--- title: "Quando a empresa precisa elaborar o relatório de impacto (RIPD)" description: "Em quais situações a LGPD exige relatório de impacto à proteção de dados pessoais e o que esse documento precisa registrar sobre o risco do tratamento." url: "https://wikijuridica.com.br/lgpd/ripd-quando-obrigatorio/" lang: "pt-BR" page_type: "artigo" author: name: "Rafael Toledo" legal_name: "Rafael Toledo da Silva Duarte" credential: "OAB/RJ 227191" profile: "https://wikijuridica.com.br/sobre/" same_as: - "https://www.linkedin.com/in/rafaeltoledoadvogado" reviewer: "Rafael Toledo" publisher: name: "Wiki Jurídica" same_as: - "https://www.instagram.com/wiki.juridica/" - "https://www.facebook.com/wikijuridica" date_published: "2026-08-06" date_modified: "2026-08-26" reviewed_at: "2026-08-26" version: "sha256:721e2744870313dcbb0ef025d4dc8ed5748caa9661909b4254afab3b117ad3f5" license: "CC-BY-4.0" license_url: "https://creativecommons.org/licenses/by/4.0/" usage_policy: "https://wikijuridica.com.br/api/politica-de-uso.json" services: catalog: "https://wikijuridica.com.br/.well-known/ai-catalog.json" mcp: "https://wikijuridica.com.br/mcp" a2a: "https://wikijuridica.com.br/.well-known/agent-card.json" search: "https://wikijuridica.com.br/api/v1/search" openapi: "https://wikijuridica.com.br/openapi.json" citar: "https://wikijuridica.com.br/api/v1/citar" verificar citações: "https://wikijuridica.com.br/api/v1/citacoes" sources: - name: "LGPD (Lei 13.709/2018)" url: "https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm#art5" verified_at: "2026-07-15" claim: "definição legal do relatório de impacto à proteção de dados pessoais" - name: "LGPD (Lei 13.709/2018)" url: "https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm#art38" verified_at: "2026-07-15" claim: "poder da autoridade nacional de determinar a elaboração do RIPD para operações de risco" --- > Índice do acervo > O mapa completo das páginas públicas está em https://wikijuridica.com.br/llms.txt > Consulte-o para descobrir as áreas e as páginas antes de navegar item a item. # Quando a empresa precisa elaborar o relatório de impacto (RIPD) Por Rafael Toledo, OAB/RJ 227191 · revisado em 2026-08-26 Uma operação de tratamento de dados considerada de alto risco pode levar a autoridade nacional a pedir da empresa um documento específico: o relatório de impacto à proteção de dados pessoais, o RIPD. Diferente do registro de operações, que descreve o que a empresa faz com os dados no dia a dia, o RIPD avalia riscos e medidas de mitigação de um tratamento em particular. ## A definição legal do documento O [art. 5º, inciso XVII](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm#art5), da [LGPD](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) define o relatório de impacto como a documentação que descreve os processos de tratamento de dados pessoais capazes de gerar riscos às liberdades civis e aos direitos fundamentais, junto com medidas, salvaguardas e mecanismos de mitigação de risco. Não é, portanto, um formulário genérico, mas uma avaliação dirigida a uma operação concreta. ## Quando a elaboração deixa de ser opcional O [art. 38](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm#art38) da [LGPD](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) estabelece que a autoridade nacional pode determinar ao controlador a elaboração do RIPD, inclusive para dados sensíveis, referente a operações específicas de tratamento, nos termos de regulamentação. Isso significa que a exigência formal costuma partir de requisição da ANPD, mas operações de alto risco — como tratamento massivo de dados sensíveis, monitoramento sistemático de pessoas ou uso de tecnologias de reconhecimento biométrico — recomendam a elaboração preventiva, antes mesmo de qualquer pedido do órgão. ## O que o relatório costuma conter - Descrição do tratamento, incluindo dados coletados, finalidade e prazo de guarda; - identificação dos riscos aos titulares, considerando volume, sensibilidade e forma de uso dos dados; - medidas de segurança e mitigação já adotadas ou planejadas; - justificativa da base legal escolhida para aquele tratamento específico. ## Diferença entre RIPD e registro de operações O registro do [art. 37](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm#art37) da [LGPD](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) é um inventário amplo de todas as operações de tratamento da empresa. O RIPD é pontual, dirigido a um tratamento de risco elevado. Uma empresa pode manter o registro completo e, ainda assim, precisar elaborar RIPD específico quando lança um novo produto que envolve, por exemplo, geolocalização contínua de usuários. ## Um exemplo de operação que costuma justificar o relatório Um aplicativo de entregas que passa a rastrear a localização do usuário em tempo real, mesmo fora do momento do pedido, para oferecer promoções por proximidade, ilustra bem o tipo de operação que recomenda RIPD prévio: o volume de dados, a continuidade do rastreamento e o potencial de uso indevido da localização tornam prudente documentar riscos e salvaguardas antes mesmo de qualquer requisição da ANPD, e não apenas depois de um questionamento externo. ## O que fazer quando a empresa não sabe se precisa elaborar o relatório Na dúvida entre elaborar ou não o RIPD, vale usar como critério o potencial de dano ao titular: quanto maior o volume de dados sensíveis, o número de pessoas afetadas e a novidade da tecnologia usada, maior a razão para documentar preventivamente, mesmo sem pedido formal do órgão regulador. ## Perguntas frequentes ### A empresa pode ser multada só por não ter RIPD pronto? A elaboração costuma decorrer de requisição da autoridade nacional para uma operação específica; a ausência do documento quando solicitado formalmente é que expõe a empresa a sanção, não a simples inexistência prévia dele. ## Proveniência - [LGPD (Lei 13.709/2018)](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm#art5) — verificado em 2026-07-15 · Fonte oficial usada como referência e proveniência. - Sustenta nesta página: definição legal do relatório de impacto à proteção de dados pessoais - [LGPD (Lei 13.709/2018)](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm#art38) — verificado em 2026-07-15 · Fonte oficial usada como referência e proveniência. - Sustenta nesta página: poder da autoridade nacional de determinar a elaboração do RIPD para operações de risco --- Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso. ## Conteúdos relacionados - [As bases legais da LGPD: as hipóteses que autorizam tratar dados](https://wikijuridica.com.br/lgpd/bases-legais-quais-sao/index.md) - [Adequação à LGPD na pequena empresa: por onde começar](https://wikijuridica.com.br/lgpd/adequacao-pequena-empresa-comecar/index.md) - [Dado pessoal sensível: informações com proteção reforçada](https://wikijuridica.com.br/glossario/dado-pessoal-sensivel/index.md) - [Registro das operações de tratamento: como montar](https://wikijuridica.com.br/lgpd/registro-operacoes-ropa/index.md) - [Biometria no ponto eletrônico: a empresa pode exigir?](https://wikijuridica.com.br/lgpd/biometria-ponto-eletronico/index.md) - [Rede social jurídica do portal: dúvidas do público e comentários de advogados inscritos na OAB](https://wikijuridica.com.br/redesocial/index.md) - [Página deste tema na rede social do portal](https://wikijuridica.com.br/redesocial/tema/lgpd/ripd-quando-obrigatorio/index.md) ## Percursos por fundamento legal Outras páginas deste acervo que se apoiam nos mesmos dispositivos legais. **Lei Geral de Proteção de Dados, art. 37** — `urn:lex:br:federal:lei:2018-08-14;13709!art37` - [Como comunicar incidente de segurança à ANPD](https://wikijuridica.com.br/lgpd/comunicar-incidente-anpd/index.md) - [Due diligence de LGPD antes de comprar uma empresa](https://wikijuridica.com.br/lgpd/due-diligence-protecao-dados-aquisicao-empresa/index.md) - [Incidente de baixo risco também precisa ser registrado?](https://wikijuridica.com.br/lgpd/registro-interno-incidentes/index.md) - [Registro das operações de tratamento: como montar](https://wikijuridica.com.br/lgpd/registro-operacoes-ropa/index.md) **Lei Geral de Proteção de Dados, art. 5º** — `urn:lex:br:federal:lei:2018-08-14;13709!art5` - [Empresa pode exigir antecedentes na contratação?](https://wikijuridica.com.br/criminal/empresa-pode-exigir-antecedentes/index.md) - [Cookies e consentimento: os avisos de privacidade dos sites](https://wikijuridica.com.br/glossario/cookies-consentimento/index.md) - [Operador de dados: quem trata em nome do controlador](https://wikijuridica.com.br/glossario/operador-dados/index.md) - [REsp 2.092.096 do STJ: civil, consumidor e processual civil](https://wikijuridica.com.br/jurisprudencia/stj-resp-2092096/index.md) Conteúdo de autoria de Rafael Toledo, advogado responsável técnico pela publicação, elaborado a partir de fontes oficiais verificadas e citadas. ## Como citar esta página Rafael Toledo, OAB/RJ 227191. Quando a empresa precisa elaborar o relatório de impacto (RIPD). Wiki Jurídica. 2026-08-26. https://wikijuridica.com.br/lgpd/ripd-quando-obrigatorio/ Versão do conteúdo: sha256:721e2744870313dcbb0ef025d4dc8ed5748caa9661909b4254afab3b117ad3f5 Os mesmos dados em CSL-JSON, o formato que processadores de citação leem sem interpretar texto: ```json { "id": "wikijuridica-com-br-lgpd-ripd-quando-obrigatorio", "type": "webpage", "title": "Quando a empresa precisa elaborar o relatório de impacto (RIPD)", "container-title": "Wiki Jurídica", "publisher": "Wiki Jurídica", "author": [{"literal": "Rafael Toledo, OAB/RJ 227191"}], "issued": {"date-parts": [[2026, 8, 26]]}, "URL": "https://wikijuridica.com.br/lgpd/ripd-quando-obrigatorio/", "language": "pt-BR", "version": "sha256:721e2744870313dcbb0ef025d4dc8ed5748caa9661909b4254afab3b117ad3f5", "note": "Licença CC-BY-4.0 — https://creativecommons.org/licenses/by/4.0/" } ``` Versão canônica: