Relatório de impacto (RIPD): quando ele é obrigatório na prática
Resposta curta
O relatório de impacto à proteção de dados não é obrigatório para toda empresa. Ele passa a ser exigível em duas situações: quando a ANPD determina, e quando o tratamento é de alto risco — dados sensíveis, decisões automatizadas com efeito relevante sobre a pessoa, monitoramento sistemático em larga escala, ou uso do legítimo interesse como base legal. Fora dessas hipóteses, o relatório continua sendo recomendável como prova de accountability, mas não é uma exigência legal.
O que a LGPD efetivamente diz
O artigo 38 da LGPD autoriza a autoridade nacional a determinar ao controlador a elaboração do relatório de impacto, inclusive quando o tratamento se fundamenta no legítimo interesse. O texto define o conteúdo mínimo — descrição dos tipos de dados, metodologia de coleta, medidas de segurança e análise de riscos — mas não estabelece uma lista fechada de quando o documento é devido.
Essa abertura é intencional e cria o problema prático que motiva este texto: sem gatilhos fixos, a decisão sobre elaborar ou não o relatório vira um juízo de risco que precisa ser documentado.
O teste de três perguntas
Na avaliação de operações concretas, três perguntas costumam bastar para separar os casos que exigem relatório dos que não exigem.
1. O tratamento pode restringir um direito da pessoa?
Concessão de crédito, triagem de currículos, precificação individualizada e definição de acesso a serviços entram aqui. Se o resultado do tratamento pode negar algo à pessoa, o risco deixa de ser hipotético.
2. Há dados sensíveis, crianças ou adolescentes envolvidos?
Dados de saúde, biometria, origem racial, convicção religiosa e opinião política elevam o patamar de risco por definição legal. O mesmo vale para o tratamento de dados de menores, submetido a regime próprio no artigo 14.
3. A base legal é o legítimo interesse?
O legítimo interesse transfere ao controlador o ônus de demonstrar o balanceamento entre a finalidade pretendida e os direitos do titular. O relatório de impacto é justamente o documento onde esse balanceamento fica registrado.
Uma resposta afirmativa a qualquer das três já recomenda o relatório. Duas ou mais tornam a ausência dele difícil de justificar perante a ANPD.
O erro mais comum
Tratar o relatório como formalidade retroativa. O documento produzido depois da operação já estar em produção perde a função principal, que é influenciar o desenho do tratamento antes que ele exista. Um relatório que não gerou nenhuma alteração no projeto é um indício de que a análise não foi feita de verdade.
Perguntas frequentes
O relatório de impacto é obrigatório para toda empresa?
Não. A LGPD não impõe o relatório de forma geral. Ele se torna exigível quando a ANPD solicita ou quando o tratamento apresenta alto risco aos direitos fundamentais dos titulares.
Qual a diferença entre RIPD e DPIA?
São o mesmo instrumento em ordenamentos distintos. O DPIA é a figura do GDPR europeu, com hipóteses de obrigatoriedade mais detalhadas. O RIPD é a versão brasileira, de contorno mais aberto e conteúdo mínimo definido no artigo 38 da LGPD.
Quem deve elaborar o relatório?
A responsabilidade é do controlador. Na prática, o documento é conduzido pelo encarregado ou por assessoria jurídica especializada, com participação das áreas técnicas que conhecem o fluxo real de dados.
Precisa avaliar se uma operação específica exige relatório de impacto?
Falar sobre o caso