O Relatório de Impacto à Proteção de Dados Pessoais (RIPD) - também chamado de DPIA, da língua inglesa Data Protection Impact Assessment - é um documento pensado para estabelecer a gestão de processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação desses riscos.
A elaboração do RIPD é de responsabilidade do controlador, que é a pessoa responsável pelas decisões sobre o tratamento de dados. É importante ressaltar que o Encarregado pelo Tratamento de Dados Pessoais (DPO), nomeado pelo controlador, é responsável por gerenciar os dados pessoais na instituição. O encarregado pode ser designado para elaborar o RIPD ou, caso não seja, deve avaliar o relatório e emitir um parecer.
O RIPD deverá ser elaborado sempre que houver uma nova operação de tratamento de dados, ou quando houver alterações significativas em uma operação existente nos casos a seguir:
- O tratamento dos dados tiver como Base Legal apenas o interesse legítimo do controlador ou de terceiros (art. 10º, inciso II, §3º);
- O tratamento gerar riscos às liberdades civis e aos direitos fundamentais dos titulares (art. 5º, inciso XVII e art. 17º);
- Ocorrer tratamento de dados sensíveis em grande volume (art. 50º, § 2º, inciso I, alínea c);
- O tratamento for relativo a dados provenientes de fora do território nacional e não sejam objeto de comunicação, no uso compartilhado de dados com agentes de tratamento brasileiros ou objeto de transferência internacional de dados com outro país que não o de proveniência (art. 4º, inciso IV);
- Haja rastreamento da localização dos indivíduos ou qualquer outra ação de tratamento que vise a formação de perfil comportamental (art. 12º, inciso § 2º);
- O tratamento seja de dados de crianças e/ou adolescentes (art. 14º);
- O tratamento seja realizado para tomar decisões de forma automatizadas que possam ter efeitos legais, incluídas decisões destinadas a definir o perfil pessoal, profissional, de consumo e crédito ou aspectos da personalidade do titular (art. 20º);
- Em outras situações de alto risco, conforme apresentado pelo art. 55º-J;
- Conforme solicitação da ANPD (art. 38º);
- Haja utilização de uma nova tecnologia, serviço ou outra iniciativa que tratará dados pessoais, bem como, alterações na estrutura organizacional, resultante da incorporação, fusão ou cisão de instituições, a fim de atender o proposto pela Lei Geral de Proteção de Dados e garantir os direitos estabelecidos por esta.
A LGPD também exige que o RIPD seja disponibilizado à Autoridade Nacional de Proteção de Dados (ANPD) mediante solicitação.
O RIPD é uma ferramenta importante para garantir a conformidade com a LGPD, pois permite que as empresas e organizações públicas avaliem os riscos envolvidos no tratamento de dados pessoais e implementem medidas adequadas de proteção de dados. Além disso, este também pode ser utilizado para demonstrar a conformidade da empresa ou organização com a LGPD em caso de fiscalização ou ação judicial.
A seguir, as disposições do RIPD na Lei Geral de Proteção de Dados:
Art. 5º Para os fins desta Lei, considera-se:
XVII – relatório de impacto à proteção de dados pessoais: documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco;
Enquanto o art. 5º, inciso XVII, define o que é um RIPD, o seu conteúdo mínimo é indicado pelo parágrafo único do art. 38, grifado abaixo.
Art. 38. A autoridade nacional poderá determinar ao controlador que elabore relatório de impacto à proteção de dados pessoais, inclusive de dados sensíveis, referente a suas operações de tratamento de dados, nos termos de regulamento, observados os segredos comercial e industrial.
Parágrafo único. Observado o disposto no caput deste artigo, o relatório deverá conter, no mínimo, a descrição dos tipos de dados coletados, a metodologia utilizada para a coleta e para a garantia da segurança das informações e a análise do controlador com relação a medidas, salvaguardas e mecanismos de mitigação de risco adotados.
