Modelo de Relatório de Impacto à Proteção de Dados
O modelo de relatório de impacto à proteção de dados ajuda pessoas e pequenas empresas a registrar operações de tratamento, identificar riscos aos titulares e definir medidas de prevenção. Veja quando usar, quais informações incluir, como preencher e cuidados alinhados à LGPD.
Sumário
- 01 O que é relatório de impacto à proteção de dados
- 02 Para que serve o RIPD
- 03 Quando elaborar um relatório de impacto
- Situações que merecem avaliação reforçada
- 04 Quem participa da elaboração e aprovação
- Responsabilidades que devem ficar claras
- 05 Informações indispensáveis no documento
- 06 Modelo de Modelo de Relatório de Impacto à Proteção de Dados
- 07 Como preencher o modelo de relatório de impacto à proteção de dados
- 08 Tipos e variações do relatório
- Relatório por atividade específica
- Relatório para novo sistema ou fornecedor
- Relatório para dados sensíveis
- 09 Cuidados e erros comuns na elaboração
- 10 Perguntas frequentes sobre relatório de impacto
- O RIPD é obrigatório para toda pequena empresa?
- O relatório de impacto pode ser feito por pessoa física?
- É necessário pedir consentimento para fazer o RIPD?
- O relatório deve ser entregue aos titulares dos dados?
- Qual é a diferença entre RIPD e registro das operações de tratamento?
- Assinatura eletrônica é válida no relatório?
- 11 Referências
- 12 Vídeo explicativo
- 13 Aviso importante
O modelo de relatório de impacto à proteção de dados é um instrumento de organização e prestação de contas para quem realiza tratamento de dados pessoais. Ele permite descrever uma atividade, examinar os riscos que ela pode causar às pessoas e registrar as medidas adotadas para reduzir esses riscos. Para pequenos negócios, esse registro também facilita decisões mais conscientes sobre cadastro de clientes, funcionários, fornecedores e usuários.
Conhecido pela sigla RIPD, o documento não deve ser tratado como simples formalidade. Ele exige que o responsável compreenda o fluxo das informações, a finalidade do uso, os dados coletados, quem acessa o material e por quanto tempo os registros são mantidos. O modelo editável desta página oferece uma estrutura inicial que deve ser adaptada à operação real, aos riscos identificados e às práticas internas da organização.
O que é relatório de impacto à proteção de dados
O Relatório de Impacto à Proteção de Dados Pessoais é definido pela Lei Geral de Proteção de Dados Pessoais como documentação do controlador. Seu propósito é apresentar a descrição dos processos de tratamento que podem gerar riscos às liberdades civis e aos direitos fundamentais, além das medidas, salvaguardas e mecanismos de mitigação de risco.
Na prática, o RIPD funciona como um retrato fundamentado de determinada operação de tratamento. Uma clínica que armazena informações de saúde, uma loja que mantém dados de consumidores, uma empresa que monitora empregados ou um condomínio que utiliza reconhecimento facial podem precisar avaliar com atenção suas práticas e os possíveis impactos aos titulares.
“documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais”
Lei nº 13.709/2018, art. 5º, XVII
O relatório não substitui contratos, avisos de privacidade, políticas internas, registros de operações de tratamento ou medidas de segurança. Ele se soma a esses instrumentos e evidencia uma análise direcionada ao risco.
Para que serve o RIPD
O documento serve para identificar antecipadamente problemas e demonstrar que o controlador avaliou os efeitos do tratamento sobre as pessoas. Com isso, é possível corrigir práticas desnecessárias, limitar acessos, aperfeiçoar controles e justificar decisões relacionadas à privacidade.
Também é uma ferramenta útil de governança. Ao preencher o relatório, a empresa precisa responder perguntas objetivas: por que os dados são necessários, qual base legal sustenta o tratamento, há compartilhamento com terceiros, existem dados sensíveis, quais incidentes podem ocorrer e o que será feito para preveni-los.
A Lei Geral de Proteção de Dados Pessoais prevê que a autoridade nacional poderá determinar ao controlador a elaboração do relatório de impacto, inclusive com relação a dados sensíveis. Portanto, manter uma análise bem documentada pode ajudar a demonstrar diligência e coerência em uma eventual solicitação.
Quando elaborar um relatório de impacto
Não existe uma resposta única aplicável a todas as atividades. A necessidade depende do contexto, da natureza dos dados, da escala, das pessoas afetadas, da finalidade e do potencial de dano. Como boa prática, a análise deve ocorrer antes de iniciar ou de modificar de forma relevante uma operação que apresente maior risco.
Situações que merecem avaliação reforçada
- Tratamento de dados pessoais sensíveis, como informações sobre saúde, biometria, origem racial ou étnica, convicção religiosa e vida sexual.
- Monitoramento habitual ou sistemático de pessoas, inclusive por câmeras, geolocalização, sistemas de produtividade ou outras ferramentas digitais.
- Tratamento de dados de crianças e adolescentes, que exige atenção ao melhor interesse desses titulares.
- Uso de tecnologias capazes de produzir decisões automatizadas com efeitos relevantes para a pessoa.
- Compartilhamento de grande volume de dados com prestadores de serviços, parceiros ou plataformas.
- Coleta de dados além do estritamente necessário para a finalidade informada.
- Operações em que uma falha possa causar discriminação, fraude, prejuízo financeiro, exposição pública ou outro dano relevante.
Mesmo em operações menores, elaborar um relatório pode ser prudente quando o negócio lida com cadastros detalhados, dados financeiros, dados de saúde ou perfis de comportamento. O objetivo não é burocratizar uma atividade simples, mas registrar uma análise proporcional ao risco concreto.
Quem participa da elaboração e aprovação
O controlador é a pessoa natural ou jurídica que toma as decisões principais sobre o tratamento de dados pessoais. Por isso, é ele quem deve assegurar que o relatório reflita a realidade da operação e que as medidas apontadas sejam efetivamente implementadas.
Em pequenos negócios, o documento pode ser preparado por quem administra a operação, com participação das áreas que conhecem o processo. Se houver encarregado pelo tratamento de dados pessoais, equipe de tecnologia, responsável por segurança, setor de atendimento ou assessoria jurídica, essas pessoas podem contribuir com informações e validações técnicas.
Responsabilidades que devem ficar claras
- Controlador: define finalidades e meios principais do tratamento, aprova decisões e responde pela adequação das práticas.
- Operador: trata dados em nome do controlador e deve observar as instruções recebidas, além das obrigações aplicáveis.
- Encarregado: quando designado, atua como canal de comunicação entre controlador, titulares e autoridade nacional, conforme a estrutura adotada.
- Áreas internas: fornecem dados sobre a rotina, os sistemas utilizados, os acessos e os controles existentes.
O relatório deve apontar os responsáveis pela revisão e pela aprovação. Essa identificação ajuda a evitar um documento genérico, elaborado sem vínculo com a operação que pretende avaliar.
Informações indispensáveis no documento
Um RIPD útil precisa ser específico. Copiar explicações abstratas sobre privacidade não demonstra como a atividade funciona nem permite verificar se as medidas são suficientes. O conteúdo deve ser compreensível e conectado ao tratamento examinado.
| Elemento | O que registrar | Finalidade prática |
|---|---|---|
| Operação analisada | Nome, contexto, área responsável, sistemas e período de análise. | Delimitar exatamente o tratamento avaliado. |
| Dados e titulares | Quais dados são usados e a quem pertencem, como clientes, empregados ou fornecedores. | Identificar a extensão e a sensibilidade da operação. |
| Finalidade e base legal | Objetivo do tratamento e hipótese legal aplicável no caso concreto. | Verificar necessidade, adequação e legitimidade. |
| Fluxo e compartilhamentos | Coleta, armazenamento, consulta, transferência, descarte e terceiros envolvidos. | Mapear pontos de acesso e exposição dos dados. |
| Riscos e impactos | Eventos possíveis, titulares afetados, probabilidade e consequências. | Priorizar os problemas que precisam de resposta. |
| Medidas de mitigação | Controles técnicos, administrativos, contratuais e planos de ação. | Reduzir riscos e acompanhar providências. |
Também é importante explicar o prazo de retenção dos dados e o critério para descarte ou anonimização quando o armazenamento deixar de ser necessário. A retenção indefinida, sem justificativa, aumenta exposição e dificulta a gestão do acervo.
Modelo editável
Modelo Editável Aqui
Clique em “Editar documento” para preencher os campos entre colchetes. As alterações ficam salvas apenas neste navegador.
RELATÓRIO DE IMPACTO À PROTEÇÃO DE DADOS PESSOAIS
[NOME DA OPERAÇÃO DE TRATAMENTO]
CONTROLADOR: [NOME EMPRESARIAL OU NOME COMPLETO], [PESSOA JURÍDICA DE DIREITO PRIVADO/PESSOA NATURAL], inscrito(a) no [CNPJ/CPF] sob o nº [NÚMERO], com sede ou endereço em [ENDEREÇO COMPLETO], [CIDADE] – [UF], CEP [CEP], neste ato representado(a) por [NOME COMPLETO DO REPRESENTANTE], [CARGO OU QUALIFICAÇÃO], inscrito(a) no CPF sob o nº [CPF].
RESPONSÁVEL PELA ELABORAÇÃO: [NOME COMPLETO], [CARGO/FUNÇÃO/QUALIFICAÇÃO], inscrito(a) no CPF sob o nº [CPF], e-mail [E-MAIL] e telefone [TELEFONE].
ENCARREGADO PELO TRATAMENTO DE DADOS PESSOAIS, SE HOUVER: [NOME COMPLETO OU RAZÃO SOCIAL], [CPF/CNPJ], e-mail [E-MAIL] e telefone [TELEFONE].
1. IDENTIFICAÇÃO E OBJETO DO RELATÓRIO
1.1. Este Relatório de Impacto à Proteção de Dados Pessoais tem por objeto documentar a avaliação da operação de tratamento denominada [NOME DA OPERAÇÃO], realizada pelo CONTROLADOR no contexto de [DESCREVER A ATIVIDADE, O SERVIÇO, O PRODUTO OU O PROCESSO INTERNO].
1.2. O relatório descreve o tratamento de dados pessoais, os titulares envolvidos, as finalidades, os fluxos de informação, os riscos identificados, as salvaguardas existentes e as medidas de mitigação definidas para a atividade analisada.
1.3. O escopo desta avaliação compreende o período de [DATA INICIAL] a [DATA FINAL OU INDICAR “CONTÍNUO”], os sistemas [NOMES DOS SISTEMAS], os documentos [DESCREVER DOCUMENTOS] e os prestadores de serviço indicados neste relatório.
2. DESCRIÇÃO DA OPERAÇÃO DE TRATAMENTO
2.1. A operação consiste em [DESCREVER DE FORMA OBJETIVA COMO OS DADOS SÃO COLETADOS, RECEBIDOS, CLASSIFICADOS, UTILIZADOS, ACESSADOS, ARMAZENADOS, COMPARTILHADOS E ELIMINADOS].
2.2. A coleta ocorre por meio de [FORMULÁRIO FÍSICO, SITE, APLICATIVO, WHATSAPP, E-MAIL, ATENDIMENTO PRESENCIAL, SISTEMA INTERNO OU OUTRO MEIO], sendo os dados inseridos ou recebidos por [ÁREA, CARGO OU PESSOA RESPONSÁVEL].
2.3. Os dados são armazenados em [SISTEMA, SERVIDOR, ARQUIVO FÍSICO, NUVEM OU OUTRO AMBIENTE], administrado por [CONTROLADOR/OPERADOR/FORNECEDOR], com acesso restrito a [CARGOS, ÁREAS OU PESSOAS AUTORIZADAS].
3. TITULARES E CATEGORIAS DE DADOS PESSOAIS
3.1. Os titulares abrangidos por esta operação são: [CLIENTES], [POTENCIAIS CLIENTES], [EMPREGADOS], [CANDIDATOS A VAGAS], [FORNECEDORES], [PRESTADORES DE SERVIÇO], [DEPENDENTES], [CRIANÇAS E ADOLESCENTES], ou [OUTROS TITULARES].
3.2. As categorias de dados pessoais tratadas são: [NOME], [CPF], [RG], [DATA DE NASCIMENTO], [ENDEREÇO], [E-MAIL], [TELEFONE], [DADOS BANCÁRIOS], [IMAGEM], [LOCALIZAÇÃO], [IDENTIFICADORES DIGITAIS], [OUTROS DADOS].
3.3. Há tratamento de dados pessoais sensíveis? [SIM/NÃO]. Em caso afirmativo, informar quais dados são tratados e por qual motivo: [DESCREVER DADOS DE SAÚDE, BIOMÉTRICOS, ORIGEM RACIAL OU ÉTNICA, CONVICÇÃO RELIGIOSA, FILIAÇÃO SINDICAL, DADOS GENÉTICOS, VIDA SEXUAL OU OUTROS].
3.4. Há tratamento de dados de crianças ou adolescentes? [SIM/NÃO]. Em caso afirmativo, descrever as medidas adotadas para observância do melhor interesse do titular: [DESCREVER].
4. FINALIDADES E BASES LEGAIS
4.1. Os dados pessoais são tratados para as seguintes finalidades específicas: [DESCREVER AS FINALIDADES DE FORMA CLARA E OBJETIVA].
4.2. Para cada finalidade, o CONTROLADOR identifica como hipótese legal aplicável: [CONSENTIMENTO], [CUMPRIMENTO DE OBRIGAÇÃO LEGAL OU REGULATÓRIA], [EXECUÇÃO DE CONTRATO OU PROCEDIMENTOS PRELIMINARES], [EXERCÍCIO REGULAR DE DIREITOS], [PROTEÇÃO DA VIDA], [TUTELA DA SAÚDE], [LEGÍTIMO INTERESSE] ou [OUTRA HIPÓTESE LEGAL APLICÁVEL], conforme análise do caso concreto.
4.3. A necessidade e a adequação do tratamento foram avaliadas considerando que são coletados apenas os dados pertinentes, proporcionais e não excessivos em relação às finalidades informadas.
5. FLUXO, ACESSOS E COMPARTILHAMENTOS
5.1. O fluxo de dados ocorre da seguinte forma: [DESCREVER A ORIGEM DOS DADOS] → [FORMA DE COLETA] → [SISTEMA OU LOCAL DE ARMAZENAMENTO] → [ÁREAS OU USUÁRIOS COM ACESSO] → [EVENTUAIS TERCEIROS] → [FORMA DE DESCARTE OU ANONIMIZAÇÃO].
5.2. Os dados poderão ser compartilhados com os seguintes operadores ou terceiros: [NOME/RAZÃO SOCIAL], [CNPJ], [SERVIÇO PRESTADO], [DADOS COMPARTILHADOS], [FINALIDADE DO COMPARTILHAMENTO] e [LOCAL DE ARMAZENAMENTO, SE CONHECIDO].
5.3. Há transferência internacional de dados? [SIM/NÃO]. Em caso afirmativo, indicar os países envolvidos, o fornecedor, a finalidade e as garantias adotadas: [DESCREVER].
6. PRAZO DE RETENÇÃO E DESCARTE
6.1. Os dados pessoais serão mantidos pelo prazo de [PRAZO OU CRITÉRIO DE RETENÇÃO], considerando a finalidade do tratamento, obrigações legais, regulatórias, contratuais e o exercício regular de direitos.
6.2. Encerrado o prazo aplicável, os dados serão eliminados, anonimizados ou mantidos apenas nas hipóteses legalmente permitidas, mediante o seguinte procedimento: [DESCREVER PROCEDIMENTO DE DESCARTE SEGURO, EXCLUSÃO DE SISTEMAS, TRITURAÇÃO DE PAPÉIS OU OUTRO].
7. AVALIAÇÃO DE RISCOS E IMPACTOS
7.1. Foram identificados os seguintes riscos: [ACESSO NÃO AUTORIZADO], [VAZAMENTO], [PERDA OU INDISPONIBILIDADE], [ALTERAÇÃO INDEVIDA], [COLETA EXCESSIVA], [USO INCOMPATÍVEL COM A FINALIDADE], [COMPARTILHAMENTO INADEQUADO], [FALHA DE FORNECEDOR] e [OUTROS].
7.2. Para cada risco identificado, registrar: risco [DESCREVER]; titulares afetados [DESCREVER]; probabilidade [BAIXA/MÉDIA/ALTA]; impacto [BAIXO/MÉDIO/ALTO]; consequência potencial [DESCREVER]; e justificativa da classificação [DESCREVER].
7.3. O impacto potencial aos titulares poderá envolver [EXPOSIÇÃO DE DADOS], [FRAUDE], [DISCRIMINAÇÃO], [DANO FINANCEIRO], [DANO À REPUTAÇÃO], [RESTRIÇÃO INDEVIDA DE DIREITOS] ou [OUTRA CONSEQUÊNCIA], conforme a natureza da operação.
8. MEDIDAS DE SEGURANÇA E MITIGAÇÃO
8.1. As medidas já adotadas pelo CONTROLADOR incluem: [CONTROLE DE ACESSO POR PERFIL], [SENHAS], [AUTENTICAÇÃO EM DOIS FATORES], [CÓPIAS DE SEGURANÇA], [ANTIVÍRUS], [CRIPTOGRAFIA], [REGISTROS DE ACESSO], [TREINAMENTO], [CLÁUSULAS CONTRATUAIS], [POLÍTICA INTERNA], [CONTROLE DE DOCUMENTOS FÍSICOS] e [OUTRAS].
8.2. As medidas adicionais necessárias são: [MEDIDA], responsável [NOME/CARGO], prazo [DATA], prioridade [BAIXA/MÉDIA/ALTA] e evidência esperada [DOCUMENTO, CONFIGURAÇÃO, TREINAMENTO OU OUTRA].
8.3. Em caso de incidente de segurança com dados pessoais, o CONTROLADOR adotará procedimento interno para contenção, análise, registro, mitigação e avaliação da necessidade de comunicação aos titulares e à autoridade competente, observadas as regras aplicáveis ao caso concreto.
9. CONCLUSÃO E DECISÃO
9.1. Após a análise descrita neste relatório, conclui-se que a operação de tratamento apresenta nível de risco [BAIXO/MÉDIO/ALTO], considerando as categorias de dados, os titulares, a finalidade, o contexto, os controles existentes e as medidas de mitigação previstas.
9.2. A decisão do CONTROLADOR é: [MANTER A OPERAÇÃO], [MANTER A OPERAÇÃO APÓS A IMPLEMENTAÇÃO DAS MEDIDAS LISTADAS], [RESTRINGIR O TRATAMENTO], [SUSPENDER A OPERAÇÃO] ou [OUTRA DECISÃO], pelos seguintes motivos: [JUSTIFICAR].
9.3. Este relatório deverá ser revisto em [PERIODICIDADE] ou sempre que houver alteração relevante na finalidade, no volume de dados, nas categorias de titulares, nos sistemas utilizados, nos compartilhamentos, nos fornecedores ou nos riscos relacionados à operação.
10. APROVAÇÃO E CIÊNCIA
10.1. Os signatários declaram que as informações registradas neste Relatório de Impacto à Proteção de Dados Pessoais correspondem, na data de sua aprovação, à operação efetivamente realizada pelo CONTROLADOR, sem prejuízo de atualizações futuras.
10.2. Este documento deverá ser mantido sob controle de acesso, com preservação de sua integridade e de suas versões, podendo ser apresentado às pessoas e autoridades competentes quando aplicável.
[CIDADE] – [UF], [DIA] de [MÊS] de [ANO].
________________________________________
[NOME DO REPRESENTANTE DO CONTROLADOR]
CPF: [CPF]
[CARGO]
________________________________________
[NOME DO RESPONSÁVEL PELA ELABORAÇÃO]
CPF: [CPF]
[CARGO/FUNÇÃO]
________________________________________
[NOME DO ENCARREGADO, SE HOUVER]
CPF/CNPJ: [CPF/CNPJ]
[QUALIFICAÇÃO]
Como preencher o modelo de relatório de impacto à proteção de dados
Antes de começar, reúna documentos e pessoas que conheçam a operação. Consulte contratos com fornecedores, telas de sistemas, formulários de cadastro, políticas internas, procedimentos de acesso e registros de incidentes, se existirem. O preenchimento deve refletir fatos verificáveis, não apenas intenções.
- Identifique a operação de tratamento. Dê um nome claro à atividade, informe a área responsável e explique em que contexto ela acontece.
- Descreva os titulares e as categorias de dados. Liste quem é afetado e quais informações são coletadas, evitando expressões vagas como “dados diversos”.
- Mapeie o ciclo de vida das informações. Registre como os dados são obtidos, onde entram, quem consulta, onde ficam guardados, com quem são compartilhados e como são eliminados.
- Explique a finalidade e a base legal. Descreva o objetivo real da operação e avalie a hipótese legal pertinente. Não indique consentimento apenas por conveniência; ele deve ser adequado ao caso concreto.
- Analise necessidade e proporcionalidade. Verifique se todos os dados coletados são indispensáveis e se existe forma menos invasiva de alcançar a mesma finalidade.
- Identifique cenários de risco. Considere acessos indevidos, vazamentos, erros de cadastro, uso incompatível com a finalidade, perda de dados, discriminação e falhas de fornecedores.
- Defina medidas de mitigação. Inclua controles já adotados, melhorias necessárias, responsáveis, prazos e forma de acompanhamento.
- Registre a decisão final. Indique se a atividade pode continuar, se depende de ajustes ou se deve ser suspensa até a redução do risco.
- Aprove e revise periodicamente. Colha a aprovação interna pertinente e atualize o relatório quando a operação, a tecnologia ou o risco mudar.
O modelo editável desta página traz campos para esse levantamento. Preencha cada campo com objetividade e elimine trechos que não correspondam à sua realidade. Se a operação apresentar risco elevado ou envolver dados sensíveis em contexto relevante, a revisão por profissional especializado é recomendável.
Tipos e variações do relatório
O formato pode variar de acordo com a complexidade do tratamento. Não é necessário criar um relatório extenso para uma atividade simples, mas uma operação mais invasiva exige exame mais detalhado e evidências mais consistentes.
Relatório por atividade específica
É apropriado quando a empresa quer avaliar uma única rotina, como o cadastro de pacientes, a implementação de câmeras ou a contratação de uma plataforma de atendimento. Essa modalidade delimita bem o escopo e favorece uma análise prática.
Relatório para novo sistema ou fornecedor
Antes de contratar um software, um serviço de armazenamento em nuvem ou uma ferramenta de marketing, o RIPD pode registrar os dados envolvidos, o papel do fornecedor, as transferências previstas, os acessos e as cláusulas contratuais necessárias.
Relatório para dados sensíveis
Quando a atividade utiliza informações de saúde, biometria ou outros dados sensíveis, o documento deve detalhar com maior rigor a finalidade, as restrições de acesso, a necessidade de coleta e as proteções aplicáveis. A classificação como sensível não torna o tratamento automaticamente proibido, mas ele exige cuidados reforçados.
Cuidados e erros comuns na elaboração
Um RIPD perde valor quando se limita a frases genéricas ou quando é guardado sem que as providências apontadas sejam executadas. A qualidade do relatório depende da precisão do mapeamento e do compromisso com a revisão das práticas.
- Usar modelo padronizado sem adaptação: campos preenchidos de modo genérico não revelam os riscos reais da operação.
- Confundir relatório com política de privacidade: a política comunica informações; o RIPD analisa riscos e medidas de tratamento específicas.
- Omitir terceiros: empresas de software, contabilidade, hospedagem, entrega e atendimento podem participar do fluxo de dados.
- Indicar base legal sem justificativa: a hipótese deve ter relação com a finalidade e o contexto efetivo do tratamento.
- Ignorar dados sensíveis: é essencial identificar se o cadastro contém informações dessa natureza, inclusive em campos livres.
- Prometer medidas inexistentes: registre somente controles aplicados ou ações previstas com responsável e prazo.
- Não revisar o documento: mudança de sistema, fornecedor, finalidade ou público atendido pode alterar a avaliação de risco.
- Manter o relatório sem proteção: o próprio documento pode conter informações internas relevantes e deve ter acesso controlado.
A Autoridade Nacional de Proteção de Dados é o órgão responsável por zelar pela proteção de dados pessoais e regulamentar temas previstos na LGPD. Acompanhar as orientações da Autoridade Nacional de Proteção de Dados ajuda a manter práticas atualizadas. Ainda assim, a análise deve considerar a situação concreta da organização.
Perguntas frequentes sobre relatório de impacto
O RIPD é obrigatório para toda pequena empresa?
Não há regra geral que imponha um relatório idêntico para toda empresa em qualquer situação. Porém, o controlador pode ser solicitado a elaborar o documento pela autoridade nacional, especialmente em tratamentos que envolvam maior risco. Pequenas empresas devem avaliar suas operações, a natureza dos dados e o potencial de impacto sobre os titulares.
O relatório de impacto pode ser feito por pessoa física?
Sim, quando uma pessoa física atua como controladora em contexto profissional ou econômico e realiza tratamento de dados pessoais que demande análise de risco. O uso exclusivamente particular e não econômico possui tratamento próprio na LGPD, mas é prudente proteger dados pessoais em qualquer contexto.
É necessário pedir consentimento para fazer o RIPD?
Não. O relatório é um documento interno de avaliação do tratamento. A necessidade de consentimento depende da base legal adequada à operação analisada. Em alguns casos, o tratamento pode se apoiar em outra hipótese prevista na LGPD, desde que os requisitos legais sejam atendidos.
O relatório deve ser entregue aos titulares dos dados?
Em regra, o RIPD não é um documento que precise ser entregue automaticamente a cada titular. Contudo, ele pode ser solicitado pela autoridade nacional. A organização também deve cumprir deveres de transparência e fornecer informações apropriadas aos titulares por meio de canais e avisos adequados.
Qual é a diferença entre RIPD e registro das operações de tratamento?
O registro das operações organiza informações sobre as atividades de tratamento realizadas pelo controlador ou operador. O RIPD aprofunda a análise de uma operação que pode gerar riscos, apontando impactos e medidas de mitigação. Os documentos podem se complementar.
Assinatura eletrônica é válida no relatório?
Sim, a assinatura eletrônica pode ser utilizada conforme o contexto e o nível de confiabilidade necessário. O importante é preservar integridade, autoria, evidências de aprovação e controle de versões. Avalie os procedimentos internos e as exigências aplicáveis ao caso.
Referências
Vídeo explicativo
Sobre o autor
Stefano Barcellos
Editor e curador de modelos de documentos
Stefano Barcellos é editor do MSG Center e responsável pela curadoria dos modelos de documentos publicados no portal, com foco em linguagem clara, estrutura organizada e atualização constante do conteúdo.
