Estrutura do RIPD: seções obrigatórias e o que preencher em cada uma

O RIPD não tem um modelo oficial único publicado pela ANPD, o que gera muita confusão sobre o que de fato precisa constar no documento. A referência mais sólida é o Guia Orientativo de Segurança da Informação publicado pela própria autoridade, combinado com as diretrizes do GDPR (Article 35) e frameworks como o da CNIL francesa. O resultado prático é uma estrutura de oito blocos que cobre tudo o que um relatório completo precisa ter.

As seções abaixo seguem essa lógica — cada uma com descrição do campo, orientação de preenchimento e um exemplo curto de texto pronto para adaptar.

Bloco 1 — Identificação do controlador e do encarregado

Este bloco responde “quem é responsável por este documento e por este tratamento”. É a capa funcional do RIPD e precisa ser preciso o suficiente para que qualquer auditor identifique o responsável sem precisar buscar informações externas.

Campos mínimos:

• Controlador: Razão social, CNPJ, endereço da sede, representante legal com nome e cargo.
• Encarregado (DPO): Nome completo, e-mail de contato publicado, telefone ou canal de atendimento. Se o encarregado for terceirizado ou compartilhado entre empresas do grupo, descreva isso aqui.
• Área responsável pelo tratamento: Departamento ou célula que conduz a atividade mapeada (ex.: marketing, RH, TI).
• Versão e data: Número de versão do documento, data de criação e data da última revisão. Use versionamento semântico simples (v1.0, v1.1, v2.0).

Exemplo de preenchimento:
Controlador: Empresa XYZ Serviços Digitais Ltda. | CNPJ 00.000.000/0001-00 | Rua das Flores, 100, São Paulo-SP | Representante legal: João Silva, Diretor-Executivo. Encarregado: Maria Souza | privacidade@empresaxyz.com.br. Área responsável: Diretoria de Marketing. Versão: v1.2 | Criado em: 10/01/2024 | Revisado em: 15/03/2024.

Bloco 2 — Descrição do tratamento

Aqui você descreve exatamente o que está sendo avaliado. Um RIPD pode cobrir uma única operação de tratamento (ex.: programa de fidelidade) ou um conjunto de operações correlacionadas. A escolha do escopo precisa estar explícita.

Campos mínimos:

• Nome da operação/atividade: Título curto e descritivo.
• Finalidade declarada: Para que os dados são usados — seja específico, não use finalidades genéricas como “melhoria de serviços”.
• Descrição do fluxo de tratamento: Coleta → armazenamento → processamento → compartilhamento → descarte. Pode ser em texto ou em diagrama referenciado como anexo.
• Sistemas e tecnologias envolvidas: Plataformas, bancos de dados, integrações (sem necessidade de detalhe técnico excessivo, mas suficiente para identificar onde os dados transitam).
• Período de retenção previsto: Prazo de guarda dos dados antes do descarte ou anonimização.

Exemplo de preenchimento:
Operação: Segmentação comportamental para envio de ofertas personalizadas por e-mail. Finalidade: Identificar padrões de compra para envio de comunicações relevantes ao perfil de cada cliente. Fluxo: Dados coletados no e-commerce via cookie e cadastro → armazenados em CDP → processados por modelo de propensão → exportados para plataforma de e-mail marketing → sem compartilhamento com terceiros. Sistemas: CDP interno, plataforma de e-mail (SaaS). Retenção: 24 meses após última interação.

Bloco 3 — Mapeamento de dados e titulares

Este bloco detalha quais dados são tratados, de quem são e em que quantidade. É comum ser preenchido de forma vaga — e esse é um dos erros que mais invalidam um RIPD na prática.

Campos mínimos:

• Categorias de dados pessoais: Liste por tipo (identificação, contato, financeiro, comportamental, sensível). Para dados sensíveis, destaque explicitamente.
• Titulares envolvidos: Quem são (consumidores, colaboradores, menores, pacientes). Se houver grupos vulneráveis, sinalize.
• Volume estimado de titulares: Número aproximado ou faixa (ex.: 50.000 a 100.000 titulares ativos).
• Origem dos dados: Fornecidos pelo próprio titular, coletados automaticamente, recebidos de terceiros/parceiros.

Exemplo de preenchimento:
Categorias: nome completo, e-mail, histórico de navegação, histórico de compras, score de propensão calculado internamente. Não há dados sensíveis nesta operação. Titulares: consumidores adultos cadastrados na plataforma. Volume: aproximadamente 80.000 titulares ativos. Origem: dados fornecidos no cadastro + dados coletados automaticamente por cookies com consentimento registrado.

Bloco 4 — Base legal e hipótese de tratamento

Não basta declarar a base legal — o RIPD precisa demonstrar por que aquela base se aplica àquela operação específica. Esse raciocínio é o que diferencia um documento consistente de uma declaração vazia.

Campos mínimos:

• Base legal aplicável (art. 7º ou art. 11 da LGPD): Identifique o inciso exato.
• Justificativa da base legal: Explique em 2 a 4 linhas por que essa base se aplica.
• Evidência de conformidade: Como a base legal é comprovada (ex.: registro de consentimento, cláusula contratual, obrigação legal referenciada).

Exemplo de preenchimento:
Base legal: Art. 7º, inciso I (consentimento). Justificativa: O titular foi informado sobre o uso de dados para personalização de ofertas no momento do cadastro e optou explicitamente por receber comunicações personalizadas. Evidência: Registro de consentimento armazenado no CDP com timestamp, versão do aviso de privacidade vigente e log de opt-in.

Bloco 5 — Necessidade e proporcionalidade

Este bloco é frequentemente omitido ou preenchido com frases genéricas, o que é um erro grave. Ele demonstra que o controlador avaliou se há formas menos invasivas de atingir a mesma finalidade.

Campos mínimos:

• Necessidade: Por que cada categoria de dado é indispensável para atingir a finalidade? Há dados que poderiam ser substituídos por dados menos sensíveis ou agregados?
• Proporcionalidade: O volume de dados e o período de retenção são compatíveis com a finalidade? Por quê?
• Alternativas consideradas: Quais outras abordagens foram avaliadas e por que foram descartadas.

Exemplo de preenchimento:
Necessidade: O histórico de compras é necessário para calcular propensão com precisão mínima aceitável; nome e e-mail são necessários para entrega da comunicação. Dados de localização geográfica foram considerados mas descartados por não agregarem valor ao modelo atual. Proporcionalidade: Retenção de 24 meses foi definida com base no ciclo de recompra médio do produto (18 meses) mais margem de 6 meses. Retenções maiores foram avaliadas e rejeitadas por ausência de justificativa de negócio.

Bloco 6 — Identificação e avaliação de riscos

Este é o núcleo técnico do RIPD. A avaliação precisa ser estruturada, não narrativa. Use uma matriz com critérios explícitos de probabilidade e impacto.

Campos mínimos:

• Lista de riscos identificados: Acesso não autorizado, vazamento, uso indevido, compartilhamento excessivo, perda de integridade, discriminação resultante do tratamento, entre outros relevantes à operação.
• Probabilidade: Escala definida (ex.: Baixa / Média / Alta) com critérios objetivos para cada nível.
• Impacto sobre os titulares: Consequências reais para as pessoas afetadas (financeiro, reputacional, físico, discriminação).
• Nível de risco residual: Resultado combinado de probabilidade × impacto após medidas de controle.

Formalize os critérios de probabilidade e impacto antes de preencher — se dois avaliadores diferentes chegam a resultados completamente distintos usando os mesmos dados, seus critérios estão vagos.

Bloco 7 — Medidas de mitigação

Para cada risco identificado no Bloco 6, este bloco registra as contramedidas técnicas e organizacionais adotadas ou planejadas. A estrutura deve ser rastreável: risco → medida → responsável → prazo → status.

Campos mínimos por medida:

• Risco endereçado: Referência ao risco do Bloco 6.
• Medida técnica ou organizacional: Descrição objetiva da contramedida (ex.: criptografia AES-256 em repouso, controle de acesso por perfil, treinamento periódico de equipes).
• Responsável pela implementação: Área ou cargo.
• Prazo de implementação: Data ou ciclo de revisão.
• Status: Implementada / Em andamento / Planejada.
• Risco residual após a medida: Reavaliação do nível de risco após a contramedida.

Não registre medidas que ainda não existem como se já estivessem implementadas. Isso compromete a credibilidade do documento e cria um passivo interno.

Bloco 8 — Plano de resposta a incidentes

O RIPD precisa referenciar como a organização age em caso de incidente envolvendo os dados mapeados. Não é necessário reproduzir o plano completo de IR — mas o documento deve deixar claro que ele existe, onde está e quem aciona.

Campos mínimos:

• Referência ao plano de IR vigente: Nome do documento, versão, localização (pasta, sistema de GRC).
• Critérios de notificação à ANPD: Em que condições esta operação específica geraria uma notificação obrigatória.
• Fluxo de comunicação interna: Quem aciona quem dentro da organização quando um incidente é identificado nesta operação.
• Prazo de notificação aos titulares: Conforme política interna de IR alinhada à LGPD.

Formato e ferramenta: planilha, documento ou software

A LGPD não exige formato específico. Na prática, a escolha depende da maturidade do programa de privacidade e do volume de RIPDs que a organização precisa manter.

Planilha (Google Sheets, Excel): Funciona bem para organizações com poucos RIPDs. Facilita versionamento manual e é de baixo custo. O problema é a falta de controle de acesso granular e a dificuldade de auditoria de alterações ao longo do tempo.

Documento estruturado (Google Docs, Word, Confluence): Adequado quando o RIPD precisa de narrativa mais detalhada. Permite aprovações via comentário e histórico de versões. Fica difícil de gerenciar quando o volume de documentos cresce.

Software especializado (plataformas de GRC e privacy management): Soluções como OneTrust, TrustArc, Privado.ai e outras consolidam o mapeamento de dados, o registro de atividades e o RIPD em um único ambiente com fluxos de aprovação, alertas de revisão e trilha de auditoria. O investimento faz sentido quando há mais de 15 a 20 RIPDs ativos ou quando o programa de privacidade é gerenciado por múltiplas áreas simultaneamente.

Independente do formato escolhido, estabeleça um ciclo de revisão documentado — o RIPD não é um documento estático. Qualquer mudança relevante na operação de tratamento (novo sistema, novo parceiro, nova finalidade) deve gerar uma revisão formal com nova versão e nova data.

Erros comuns que tornam o RIPD incompleto

1. Finalidade vaga: “Melhoria da experiência do usuário” não é finalidade — é categoria. Descreva o que exatamente será feito com os dados e qual resultado específico se busca.

2. Base legal sem justificativa: Marcar “legítimo interesse” ou “consentimento” sem explicar por que essa base se aplica àquela operação específica é insuficiente. O raciocínio precisa estar registrado.

3. Riscos genéricos sem critérios: “Risco de vazamento — alto” sem definir o que significa “alto” na escala adotada pela organização não tem valor analítico. Documente os critérios da matriz antes de pontuar.

4. Medidas de mitigação no futuro fictício: Registrar medidas como “implementadas” quando ainda são planejamentos cria inconsistência interna. Use o campo de status corretamente.

5. Ausência de versionamento: Um RIPD sem data de criação e sem histórico de revisões não permite saber se o documento é atual ou obsoleto. Qualquer sistema de controle de versão resolve isso.

6. Não cobrir grupos vulneráveis quando presentes: Se a operação envolve menores, idosos ou outros grupos vulneráveis identificados na LGPD, isso precisa estar explícito no Bloco 3 e refletido na avaliação de impacto do Bloco 6.

7. RIPD genérico usado para múltiplas operações: Um único RIPD cobrindo “todos os dados de clientes” ou “toda a operação de marketing” é quase sempre inútil. O nível de granularidade precisa ser suficiente para que as medidas de mitigação sejam acionáveis.

Checklist final: itens obrigatórios antes de fechar o documento

• ☐ Identificação completa do controlador com CNPJ e representante legal
• ☐ Encarregado identificado com canal de contato válido e público
• ☐ Versão e data de criação/revisão registradas
• ☐ Finalidade descrita de forma específica (não genérica)
• ☐ Fluxo completo de tratamento documentado (coleta → descarte)
• ☐ Categorias de dados listadas com identificação explícita de dados sensíveis (se houver)
• ☐ Titulares identificados com indicação de grupos vulneráveis (se aplicável)
• ☐ Base legal definida com inciso específico e justificativa de aplicação
• ☐ Análise de necessidade e proporcionalidade preenchida (não deixar em branco)
• ☐ Matriz de riscos com critérios explícitos de probabilidade e impacto
• ☐ Medidas de mitigação com responsável, prazo e status atual
• ☐ Risco residual reavaliado após medidas
• ☐ Referência ao plano de resposta a incidentes vigente
• ☐ Critérios de notificação à ANPD definidos para esta operação
• ☐ Ciclo de revisão definido e registrado no documento

Como avaliar se o seu RIPD está pronto

Antes de considerar o documento finalizado, aplique o teste do auditor externo: entregue o RIPD para alguém que não participou da operação de tratamento e peça que responda apenas lendo o documento: quem são os titulares, quais dados são usados, por que, com qual base legal, quais são os principais riscos e o que a empresa faz se algo der errado. Se essa pessoa não conseguir responder com clareza, o documento ainda tem lacunas.

Revise o RIPD sempre que houver mudança de sistema, novo operador envolvido, alteração de finalidade ou mudança de base legal. Documente cada revisão com changelog sumário — o que mudou, por que e quem aprovou.

Se você ainda não tem um inventário de atividades de tratamento consolidado, o RIPD ficará incompleto por definição: você não pode avaliar o que não está mapeado. O ponto de partida é sempre o registro de atividades de tratamento (RAT), que alimenta e justifica a abertura de cada RIPD.