O que diz o artigo 38 da LGPD

O Relatório de Impacto à Proteção de Dados Pessoais (RIPD) é o documento que mapeia riscos de uma atividade de tratamento e as medidas adotadas para mitigá-los. O que muitas empresas subestimam é que produzir esse documento não é apenas uma boa prática interna — é uma obrigação que pode ser cobrada formalmente a qualquer momento.

O artigo 38 da LGPD é direto: “A autoridade nacional poderá solicitar ao controlador relatório de impacto à proteção de dados pessoais, quando o tratamento tiver como fundamento seu legítimo interesse”. A redação, porém, não esgota o alcance da norma. A ANPD interpreta essa competência de forma mais ampla, podendo requerer o RIPD em qualquer contexto de fiscalização, independentemente da base legal utilizada pelo controlador.

Na prática, o artigo 38 funciona como um instrumento de transparência compulsória. A autoridade não precisa instaurar um processo administrativo formal para pedir o documento — uma solicitação em sede de monitoramento já é suficiente para gerar obrigação de resposta.

Em quais contextos a ANPD costuma solicitar o RIPD

Fiscalização de ofício

A ANPD possui competência para iniciar investigações por iniciativa própria, sem depender de denúncia ou reclamação. Nesses casos, o órgão normalmente seleciona setores ou controladores com base em critérios de risco sistêmico: volume de dados tratados, perfil dos titulares (crianças, idosos, pacientes), natureza das operações (scoring, vigilância, decisões automatizadas).

Durante uma fiscalização de ofício, o RIPD é um dos primeiros documentos requisitados porque permite à autoridade compreender rapidamente se o controlador mapeou os riscos e implementou salvaguardas proporcionais. A ausência do documento — ou a entrega de algo genérico — já sinaliza maturidade insuficiente em privacidade.

Denúncia de titular de dados

Qualquer pessoa pode registrar reclamação na ANPD contra um controlador. Quando a denúncia envolve tratamento com potencial de dano significativo — como uso indevido de dados sensíveis, perfilamento sem base legal clara ou compartilhamento não autorizado —, a autoridade pode solicitar o RIPD como parte da apuração.

Nesse cenário, o documento serve para a ANPD verificar se o risco apontado pelo titular foi previamente identificado pelo controlador e se medidas adequadas foram tomadas. A ausência do RIPD, nesse momento, agrava a posição da empresa: indica não apenas o problema relatado, mas também a falha na governança preventiva.

Setores e operações de alto risco

A regulamentação da ANPD e as diretrizes do Comitê Gestor já identificam categorias de tratamento que, por natureza, exigem atenção redobrada: dados de saúde em larga escala, informações financeiras usadas em decisões de crédito automatizadas, dados biométricos, monitoramento contínuo de comportamento online, tratamento de dados de crianças e adolescentes.

Controladores que operam nessas categorias estão no radar prioritário da fiscalização. Empresas de healthtechs, fintechs, adtechs e plataformas digitais com base de usuários expressiva devem considerar a solicitação do RIPD não como hipótese remota, mas como evento de alta probabilidade no médio prazo.

Grandes incidentes de segurança

Quando ocorre um vazamento de dados de escala relevante — seja por violação externa, erro interno ou falha de terceiro —, a ANPD abre processo de apuração. O RIPD é um dos documentos centrais dessa análise, pois permite à autoridade verificar se o incidente ocorreu em uma operação cujos riscos haviam sido previamente avaliados e se as medidas de mitigação adotadas eram adequadas ao nível de risco identificado.

A lógica é direta: se o controlador não tinha RIPD para uma operação de alto risco que resultou em incidente, fica difícil argumentar que adotou “medidas técnicas e administrativas aptas a proteger os dados pessoais”, conforme exige o artigo 46 da LGPD. A ausência do documento fortalece a narrativa de negligência na fiscalização.

Prazo de resposta quando a ANPD solicita o RIPD

A LGPD não fixa um prazo único para resposta às solicitações da ANPD. O prazo é estabelecido pela própria autoridade no ato da requisição, levando em conta a complexidade do caso e a urgência da apuração. Na prática regulatória observada até agora, os prazos costumam variar entre 10 e 30 dias corridos.

Em situações de incidente grave com impacto imediato a titulares, a ANPD pode estabelecer prazos mais curtos — às vezes de 72 horas para uma resposta inicial e prazo complementar para documentação completa. Já em fiscalizações de monitoramento setorial, o prazo tende a ser mais dilatado.

O ponto crítico aqui é que empresas que precisam elaborar o RIPD após receber a solicitação — em vez de apenas localizá-lo e revisá-lo — ficam em desvantagem significativa. Produzir um documento robusto em 10 dias, enquanto a operação continua e o jurídico gerencia a comunicação com a autoridade, é um cenário de alto estresse e resultado incerto.

O que a ANPD analisa ao receber o RIPD

A ANPD não recebe o RIPD como mera formalidade documental. A análise é substantiva e foca em alguns eixos centrais.

Proporcionalidade entre risco e medidas: A autoridade verifica se os riscos identificados no relatório são compatíveis com a escala e natureza do tratamento, e se as medidas de mitigação descritas são proporcionais à gravidade desses riscos. Um RIPD que identifica riscos altos mas descreve apenas medidas genéricas (“criptografia e controle de acesso”) sem detalhamento levanta questionamentos.

Atualidade do documento: RIPD elaborado há três anos para uma operação que evoluiu significativamente — novos sistemas, novos parceiros, novas finalidades — pode ser considerado insuficiente. A ANPD avalia se o documento reflete a realidade atual do tratamento.

Coerência com as práticas declaradas: O que está documentado no RIPD deve ser consistente com o que a empresa declara em sua política de privacidade, nos termos de uso e nas respostas aos titulares. Contradições entre documentos indicam ou que o RIPD foi elaborado para cumprir tabela sem refletir a operação real, ou que as práticas declaradas publicamente divergem do que de fato ocorre.

Identificação da base legal e da necessidade do tratamento: O documento deve demonstrar que o controlador avaliou a necessidade e proporcionalidade do tratamento — não apenas que ele é tecnicamente possível, mas que é justificável em relação à finalidade declarada.

Consulta a partes interessadas: Em alguns contextos, especialmente tratamentos de grande escala que afetam grupos vulneráveis, a ANPD pode questionar se o controlador realizou algum processo de consulta a titulares ou representantes antes de implementar a operação. Isso ainda não é requisito formal consolidado no Brasil, mas alinha-se com boas práticas internacionais que a autoridade tende a observar.

Consequências de não ter o documento ou entregá-lo incompleto

A LGPD prevê um conjunto de sanções administrativas no artigo 52, aplicáveis pela ANPD após processo regular. A ausência do RIPD ou a entrega de versão flagrantemente insuficiente pode fundamentar diferentes tipos de penalidade.

Advertência com prazo para adequação: Na primeira ocorrência, especialmente para controladores de menor porte, a ANPD tende a aplicar advertência com indicação de medidas corretivas e prazo para implementação. Essa sanção, embora não envolva multa imediata, cria um registro formal de infração e inicia um ciclo de monitoramento mais próximo.

Multa simples: Pode chegar a 2% do faturamento da empresa no Brasil no seu último exercício, limitada a R$ 50 milhões por infração. A ausência do RIPD em contexto de tratamento de alto risco, especialmente quando combinada a um incidente ou denúncia fundamentada, eleva a probabilidade de aplicação dessa sanção.

Multa diária: Em caso de descumprimento de prazo fixado pela ANPD para entrega do documento ou para implementação de medidas corretivas, a autoridade pode aplicar multa diária, observado o mesmo limite de R$ 50 milhões.

Publicização da infração: A ANPD pode tornar pública a decisão sancionatória. Para empresas B2C com marca relevante, essa sanção muitas vezes gera impacto reputacional superior ao valor da multa.

Bloqueio ou eliminação dos dados: Em situações mais graves — tratamento sem base legal adequada confirmado após análise do RIPD ou sua ausência —, a autoridade pode determinar bloqueio temporário ou eliminação dos dados relacionados à operação irregular.

É importante notar que a ANPD aplica sanções de forma graduada, considerando boa-fé do controlador, adoção de programa de governança, colaboração na apuração e porte do agente. Isso não significa que a ausência do RIPD seja tratada com leveza — significa que a postura colaborativa e a demonstração de esforço genuíno de adequação influenciam a calibragem da penalidade.

Como se preparar preventivamente para uma eventual solicitação

Mapeie e priorize as operações que exigem RIPD

Nem toda atividade de tratamento exige RIPD de mesma profundidade. A priorização deve considerar: volume de titulares afetados, natureza dos dados (sensíveis têm prioridade automática), uso de decisão automatizada, compartilhamento com terceiros e tratamento de grupos vulneráveis. Concentre esforço de elaboração nas operações de maior exposição regulatória primeiro.

Mantenha os documentos datados, versionados e acessíveis

Um RIPD que não tem data de elaboração, não registra quem o elaborou e não evidencia revisões periódicas perde boa parte de seu valor em uma fiscalização. A ANPD precisa verificar não apenas o conteúdo, mas a seriedade do processo que gerou o documento. Controle de versão, assinatura do DPO (ou responsável equivalente) e registro das revisões são elementos básicos de credibilidade documental.

Estabeleça ciclo de revisão vinculado a mudanças na operação

O RIPD precisa refletir a operação real. Mudanças relevantes — novo fornecedor de infraestrutura, nova finalidade para os dados, expansão de base de usuários, implementação de analytics comportamental — devem disparar revisão do documento. Vincule esse processo ao change management da área de tecnologia e ao fluxo de onboarding de fornecedores.

Garanta que o DPO e o jurídico saibam onde os documentos estão

Parece óbvio, mas é recorrente: em situações de fiscalização, a empresa perde tempo precioso localizando documentos dispersos em drives pessoais, e-mails ou sistemas sem organização adequada. O repositório central de documentação de privacidade — com acesso controlado e localização clara — é parte da prontidão regulatória.

Simule o cenário de solicitação antes que ele ocorra

Realize pelo menos uma vez ao ano um exercício interno de “simulação de fiscalização”: a ANPD solicitou os RIPDs das três principais operações de tratamento da empresa. Qual é o tempo de resposta interno? O documento entregue reflete a operação atual? O jurídico consegue defender as escolhas documentadas? Esse exercício revela lacunas antes que a autoridade as revele.

Documente a metodologia de avaliação de risco

O RIPD é mais defensável quando fica claro que a empresa seguiu uma metodologia consistente de avaliação de risco — não apenas listou ameaças genéricas. Referenciar frameworks reconhecidos (como os guias da própria ANPD, do CNIL francês ou do ICO britânico) na metodologia adotada demonstra que o processo foi fundamentado, não improvisado.

Próximos passos: como avaliar sua prontidão regulatória em relação ao RIPD

Antes de concluir que sua empresa está adequada, responda a estas perguntas com evidência documental — não apenas com percepção:

• Existe inventário das operações de tratamento que já passaram por avaliação de necessidade de RIPD?
• As operações classificadas como alto risco têm RIPD elaborado, datado e versionado?
• Os documentos existentes foram revisados nos últimos 12 meses ou após mudança relevante na operação?
• O DPO (ou responsável pela privacidade) consegue localizar e apresentar qualquer RIPD em menos de 2 horas?
• Existe processo definido para revisão de RIPD quando novos fornecedores ou tecnologias são incorporados?
• O conteúdo dos RIPDs é consistente com as políticas de privacidade públicas e com as práticas reais de tratamento?

Cada “não” ou “não sei” nessa lista representa uma vulnerabilidade real em caso de solicitação da ANPD. A janela para endereçar essas lacunas é antes da solicitação — não durante.