O que é o RIPD

O Relatório de Impacto à Proteção de Dados Pessoais — conhecido pela sigla RIPD — é um documento interno que descreve os processos de tratamento de dados pessoais de uma organização e avalia os riscos que essas atividades representam para os direitos e liberdades dos titulares. Em outras palavras, é o instrumento pelo qual a empresa demonstra que pensou sistematicamente sobre privacidade antes de colocar (ou manter) um tratamento de dados em operação.

O conceito não nasceu com a LGPD. O RIPD é equivalente ao DPIA (Data Protection Impact Assessment) previsto no artigo 35 do GDPR europeu, e referências similares existem em legislações de países como Canadá, Reino Unido e Argentina. A convergência regulatória global em torno desse instrumento não é coincidência: trata-se de uma ferramenta reconhecida internacionalmente para operacionalizar o princípio da responsabilização e da prestação de contas (accountability).

No contexto brasileiro, o RIPD responde a uma lógica simples: não basta afirmar que se cumpre a lei — é preciso poder demonstrá-lo. O relatório é, portanto, tanto uma ferramenta de gestão de risco quanto uma evidência documental de conformidade.

Base legal: o que diz o artigo 38 da LGPD

A obrigação de elaborar o RIPD está prevista no artigo 38 da Lei 13.709/2018. O dispositivo determina que a Autoridade Nacional de Proteção de Dados (ANPD) pode solicitar ao controlador a elaboração de relatório de impacto à proteção de dados pessoais, especialmente quando o tratamento tiver como fundamento o legítimo interesse.

O parágrafo único do mesmo artigo define o conteúdo mínimo do documento: descrição dos tipos de dados coletados, metodologia utilizada para a coleta e para a garantia da segurança das informações, e análise do controlador com relação a medidas, salvaguardas e mecanismos de mitigação de risco adotados.

Dois pontos merecem atenção. Primeiro, o artigo menciona expressamente o legítimo interesse, mas a interpretação dominante — alinhada às orientações da própria ANPD — é que o RIPD se aplica a qualquer tratamento de alto risco, independentemente da base legal utilizada. Segundo, a redação “pode solicitar” não significa que o documento é facultativo: significa que a autoridade tem o poder de requisitá-lo a qualquer momento, o que torna sua existência prévia uma necessidade prática.

RIPD, Política de Privacidade e RoPA: qual é a diferença

Esses três instrumentos são frequentemente confundidos, mas atendem a propósitos distintos e se destinam a públicos diferentes.

Política de Privacidade

A política de privacidade é um documento externo, voltado ao titular dos dados. Seu objetivo é informar — de forma clara e acessível — quais dados são coletados, com que finalidade, por quanto tempo são retidos e quais são os direitos do titular. É um compromisso público, geralmente publicado no site ou no aplicativo da organização. Ela não analisa riscos nem descreve metodologias internas.

RoPA (Registro de Operações de Tratamento)

O RoPA é um inventário interno das atividades de tratamento. Funciona como um mapa: lista todas as operações que envolvem dados pessoais — quais dados, por quem são tratados, com qual finalidade, por quanto tempo, quem tem acesso, para onde são transferidos. O RoPA responde à pergunta “o que fazemos com dados?”. Ele é a base operacional da conformidade, mas não avalia o impacto de cada operação sobre os titulares.

RIPD

O RIPD vai além do inventário. Ele parte das operações catalogadas no RoPA e, para aquelas que apresentam alto risco, analisa os impactos potenciais sobre os direitos dos titulares e documenta as medidas adotadas para mitigar esses riscos. Enquanto o RoPA descreve, o RIPD avalia. Enquanto a política de privacidade informa o titular, o RIPD presta contas à autoridade e à própria governança interna da organização.

Em termos práticos: uma empresa pode ter uma política de privacidade impecável e um RoPA completo sem ter um único RIPD elaborado. Esses documentos se complementam, mas não se substituem.

Quando o RIPD é obrigatório e quando é recomendado

A LGPD não estabelece uma lista taxativa de situações que obrigam a elaboração do RIPD. Essa lacuna é preenchida pelas orientações da ANPD e pela interpretação sistemática da lei. O critério central é o risco elevado que o tratamento representa para os titulares.

Situações que configuram alto risco

A ANPD e a doutrina especializada convergem em apontar como tratamentos de alto risco — e portanto candidatos prioritários ao RIPD — aqueles que envolvem:

• Dados sensíveis em larga escala: saúde, biometria, origem racial ou étnica, convicções religiosas, dados de crianças e adolescentes.
• Decisões automatizadas com impacto significativo sobre o titular, como scoring de crédito, análise de elegibilidade para emprego ou concessão de benefícios.
• Monitoramento sistemático de comportamento, localização ou comunicações de titulares, incluindo uso extensivo de cookies de rastreamento e tecnologias similares.
• Transferências internacionais para países sem nível adequado de proteção, especialmente em volumes expressivos.
• Compartilhamento com terceiros em escala, onde o controlador perde controle direto sobre o dado após a transferência.
• Novos usos de tecnologia que ainda não foram avaliados sob a perspectiva de privacidade — inteligência artificial, reconhecimento facial, análise preditiva.

Quando é recomendado mesmo sem obrigatoriedade clara

Mesmo em operações que não se enquadram diretamente nos critérios de alto risco, o RIPD é uma boa prática em situações como: lançamento de novos produtos ou serviços que envolvam coleta de dados, mudanças relevantes em sistemas legados, fusões e aquisições que impliquem transferência de base de dados, e implementação de novas tecnologias de marketing baseadas em dados comportamentais.

A lógica do “privacy by design” — princípio incorporado ao artigo 46 da LGPD — sugere que a avaliação de impacto deve acontecer antes do início do tratamento, não depois que o risco já se materializou.

O papel do encarregado (DPO) na elaboração do RIPD

O encarregado pelo tratamento de dados — figura exigida pelo artigo 41 da LGPD e comumente referido pela sigla DPO, do inglês Data Protection Officer — ocupa posição central no processo de elaboração do RIPD, mas sua função não é a de autor exclusivo do documento.

O RIPD é construído com informações que estão distribuídas pela organização: as áreas de negócio conhecem os processos, o jurídico conhece os contratos com terceiros, a TI conhece a infraestrutura, o RH conhece o ciclo de vida dos dados de colaboradores. Cabe ao DPO coordenar esse esforço multidisciplinar, garantir que a metodologia utilizada seja consistente e que as conclusões do relatório estejam embasadas.

Além da coordenação, o encarregado tem a responsabilidade de revisar o RIPD periodicamente — especialmente quando há mudanças relevantes no tratamento — e de ser o ponto de contato caso a ANPD solicite o documento. Em organizações menores, onde o DPO acumula funções, é comum que ele também atue como facilitador das entrevistas com as áreas e redator do relatório. Em organizações maiores, essa função de redação pode ser delegada a consultores externos, mas a responsabilidade formal permanece com o encarregado.

Um RIPD elaborado sem a participação do DPO — ou em paralelo a ele — é um sinal de disfunção na governança de privacidade. O encarregado precisa conhecer o conteúdo do documento que poderá ser solicitado pela autoridade reguladora a qualquer momento.

O que o documento contém: visão geral

Sem entrar no detalhamento seção a seção — que exige um guia próprio —, o RIPD tipicamente cobre quatro grandes blocos de informação.

O primeiro é a descrição do tratamento: o que está sendo feito com os dados, quais categorias de dados estão envolvidas, quem são os titulares, quais são as finalidades declaradas e qual é a base legal que fundamenta cada operação.

O segundo bloco trata da necessidade e proporcionalidade: avalia se os dados coletados são de fato necessários para a finalidade declarada, se o período de retenção é adequado, se há alternativas menos intrusivas e se os titulares têm meios reais de exercer seus direitos.

O terceiro bloco é a avaliação de riscos: identifica as ameaças concretas ao tratamento — acesso não autorizado, uso indevido, discriminação, danos financeiros ou reputacionais ao titular — e estima a probabilidade e o impacto de cada uma.

O quarto bloco documenta as medidas de mitigação: controles técnicos (criptografia, controle de acesso, anonimização), controles organizacionais (políticas internas, treinamentos, contratos com operadores) e medidas residuais que permanecem após a aplicação dos controles.

O documento também costuma incluir a conclusão sobre a viabilidade do tratamento à luz dos riscos identificados — e, quando os riscos residuais são elevados, pode recomendar a consulta prévia à ANPD, mecanismo previsto no artigo 38 da própria lei.

Consequências de não ter um RIPD adequado

A ausência do RIPD — ou a existência de um documento superficial, genérico e desatualizado — expõe a organização a diferentes tipos de consequência, que vão além das sanções administrativas da ANPD.

No plano regulatório, uma empresa que não consegue apresentar o RIPD quando solicitada demonstra, na prática, que não tem controle sobre seus processos de tratamento. Isso agrava a avaliação da autoridade em qualquer investigação em curso e pode transformar um incidente pontual em um processo administrativo mais amplo. As sanções previstas na LGPD incluem advertência, multa de até 2% do faturamento (limitada a R$ 50 milhões por infração) e — em casos graves — proibição parcial ou total do tratamento.

No plano civil, a ausência de análise de impacto pode ser usada como evidência de negligência em processos movidos por titulares que sofreram danos decorrentes de um tratamento inadequado. Demonstrar que a organização avaliou os riscos previamente e adotou medidas proporcionais é um argumento relevante de defesa.

No plano reputacional e comercial, clientes corporativos — especialmente multinacionais e empresas com operações na Europa — passaram a incluir a exigência de RIPD em seus processos de due diligence de fornecedores. Não ter o documento pode significar perder contratos ou ser excluído de processos de qualificação.

Por fim, do ponto de vista interno, a ausência de RIPD é frequentemente sintoma de um problema maior: a organização não mapeou adequadamente suas atividades de tratamento, não identificou seus dados sensíveis e não avaliou seus riscos de segurança da informação. Quando um incidente ocorre nesse cenário, o impacto tende a ser mais grave e a resposta, mais lenta e desordenada.

Como aprofundar o tema

Este artigo cobre o RIPD em sua dimensão conceitual — o que é, por que existe e qual é o seu lugar no ecossistema de conformidade com a LGPD. Para quem precisa ir além da compreensão inicial, o cxstack.org conta com outros três conteúdos do mesmo cluster: um template comentado com guia prático de preenchimento seção a seção, um artigo específico sobre como a ANPD solicita e avalia o RIPD na prática, e um exemplo concreto de como estruturar o relatório para um caso real. Cada um desses materiais pode ser acessado diretamente no site.