O RIPD — Relatório de Impacto à Proteção de Dados Pessoais — é exigido pela LGPD sempre que o tratamento puder gerar riscos significativos aos titulares. A seguir, veja como ele ficaria preenchido na prática, usando um caso concreto e realista.

O cenário: Motor de recomendação por IA em e-commerce

A empresa fictícia usada neste exemplo é a Mercadoria S.A., varejista online com operação nacional, que decidiu implementar um sistema de recomendação de produtos baseado em inteligência artificial. O sistema analisa o histórico de navegação, cliques, tempo de permanência em páginas e histórico de compras para sugerir produtos personalizados em tempo real.

O tratamento envolve perfis comportamentais contínuos de milhões de usuários, decisões automatizadas que afetam a experiência de compra e potencial inferência de dados sensíveis a partir do comportamento de consumo. Isso o enquadra claramente como tratamento de alto risco — exigindo o RIPD antes do início da operação.

O que segue é como cada seção do relatório ficaria preenchida pela equipe de privacidade da Mercadoria S.A.

Seção 1 — Descrição do tratamento

Esta é a seção mais importante para contextualizar os riscos. O preenchimento deve ser específico o suficiente para que alguém externo consiga entender o fluxo completo sem precisar de documentação adicional.

Exemplo de texto preenchido pela Mercadoria S.A.:

“O tratamento consiste na coleta contínua de dados comportamentais de usuários logados e não logados na plataforma de e-commerce, incluindo: páginas de produto visualizadas, tempo de permanência por página, itens adicionados e removidos do carrinho, histórico de compras concluídas, padrão de navegação por categoria e palavras-chave pesquisadas internamente.

Esses dados alimentam um modelo de machine learning (filtragem colaborativa + embeddings comportamentais) hospedado em infraestrutura de nuvem privada no Brasil. O modelo gera um vetor de perfil para cada usuário, atualizado a cada sessão, que é utilizado para ordenar e personalizar o carrossel de recomendações exibido na home, nas páginas de produto e no carrinho. O processo é integralmente automatizado, sem revisão humana antes da exibição.

Os dados são retidos por 24 meses para fins de retreinamento do modelo. O acesso ao modelo e aos vetores de perfil é restrito às equipes de dados e engenharia. Nenhum dado é compartilhado com terceiros para este tratamento específico.”

Note que o texto não usa linguagem técnica de ML desnecessária, mas é preciso o suficiente para identificar onde estão os pontos de risco: decisão automatizada, retenção prolongada, perfis comportamentais persistentes.

Seção 2 — Dados pessoais envolvidos e titulares

Aqui a equipe precisa mapear quais dados são tratados, de quem e em qual volume aproximado. Categorias genéricas como “dados de uso” não são suficientes.

Exemplo de texto preenchido:

Categorias de dados:
— Identificadores: ID de usuário interno, cookie de sessão, endereço de e-mail (para usuários logados)
— Comportamentais: histórico de navegação por produto e categoria, sequência de cliques, tempo por página, buscas internas, itens adicionados ao carrinho
— Transacionais: histórico de compras (produto, categoria, valor, frequência)
— Inferidos: vetor de perfil comportamental gerado pelo modelo (não é dado coletado diretamente — é dado derivado)

Titulares:
— Consumidores cadastrados na plataforma: aproximadamente 8,2 milhões de usuários ativos
— Visitantes não cadastrados rastreados via cookie: volume variável, estimado em 3 a 5 milhões de sessões únicas por mês

Dados sensíveis potencialmente inferidos:
O histórico de compras pode revelar, de forma não intencional, informações sobre saúde (ex.: compras em categorias de suplementos, produtos para bebês, itens de acessibilidade), orientação religiosa (ex.: produtos específicos de datas comemorativas de diferentes religiões) ou condição financeira. O modelo não usa essas categorias como input direto, mas pode utilizá-las de forma latente nos embeddings.”

Esse último parágrafo é frequentemente omitido em RIPDs mal elaborados. Dados inferidos e dados sensíveis latentes precisam constar explicitamente — e a Mercadoria S.A. fez isso corretamente.

Seção 3 — Base legal aplicável

A escolha da base legal para recomendação por IA em e-commerce é um dos pontos mais debatidos em privacidade. Há duas candidatas principais neste cenário: legítimo interesse e consentimento.

Exemplo de texto preenchido:

Base legal principal: Legítimo interesse (art. 7º, IX da LGPD)

Justificativa:
“O tratamento atende ao interesse legítimo da Mercadoria S.A. em oferecer uma experiência de compra personalizada e relevante, o que é esperado e tecnicamente compreendido pelo consumidor que utiliza uma plataforma de e-commerce. O tratamento também beneficia o titular ao reduzir o esforço de descoberta de produtos.

Foi conduzido o teste de balanceamento (legítimo interesse legítimo vs. direitos e expectativas do titular): (i) o interesse perseguido é concreto e proporcional; (ii) o tratamento é necessário para atingi-lo; (iii) não há evidência de que os titulares se oporiam ao tratamento se bem informados — considerando o contexto de uma plataforma de e-commerce, onde personalização é prática de mercado amplamente disseminada.

Exceção: para usuários que identificamos como potencialmente menores de idade com base em dados cadastrais, o tratamento de personalização é suspenso até obtenção de consentimento parental verificável. Para esses perfis, a base legal é o consentimento (art. 7º, I, c/c art. 14 da LGPD).”

O ponto sobre menores é crítico e muitas empresas deixam de fora do RIPD. Documentar a exceção é parte da demonstração de responsabilidade.

Seção 4 — Riscos identificados

Esta seção deve listar riscos reais e específicos ao tratamento descrito — não uma lista genérica copiada de template. O nível de detalhe aqui determina a qualidade do RIPD.

A Mercadoria S.A. identificou cinco riscos principais para este tratamento:

Risco 1 — Discriminação por perfil inferido

“O modelo pode criar feedback loops que reforçam padrões históricos de consumo, limitando a exposição de determinados perfis a categorias de produtos com maior margem. Usuários com histórico associado a menor poder aquisitivo podem receber recomendações consistentemente diferentes dos demais, caracterizando discriminação indireta. Probabilidade: média. Severidade: alta.“

Risco 2 — Exposição involuntária de dados sensíveis inferidos

“O vetor de perfil comportamental pode conter, de forma latente, informações que se enquadram como dados sensíveis (saúde, religião). Se esse vetor for acessado indevidamente ou compartilhado em parceria futura, haverá tratamento de dados sensíveis sem base legal específica. Probabilidade: baixa. Severidade: muito alta.“

Risco 3 — Retenção excessiva de dados comportamentais

“O período de retenção de 24 meses para retreinamento do modelo supera o que seria necessário para a finalidade imediata de personalização em tempo real. Isso aumenta a superfície de risco em caso de incidente de segurança. Probabilidade: baixa (incidente). Severidade: alta (volume de dados expostos).“

Risco 4 — Ausência de revisão humana em decisões automatizadas

“O modelo define, de forma inteiramente automatizada, quais produtos são exibidos e em qual ordem. Embora não seja uma decisão com impacto jurídico direto, pode influenciar significativamente o comportamento de compra. Não há canal estruturado para que o titular questione ou conteste a lógica de personalização. Probabilidade: alta (ausência do canal é um fato). Severidade: média.“

Risco 5 — Tracking de usuários não cadastrados sem consentimento explícito

“Visitantes não logados são rastreados via cookie de sessão. O banner de consentimento atual não deixa claro que os dados coletados alimentam um modelo de personalização — menciona apenas ‘melhoria da experiência’. Isso pode não atender ao requisito de transparência da LGPD. Probabilidade: alta (situação atual). Severidade: média.“

Seção 5 — Medidas de mitigação adotadas

Para cada risco identificado, o RIPD precisa registrar qual medida foi ou será adotada, com responsável e prazo. Medidas vagas como “reforçar a segurança” não são aceitáveis nessa seção.

Exemplo de preenchimento para os cinco riscos:

Mitigação — Risco 1 (discriminação por perfil):
“Implementação de auditoria de fairness no pipeline de recomendação, com avaliação trimestral de disparidade de exposição entre segmentos de usuários. Responsável: Head de Data Science. Prazo: antes do go-live. Critério de sucesso: diferença de exposição por categoria entre quintis de perfil inferior a 15%.”

Mitigação — Risco 2 (dados sensíveis latentes):
“Proibição contratual e técnica (controle de acesso por role) de exportação dos vetores de perfil para qualquer sistema terceiro. Os vetores são armazenados em ambiente isolado e não compõem nenhum produto de dados compartilhado. Revisão anual do controle de acesso pelo time de segurança. Responsável: CISO.”

Mitigação — Risco 3 (retenção excessiva):
“Redução do período de retenção de dados comportamentais brutos de 24 para 12 meses, com implementação de rotina de pseudonimização automática a partir do 6º mês de inatividade do usuário. O modelo será retreinado com janela deslizante de 12 meses. Responsável: Engenharia de Dados. Prazo: 60 dias após aprovação do RIPD.”

Mitigação — Risco 4 (ausência de revisão humana):
“Inclusão de opção ‘Não quero recomendações personalizadas’ na área de preferências da conta, com efeito imediato sobre o sistema. Para usuários que exercerem essa opção, o modelo é substituído por curadoria editorial. Documentação da lógica do modelo disponível em linguagem acessível na política de privacidade. Responsável: Produto. Prazo: go-live.”

Mitigação — Risco 5 (tracking sem consentimento claro):
“Revisão do texto do banner de cookies para mencionar explicitamente a personalização de recomendações como finalidade do rastreamento comportamental. Adição de camada granular de consentimento permitindo aceitar cookies funcionais e rejeitar cookies de personalização separadamente. Para usuários que recusarem cookies de personalização, o modelo não é ativado. Responsável: Jurídico + Produto. Prazo: 30 dias.”

Seção 6 — Conclusão e aprovação

O RIPD da Mercadoria S.A. conclui que o tratamento pode ser realizado, desde que as medidas de mitigação sejam implementadas nos prazos estabelecidos. O documento é assinado pelo Encarregado de Dados (DPO), pelo Head de Dados e pelo Diretor Jurídico, e passa a integrar o repositório de governança de dados da empresa.

“Após análise dos riscos identificados e das medidas de mitigação previstas, esta equipe conclui que o tratamento descrito pode ser iniciado, condicionado à implementação das medidas dos Riscos 3, 4 e 5 antes do go-live e das medidas dos Riscos 1 e 2 como requisitos de continuidade operacional sujeitos a auditoria periódica. O RIPD deve ser revisado em caso de mudança significativa na arquitetura do modelo, na finalidade do tratamento ou no volume de dados processados.”

Esse tipo de conclusão — que autoriza com condições, em vez de simplesmente aprovar ou reprovar — é o formato mais honesto e defensável de encerramento.

Como avaliar se o seu RIPD está no nível certo

Antes de finalizar um RIPD de sistema similar ao descrito aqui, passe por esta checklist de avaliação rápida:

Descrição do tratamento: qualquer pessoa de fora da equipe técnica consegue entender o fluxo completo só lendo essa seção? Se não, está incompleto.

Dados envolvidos: você mapeou dados inferidos e não apenas dados coletados diretamente? Vetores de ML, scores e perfis derivados são dados pessoais e precisam constar.

Dados sensíveis latentes: o tratamento pode revelar indiretamente saúde, religião, orientação sexual ou condição financeira? Se sim, isso precisa estar explícito — mesmo que não seja a finalidade.

Base legal: você fez o teste de balanceamento de legítimo interesse por escrito, ou apenas declarou que ele se aplica? Declarar sem justificar não basta.

Riscos: os riscos listados são específicos para esse sistema ou são genéricos o suficiente para servir para qualquer tratamento de dados? Se for o segundo caso, refaça.

Mitigações: cada medida tem responsável nomeado, prazo e critério de sucesso? Medidas sem prazo não são compromissos — são intenções.

Revisão prevista: o documento define gatilhos para revisão (mudança de finalidade, novo parceiro de dados, mudança na arquitetura do modelo)? Um RIPD sem data de validade vira peça de museu rapidamente.

Se algum desses pontos não estiver coberto, o RIPD ainda está incompleto — independentemente de quantas páginas ele tiver.