O que é o RIPD e qual é sua base legal na LGPD

O Relatório de Impacto à Proteção de Dados Pessoais (RIPD) é um documento que descreve os processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais dos titulares. Sua base legal está no art. 38 da Lei 13.709/2018 (LGPD), que atribui à Autoridade Nacional de Proteção de Dados (ANPD) o poder de exigi-lo do controlador.

Há uma distinção importante entre elaborar o RIPD por iniciativa própria e elaborá-lo por exigência regulatória. A elaboração voluntária faz parte de uma postura proativa de conformidade: o controlador identifica tratamentos de risco e documenta suas análises antes de qualquer provocação externa. A elaboração por exigência ocorre quando a ANPD notifica formalmente o controlador a apresentar o documento.

Em ambos os casos, a responsabilidade pela elaboração e guarda do RIPD recai exclusivamente sobre o controlador, a pessoa natural ou jurídica que toma as decisões referentes ao tratamento. O operador não tem essa obrigação direta, embora deva fornecer as informações necessárias para que o documento seja preciso.

O RIPD está diretamente ligado ao princípio da responsabilização e prestação de contas previsto no art. 6º, inciso X, da LGPD. Não basta adotar medidas de proteção de dados: o controlador precisa ser capaz de demonstrar, com evidências documentais, que essas medidas existem e são eficazes. O RIPD é um dos principais instrumentos para essa demonstração.

Quando a ANPD pode solicitar o RIPD ao controlador

O parágrafo único do art. 38 da LGPD autoriza expressamente a ANPD a solicitar o RIPD ao controlador. A lei prevê de forma direta esse poder de requisição, o que torna o descumprimento de uma eventual notificação uma infração com base legal clara.

Na prática, as solicitações tendem a ocorrer em três contextos principais:

• Fiscalização preventiva ou temática: a ANPD monitora setores específicos da economia — saúde, financeiro, educação — e pode requisitar RIPDs de múltiplos controladores simultaneamente para mapear práticas do setor.
• Investigação de incidente de segurança: após a notificação de um vazamento ou acesso não autorizado, o RIPD é solicitado para verificar se os riscos eram conhecidos e se havia medidas de mitigação adequadas antes do evento.
• Processos administrativos sancionatórios: quando um controlador já está sendo investigado por possível infração à LGPD, o RIPD pode ser requisitado como parte do conjunto probatório.

A obrigação se aplica tanto a entidades privadas quanto públicas. Órgãos governamentais que tratam dados pessoais estão sujeitos às mesmas exigências de elaboração e apresentação do RIPD, com as adaptações previstas para o setor público na própria LGPD.

A lei não estipula um prazo fixo para resposta. O prazo é definido pela própria ANPD no ato da notificação, o que significa que o controlador precisa estar preparado para apresentar o documento em tempo hábil, frequentemente curto, a partir do momento em que recebe a comunicação formal.

Quais tratamentos de dados tornam o RIPD obrigatório

O critério central da LGPD para obrigatoriedade do RIPD é a possibilidade de o tratamento gerar riscos ou danos relevantes aos titulares. Esse critério é propositalmente aberto, exigindo que o controlador faça uma análise contextual. Não há uma lista exaustiva de situações que disparam automaticamente a obrigação.

Alguns fatores elevam significativamente o nível de risco e indicam a necessidade do RIPD:

• Dados pessoais sensíveis: informações sobre saúde, biometria, origem racial ou étnica, convicção religiosa, dado genético, vida sexual e filiação sindical, entre outros listados no art. 5º, inciso II, da LGPD.
• Tratamento em larga escala: volume expressivo de titulares ou de registros processados, mesmo que os dados não sejam sensíveis individualmente.
• Perfilamento e decisões automatizadas: uso de algoritmos para avaliar aspectos pessoais dos titulares, especialmente quando essas avaliações produzem efeitos jurídicos ou impactos significativos.
• Dados de grupos vulneráveis: crianças, adolescentes, idosos e outras populações que merecem proteção reforçada.

O Manual de Elaboração do RIPD publicado pela ANPD oferece orientações práticas para identificar se um tratamento específico exige o relatório. O documento adota uma abordagem baseada em critérios de probabilidade e severidade do impacto, similar à metodologia de avaliação de riscos amplamente utilizada em segurança da informação.

O que a ANPD espera encontrar em um RIPD adequado

Um RIPD que atenda às expectativas da ANPD precisa ir além de uma descrição superficial dos processos. A autoridade espera um documento que permita compreender o tratamento sem necessidade de informações complementares, o que exige precisão, completude e organização lógica.

Descrição dos processos de tratamento

O relatório deve identificar claramente a finalidade do tratamento, a base legal que o autoriza, as categorias de dados coletados, os agentes envolvidos (operadores, suboperadores) e o fluxo completo dos dados desde a coleta até o descarte ou anonimização. Lacunas nessa descrição são interpretadas como indício de que o controlador não tem domínio sobre seu próprio processo.

Identificação e avaliação dos riscos

Não basta listar riscos genéricos. O RIPD deve demonstrar que o controlador identificou ameaças concretas, como acesso não autorizado, uso indevido e discriminação algorítmica, e avaliou tanto a probabilidade de ocorrência quanto o impacto potencial sobre os direitos dos titulares. Riscos às liberdades civis e direitos fundamentais merecem atenção explícita no documento.

Medidas de mitigação

Para cada risco identificado, o RIPD deve descrever as medidas técnicas e organizacionais adotadas para reduzi-lo a um nível aceitável. Exemplos incluem criptografia, controle de acesso por perfil, anonimização, treinamento de equipes e cláusulas contratuais com operadores. A ANPD avalia se as medidas são proporcionais à gravidade dos riscos.

Atualização periódica

O RIPD não é um documento estático. Mudanças nos processos de tratamento, como nova finalidade, novo operador, novo tipo de dado ou nova tecnologia, exigem revisão do relatório. Apresentar à ANPD um RIPD desatualizado tem o mesmo efeito prático de apresentar um documento incompleto.

Consequências de não atender à solicitação da ANPD

A ausência de RIPD quando ele seria obrigatório, ou a não apresentação após notificação formal, pode ser enquadrada como infração à LGPD. As sanções previstas no art. 52 incluem advertência com prazo para adoção de medidas corretivas, multa simples de até 2% do faturamento (limitada a R$ 50 milhões por infração) e publicização da infração, o que pode gerar danos reputacionais consideráveis.

O descumprimento do prazo fixado na notificação agrava a situação regulatória do controlador. A ANPD considera a conduta após a notificação, como cooperação, transparência e agilidade, como fator relevante na dosimetria das sanções. Ignorar ou procrastinar a resposta tende a resultar em tratamento menos favorável.

Um RIPD incompleto, inconsistente ou genérico pode ser tratado pela ANPD como não apresentação do documento. Se o relatório não permite compreender o tratamento ou não demonstra análise de risco genuína, o controlador não cumpriu a obrigação apenas por ter enviado algum arquivo.

O histórico de não conformidade também pesa. Controladores que já tiveram problemas com a ANPD, seja por notificações anteriores ignoradas ou por infrações registradas, tendem a receber sanções mais severas em processos subsequentes, pois a autoridade considera a reincidência como critério agravante.

Como se preparar para uma eventual solicitação da ANPD

A melhor defesa contra uma notificação é não depender dela para ter o RIPD em ordem. As etapas a seguir permitem que o controlador esteja preparado antes de qualquer contato formal da autoridade.

Mantenha o RIPD atualizado e acessível

O documento deve estar disponível internamente de forma organizada, com controle de versões e histórico de revisões. Quando a notificação chegar, o controlador precisará localizar, revisar e enviar o RIPD rapidamente, frequentemente em dias úteis contados. Um arquivo desatualizado em uma pasta sem organização não serve para esse propósito.

Mapeie os tratamentos que exigem RIPD

Com base no registro de operações de tratamento (exigido pelo art. 37 da LGPD), identifique quais atividades atendem aos critérios de risco relevante. Documente o racional dessa decisão: por que determinado tratamento exige RIPD e por que outro não exige. Esse registro de raciocínio é parte da prestação de contas e pode ser requisitado pela ANPD.

Envolva o Encarregado (DPO) sistematicamente

O Encarregado de Proteção de Dados tem papel central tanto na revisão periódica do RIPD quanto no relacionamento institucional com a ANPD. É esse profissional que deve coordenar a resposta a uma notificação, garantir a qualidade técnica do documento apresentado e manter o canal de comunicação com a autoridade.

Conheça o canal de peticionamento da ANPD

O envio formal do RIPD em resposta a uma solicitação é feito pelo sistema de peticionamento eletrônico da ANPD. Conhecer esse canal antes da notificação evita perda de tempo com questões operacionais no momento em que o prazo já está correndo. Teste o acesso, verifique os formatos aceitos e identifique quem na organização terá credencial para realizar o envio.

Use o Manual da ANPD como referência oficial

O Manual de Elaboração do RIPD publicado pela ANPD é o documento de referência para estrutura, conteúdo e metodologia do relatório. Utilizar essa referência reduz o risco de o documento ser considerado inadequado por questões formais. Equipes jurídicas e de privacidade devem conhecer esse guia e aplicá-lo diretamente na construção e revisão dos RIPDs da organização.