RIPD: o que é, quando é obrigatório e como fazer o Relatório de Impacto à Proteção de Dados

No artigo anterior desta série, tratamos do ROPA, o inventário de todos os tratamentos de dados pessoais da organização. O ROPA responde à pergunta "o que tratamos". O RIPD, o Relatório de Impacto à Proteção de Dados, responde a uma pergunta mais difícil, e só para alguns tratamentos: esta operação coloca em risco os direitos das pessoas, e o que estamos fazendo para reduzir esse risco?

Este artigo explica o que é o RIPD, o que a LGPD exige, quando ele é obrigatório, o que precisa conter e como elaborar o seu de forma que ele sirva à decisão, e não apenas ao arquivo.

O que é o RIPD

O RIPD é a análise documentada de um tratamento de dados pessoais que pode gerar risco aos titulares, com a descrição desse tratamento, a avaliação dos riscos envolvidos e as medidas adotadas para reduzi-los. É o equivalente ao DPIA (Data Protection Impact Assessment) do GDPR europeu.

A própria LGPD define o instrumento no Art. 5, XVII:

> Relatório de impacto à proteção de dados pessoais: documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco.

Em outras palavras, o RIPD não é um relatório genérico de conformidade. Ele é focado: existe para os tratamentos em que o risco às pessoas é relevante, e serve para mostrar que a organização identificou esse risco e tomou medidas concretas a respeito.

O que a LGPD exige

A base principal está no Art. 38 da LGPD:

> A autoridade nacional poderá determinar ao controlador que elabore relatório de impacto à proteção de dados pessoais, inclusive de dados sensíveis, referente a suas operações de tratamento de dados.

E o parágrafo único define o conteúdo mínimo:

> [o relatório] deverá conter, no mínimo, a descrição dos tipos de dados coletados, a metodologia utilizada para a coleta e para a garantia da segurança das informações e a análise do controlador com relação a medidas, salvaguardas e mecanismos de mitigação de risco adotados.

Dois outros pontos da lei completam o quadro:

• Art. 10, §3: a ANPD poderá solicitar o RIPD quando o tratamento tiver como base legal o legítimo interesse. Ou seja, usar legítimo interesse aumenta a chance de a autoridade pedir o relatório.
• Art. 32: a ANPD poderá solicitar o RIPD a agentes do Poder Público.

Na prática, mesmo quando a ANPD ainda não determinou nada, elaborar o RIPD dos tratamentos de alto risco é uma medida de accountability: é a prova de que a organização avaliou o impacto antes de colocar a operação em produção, e não depois de um problema.

Quando o RIPD é obrigatório

A LGPD não traz uma lista fechada de hipóteses, mas a prática regulatória, as orientações da ANPD e a experiência internacional convergem para um conjunto de sinais de alto risco que pedem um RIPD. Considere elaborar o relatório quando o tratamento envolver:

• Dados sensíveis em larga escala (saúde, biometria, origem racial, opinião política, dados de crianças e adolescentes).
• Decisões automatizadas ou profiling com efeitos significativos sobre a pessoa (concessão de crédito, triagem de currículos, precificação individual).
• Monitoramento sistemático, inclusive de áreas de acesso público (câmeras, geolocalização, rastreamento de comportamento).
• Novas tecnologias ou usos inovadores de dados, cujo impacto ainda não é bem conhecido.
• Grande volume de titulares ou combinação de bases que, juntas, revelam mais do que cada uma isolada.
• Tratamento fundado em legítimo interesse com impacto relevante sobre os titulares.

Uma regra prática: quanto mais o tratamento concentra dados sensíveis, decisões sobre pessoas e escala, maior a necessidade do RIPD. Tratamentos corriqueiros e de baixo risco não exigem o relatório, e fazer RIPD de tudo apenas dilui o esforço onde ele realmente importa.

O que o RIPD precisa conter

Partindo do conteúdo mínimo do Art. 38 e indo além dele para que o documento seja útil, um bom RIPD traz:

1. Descrição do tratamento e da finalidade: o que é feito, com quais dados, para quê e com qual base legal.
2. Necessidade e proporcionalidade: por que esse tratamento é necessário e por que não há forma menos invasiva de atingir a finalidade.
3. Mapeamento do fluxo de dados: coleta, uso, armazenamento, compartilhamento, operadores e descarte.
4. Identificação e avaliação dos riscos aos titulares: quais riscos existem (discriminação, exposição, fraude, constrangimento) e qual a gravidade de cada um, combinando probabilidade e impacto.
5. Medidas de mitigação: os controles técnicos e organizacionais que reduzem cada risco, e o risco residual que permanece depois deles.
6. Parecer e decisão: a conclusão do controlador sobre seguir, ajustar ou não realizar o tratamento.
7. Aprovação formal: quem aprovou, com que condições e em que data.
8. Plano de ação: o que ainda precisa ser implementado, com responsável e prazo.

A diferença entre um RIPD que serve e um que só ocupa espaço está nos itens 5 a 8. Identificar o risco é a parte fácil. O que sustenta a decisão é mostrar o que foi feito a respeito.

Como fazer o seu RIPD, na prática

O RIPD não nasce do zero. Ele parte do inventário que você já tem:

1. Selecione o tratamento a partir do ROPA. O inventário mostra quais tratamentos reúnem os sinais de alto risco. São esses que entram na fila do RIPD.
2. Descreva o tratamento com profundidade. Finalidade, dados, titulares, fluxo, operadores e base legal.
3. Avalie necessidade e proporcionalidade. Pergunte se dá para atingir o mesmo objetivo com menos dados ou menos exposição.
4. Levante os riscos aos titulares. Pense do ponto de vista da pessoa, não só do sistema. O que de pior pode acontecer com ela se algo der errado?
5. Classifique cada risco por probabilidade e impacto, para priorizar o que tratar primeiro.
6. Defina as medidas de mitigação e registre o risco residual de cada uma.
7. Leve à aprovação formal, com parecer, condições e plano de ação para o que ficou pendente.
8. Agende a revisão. O RIPD acompanha o tratamento: mudou o sistema, o parceiro ou a finalidade, o relatório precisa ser revisto.

Quem participa

O RIPD é um trabalho conjunto. O Encarregado (DPO) coordena; o dono do tratamento descreve a operação real; a área de Segurança da Informação avalia os controles; e o jurídico apoia a leitura da base legal e do risco regulatório. A aprovação cabe a quem tem alçada para assumir o risco residual.

Os erros mais comuns

• RIPD de diagnóstico, sem ação. Riscos identificados e nunca tratados. O relatório vira um inventário de problemas conhecidos, o que agrava a situação em vez de melhorá-la.
• RIPD que nunca é revisado. Mudanças no tratamento criam riscos que o relatório original não avaliou, e os controles antigos deixam de ser suficientes.
• Fazer RIPD de tudo. Dilui o esforço e atrasa o que importa. O relatório é para o alto risco.
• Tratar o RIPD como documento isolado. Ele deveria conversar com o ROPA, com a gestão de riscos e com a resposta a incidentes.

Como o RIPD se conecta ao resto do programa

O RIPD não vive sozinho:

• Parte do ROPA: sem o inventário, não há como saber quais tratamentos são de alto risco.
• Alimenta a gestão de riscos: os riscos e as medidas do RIPD entram no mapa de risco da organização.
• Apoia a resposta a incidentes: quando algo dá errado em um tratamento com RIPD, a avaliação de impacto já está feita, o que acelera a decisão sobre notificar a ANPD e os titulares.
• Encurta o caminho para certificações como a ISO 27701, que valoriza a avaliação de impacto à privacidade.

Como a GovSimplix ajuda

Na plataforma GovSimplix, o RIPD parte direto do seu inventário de tratamentos. Há um critério claro para identificar quais tratamentos pedem o relatório, e o RIPD é montado com a análise de risco, as medidas de mitigação e a aprovação formal, com parecer e plano de ação para o que ficou pendente. O documento é o seu, com os seus dados, e você o exporta em Word para ajustar e assinar.

Como tudo fica ligado aos demais domínios, o RIPD aproveita o ROPA, alimenta o mapa de risco e conversa com a resposta a incidentes, com alertas do que precisa ser revisado quando o tratamento muda.

Se quiser um primeiro retrato de onde a sua organização está em proteção de dados e nos demais domínios de governança, o Raio-X de Maturidade dá esse diagnóstico em poucos minutos. E para ver o RIPD dentro do fluxo completo de adequação, a página da solução mostra como as peças se conectam.

Perguntas frequentes

O RIPD é sempre obrigatório?

Não para todo tratamento. A LGPD não traz uma lista fechada, mas o relatório é esperado para tratamentos de alto risco, e a ANPD pode determinar a sua elaboração a qualquer momento (Art. 38), especialmente quando a base legal é o legítimo interesse (Art. 10, §3).

RIPD e ROPA são a mesma coisa?

Não. O ROPA é o inventário de todos os tratamentos. O RIPD é uma análise aprofundada, feita apenas para os tratamentos de alto risco identificados a partir do ROPA.

Preciso enviar o RIPD para a ANPD?

Não automaticamente. O RIPD é uma documentação do controlador. A ANPD pode solicitá-lo, e nesse momento ele precisa estar pronto e consistente. Mantê-lo em dia é o que evita a correria quando o pedido chega.

Com que frequência o RIPD deve ser revisado?

Sempre que o tratamento mudar de forma relevante: novo sistema, novo operador, nova finalidade ou mudança na escala. Além disso, vale uma revisão periódica, porque o cenário de risco e a regulamentação evoluem.

Quem é responsável pelo RIPD?

A condução costuma ser do Encarregado (DPO), em conjunto com o dono do tratamento, a Segurança da Informação e o jurídico. A aprovação cabe a quem tem alçada para assumir o risco residual do tratamento.

Sobre o autor

Julio César
Fundador e Arquiteto das Soluções, GovSimplix

Julio César é bacharel em Ciências da Computação pela USTJ e graduado em Análise e Desenvolvimento de Sistemas. É especialista pós-graduado em Cibersegurança e Governança de Dados pela PUC Minas e pós-graduado em Gestão Estratégica de Negócios pela Universidade Presbiteriana Mackenzie.

Possui certificação internacional de Lead Auditor para as normas ISO 27001 (Segurança da Informação), ISO 27701 (Privacidade da Informação) e ISO 42001 (Gestão de Inteligência Artificial), além da certificação Lean Six Sigma Black Belt, voltada para melhoria de processos e redução de variabilidade operacional.

Na GovSimplix, é o responsável pela concepção e evolução da arquitetura metodológica que estrutura os 11 domínios de governança empresarial da plataforma. Combina formação técnica, experiência em auditoria de sistemas de gestão e visão executiva para traduzir a complexidade da governança em estrutura operável para organizações de qualquer porte e setor.