O que é o RIPD e quando ele é exigido

Quando a lei exige esse relatório

O art. 38 estabelece que a ANPD pode determinar ao controlador que elabore o RIPD, inclusive para dados sensíveis, nos termos de regulamento específico. Não é, portanto, uma obrigação automática para todo tratamento — é um instrumento de fiscalização que a autoridade aciona conforme o risco identificado na operação, e que também pode ser exigido quando o fundamento do tratamento é o legítimo interesse, conforme o §3º do art. 10.

O que o relatório precisa conter

O parágrafo único do art. 38 fixa o conteúdo mínimo: descrição dos tipos de dados coletados, metodologia utilizada para a coleta e para a garantia da segurança das informações, e análise do controlador sobre as medidas, salvaguardas e mecanismos de mitigação de risco adotados. O documento não precisa seguir um modelo único, mas precisa demonstrar, de forma concreta, como a empresa avaliou e reduziu o risco ao titular.

Segredo comercial não afasta o relatório

O art. 38 observa expressamente os segredos comercial e industrial, o que significa que a empresa pode restringir partes sensíveis do relatório ao divulgá-lo publicamente, mas não pode usar essa justificativa para deixar de produzi-lo quando a ANPD exigir, nem para omitir informação essencial à avaliação do risco pela autoridade.

Mesmo fora de uma exigência formal da ANPD, produzir um RIPD antes de lançar um sistema de maior risco costuma ser recomendável: o documento facilita comprovar boa-fé em eventual fiscalização e ajuda a própria empresa a identificar falhas de segurança antes que se tornem incidente.