Quando a empresa precisa elaborar o relatório de impacto (RIPD)

A definição legal do documento

O art. 5º, inciso XVII, da LGPD define o relatório de impacto como a documentação que descreve os processos de tratamento de dados pessoais capazes de gerar riscos às liberdades civis e aos direitos fundamentais, junto com medidas, salvaguardas e mecanismos de mitigação de risco. Não é, portanto, um formulário genérico, mas uma avaliação dirigida a uma operação concreta.

Quando a elaboração deixa de ser opcional

O art. 38 da LGPD estabelece que a autoridade nacional pode determinar ao controlador a elaboração do RIPD, inclusive para dados sensíveis, referente a operações específicas de tratamento, nos termos de regulamentação. Isso significa que a exigência formal costuma partir de requisição da ANPD, mas operações de alto risco — como tratamento massivo de dados sensíveis, monitoramento sistemático de pessoas ou uso de tecnologias de reconhecimento biométrico — recomendam a elaboração preventiva, antes mesmo de qualquer pedido do órgão.

O que o relatório costuma conter

• Descrição do tratamento, incluindo dados coletados, finalidade e prazo de guarda;
• identificação dos riscos aos titulares, considerando volume, sensibilidade e forma de uso dos dados;
• medidas de segurança e mitigação já adotadas ou planejadas;
• justificativa da base legal escolhida para aquele tratamento específico.

Diferença entre RIPD e registro de operações

O registro do art. 37 da LGPD é um inventário amplo de todas as operações de tratamento da empresa. O RIPD é pontual, dirigido a um tratamento de risco elevado. Uma empresa pode manter o registro completo e, ainda assim, precisar elaborar RIPD específico quando lança um novo produto que envolve, por exemplo, geolocalização contínua de usuários.

Um exemplo de operação que costuma justificar o relatório

Um aplicativo de entregas que passa a rastrear a localização do usuário em tempo real, mesmo fora do momento do pedido, para oferecer promoções por proximidade, ilustra bem o tipo de operação que recomenda RIPD prévio: o volume de dados, a continuidade do rastreamento e o potencial de uso indevido da localização tornam prudente documentar riscos e salvaguardas antes mesmo de qualquer requisição da ANPD, e não apenas depois de um questionamento externo.

O que fazer quando a empresa não sabe se precisa elaborar o relatório

Na dúvida entre elaborar ou não o RIPD, vale usar como critério o potencial de dano ao titular: quanto maior o volume de dados sensíveis, o número de pessoas afetadas e a novidade da tecnologia usada, maior a razão para documentar preventivamente, mesmo sem pedido formal do órgão regulador.