Relatório de impacto à proteção de dados (RIPD): quando e como fazer
O RIPD documenta os riscos de um tratamento e as medidas para reduzi-los. É instrumento de accountability e pode ser exigido pela ANPD.
O relatório de impacto à proteção de dados pessoais, o RIPD, é a documentação que descreve os tratamentos que podem gerar riscos às liberdades e aos direitos das pessoas, junto das medidas para reduzir esses riscos. O termo aparece no artigo 5, inciso XVII, e o artigo 38 permite que a ANPD determine que o controlador o elabore. É o equivalente brasileiro ao DPIA do regulamento europeu.
O RIPD confunde muita gente porque a lei não fixa uma lista fechada de situações que o exigem automaticamente. Este guia esclarece quando fazer sentido preparar um, o que ele contém e por que ele vale como ferramenta de governança mesmo antes de a autoridade pedir.
O que é o RIPD e o que diz a lei
O RIPD é um documento de análise. Ele descreve as operações de tratamento, os tipos de dados envolvidos, a metodologia usada para tratar e as medidas de segurança e os mecanismos de mitigação de risco que a empresa adota. O objetivo é olhar para um tratamento com potencial de risco e demonstrar, de forma estruturada, que a empresa avaliou esse risco e agiu para reduzi-lo.
O artigo 38 diz que a ANPD poderá determinar ao controlador que elabore o relatório, inclusive de dados sensíveis, referente às suas operações. A palavra poderá é importante: a lei coloca o RIPD como algo que a autoridade pode exigir, e não como um documento que toda empresa precisa produzir para todo tratamento.
Quando faz sentido preparar um RIPD
Como a LGPD não traz uma lista fechada de gatilhos, o critério prático é o risco. Tratamentos que envolvem dados sensíveis em escala, monitoramento sistemático de pessoas, decisões automatizadas com impacto relevante, uso de novas tecnologias ou dados de crianças e adolescentes são candidatos naturais a um RIPD, porque concentram risco às liberdades e aos direitos.
Preparar o relatório antes de a autoridade pedir tem valor. Se a ANPD questionar um tratamento de maior risco, ter o RIPD pronto demonstra que a empresa avaliou o impacto com antecedência, o que é exatamente a postura de accountability que a lei valoriza. Fazer a análise também melhora as decisões, porque força a empresa a enxergar o risco antes de rodar o tratamento.
O que o relatório contém
Um RIPD costuma reunir a descrição do tratamento e da sua finalidade, os tipos de dados e de titulares envolvidos, a necessidade e a proporcionalidade do tratamento em relação à finalidade, os riscos identificados para os titulares e as medidas técnicas e organizacionais adotadas para mitigar esses riscos. Ele conversa direto com o mapeamento e com a análise de segurança.
- Descrição do tratamento e da finalidade
- Tipos de dados e de titulares envolvidos
- Necessidade e proporcionalidade do tratamento
- Riscos identificados para os titulares
- Medidas técnicas e organizacionais de mitigação
- Conclusão sobre o risco residual
O RIPD como parte da governança
Mais do que um documento para mostrar à autoridade, o RIPD é uma ferramenta de decisão. Ao obrigar a empresa a descrever o risco e as medidas antes de iniciar um tratamento sensível, ele ajuda a corrigir problemas na origem, quando ainda é barato mudar. Um tratamento que se revela desproporcional no relatório pode ser ajustado ou abandonado antes de virar um risco real.
Por isso, faz sentido integrar o RIPD ao fluxo de novos projetos que envolvem dados de maior risco, em vez de tratá-lo como um formulário isolado. A análise de segurança que a empresa já faz alimenta o relatório, e o relatório orienta os controles que a segurança precisa aplicar. Os dois se reforçam.
Como conduzir a análise, na prática
Um RIPD começa no mapeamento. Antes de avaliar risco, é preciso descrever com precisão o tratamento: quais dados, de quem, por qual caminho e com qual finalidade. Sem esse retrato, a análise de risco vira suposição. Por isso o RIPD conversa direto com o inventário e com o registro de tratamento que a empresa já mantém.
Descrever e avaliar a proporcionalidade
Descrito o tratamento, a etapa seguinte pergunta se ele é necessário e proporcional à finalidade. Coletar menos dados, guardar por menos tempo ou restringir quem acessa muitas vezes reduz o risco sem prejudicar o objetivo. É comum a própria análise revelar que parte do tratamento é excessiva e pode ser cortada antes de rodar.
Levantar riscos e definir medidas
Com o tratamento descrito, listam-se os riscos concretos para os titulares e as medidas técnicas e organizacionais que os reduzem, como acesso mínimo, criptografia e registro de acessos. O que sobra depois das medidas é o risco residual, e a conclusão do relatório diz se esse risco é aceitável, se o tratamento precisa de ajustes ou se não deve seguir.
Como escrever e manter o relatório
O RIPD não tem forma única na lei, mas costuma seguir uma estrutura que qualquer leitor consegue acompanhar, do encarregado ao jurídico. Escrever em linguagem clara e organizar em seções facilita a revisão e a apresentação à autoridade, se ela pedir.
1. Identificação do tratamento e responsáveis
2. Descrição do tratamento e da finalidade
3. Dados e titulares envolvidos
4. Necessidade e proporcionalidade
5. Riscos identificados para os titulares
6. Medidas técnicas e organizacionais
7. Risco residual e decisão
8. Versão, data e próxima revisãoUm RIPD não é documento de arquivo morto. Ele descreve um tratamento em um momento, e o tratamento muda. Versionar o relatório, registrar a data de cada revisão e ligá-lo ao registro de tratamento mantém os dois coerentes e evita que a análise descreva algo que já não existe.
Checklist prático
- Identificar tratamentos de maior risco que pedem um RIPD
- Descrever o tratamento, a finalidade e os dados envolvidos
- Avaliar a necessidade e a proporcionalidade do tratamento
- Levantar os riscos para os titulares
- Registrar as medidas técnicas e organizacionais de mitigação
- Concluir sobre o risco residual e a decisão de seguir ou ajustar
- Integrar o RIPD ao fluxo de novos projetos de maior risco
- Partir do mapeamento para descrever o tratamento e os dados
- Registrar a análise de necessidade e proporcionalidade
- Versionar o RIPD e registrar a data de cada revisão
Boas práticas
- Use o risco como critério, já que a lei não traz lista fechada
- Prepare o RIPD antes de a ANPD pedir, como postura de accountability
- Alimente o relatório com o mapeamento e a análise de segurança
- Trate o RIPD como ferramenta de decisão, não só documento
- Revise o relatório quando o tratamento mudar de forma relevante
- Escreva o RIPD em linguagem que o encarregado e o jurídico revisem sem esforço
- Ligue o RIPD ao registro de tratamento para os dois se manterem coerentes
Erros comuns
Achar que todo tratamento exige um RIPD
A empresa gasta esforço com relatórios de tratamentos de baixo risco.
Nunca preparar um RIPD, mesmo em tratamentos de alto risco
Falta evidência de que a empresa avaliou o impacto quando cobrada.
Escrever o RIPD como formulário isolado
O relatório não conversa com o mapeamento nem com os controles reais.
Fazer o RIPD e nunca revisá-lo
A análise descreve um tratamento que já mudou de forma e de risco.
Descrever riscos genéricos sem ligar ao tratamento real
O relatório não ajuda a decidir e não resiste a um questionamento.
Guardar o RIPD sem data nem controle de versão
Não dá para saber qual análise valia em cada momento do tratamento.
Quando procurar apoio especializado
A análise de risco técnico é o coração de um bom RIPD. A GUARDIASEC contribui com a avaliação de exposição, dos controles de segurança e dos riscos concretos de um tratamento, entregando a parte técnica que sustenta o relatório e as decisões de mitigação, para que o encarregado e o jurídico o completem com a visão de risco às liberdades e aos direitos.
Para aprofundar: cursos recomendados
Estes cursos gratuitos do Valor Final ajudam a levar o assunto deste guia da teoria para a prática, no seu ritmo.
Curso de LGPD Essencial
GratuitoCurso gratuito de LGPD para quem trabalha em empresa. Mostra na prática o que pode e o que não pode ser feito com dados de clientes, colegas e fornecedores, em linguagem simples e com fontes oficiais.
Valor FinalCursos do Valor Final
CertificadoPortal de cursos online gratuitos, com certificado ao concluir. A trilha de privacidade e proteção de dados começa pelo curso de LGPD e ganha novos cursos com o tempo.
Valor FinalPerguntas frequentes
O RIPD é obrigatório?
A LGPD não fixa uma lista fechada de situações que o tornem automaticamente obrigatório. O artigo 38 diz que a ANPD poderá determinar ao controlador que o elabore, inclusive para dados sensíveis. Na prática, o relatório é tratado como instrumento de accountability, recomendado para tratamentos de maior risco. Prepará-lo antes de a autoridade pedir demonstra diligência.
Qual a diferença entre RIPD e DPIA?
São o mesmo tipo de instrumento em contextos diferentes. DPIA, do inglês data protection impact assessment, é o termo do regulamento europeu, o GDPR. RIPD, relatório de impacto à proteção de dados, é o nome usado pela LGPD. As metodologias são parecidas: descrever o tratamento, avaliar os riscos aos titulares e documentar as medidas de mitigação.
Quem faz o RIPD na empresa?
O RIPD costuma ser um trabalho conjunto. O encarregado e o jurídico avaliam o risco às liberdades e aos direitos e a proporcionalidade do tratamento; a área de segurança e de tecnologia descreve os dados, os fluxos e as medidas técnicas de proteção. A GUARDIASEC contribui com a parte técnica de risco e controles, que alimenta a análise geral.
Quando devo revisar um RIPD?
Sempre que o tratamento mudar de forma relevante: nova finalidade, novos dados, novo fornecedor, nova tecnologia ou mudança na base legal. Um RIPD descreve um tratamento em um momento; se o tratamento evolui, o relatório precisa acompanhar, senão passa a descrever algo que não existe mais e perde o valor como evidência e como ferramenta de decisão.
Existe um modelo único de RIPD?
A lei não fixa um formato obrigatório. O que se espera é que o relatório descreva o tratamento, avalie a necessidade e a proporcionalidade, aponte os riscos aos titulares e registre as medidas de mitigação e o risco residual. A profundidade acompanha o risco: um tratamento sensível e em escala pede uma análise mais detalhada do que um de menor impacto.
Preciso de um RIPD para cada sistema novo?
Não. O critério é o risco, não a quantidade de sistemas. Faz sentido reservar o RIPD para tratamentos de maior risco, como dados sensíveis em escala, monitoramento sistemático ou decisões automatizadas com impacto relevante. Integrar essa checagem ao início de novos projetos ajuda a identificar quando o relatório é mesmo necessário.
O RIPD precisa ser enviado à ANPD?
Não é um documento de envio automático nem de publicação. Ele é interno e serve de evidência de que a empresa avaliou o impacto de um tratamento. A ANPD pode determinar que o controlador o elabore e o apresente, então mantê-lo pronto para tratamentos de maior risco é a postura de diligência que a lei valoriza.
Guias relacionados
Próximo passo
Vamos avaliar os riscos do seu ambiente?
Conte seu cenário e definimos juntos o escopo certo. O objetivo é reduzir caminhos prováveis de ataque e elevar a maturidade de segurança, sem promessas absolutas.