando a probabilidade e o impacto em múltiplas dimensões de risco de privacidade. A matriz está alinhada com as abordagens de avaliação de risco do NIST PRAM e do ICO DPIA.

# Executa a avaliação de risco
relatorio_risco = engine.assess_privacy_risks(

…