RIPD
Relatório de Impacto à Proteção de Dados Pessoais
Relatório do controlador, previsto na LGPD, sobre riscos de tratamentos de dados pessoais.
Ficha
- Nome oficial
- Relatório de Impacto à Proteção de Dados Pessoais (RIPD), previsto na LGPD (art. 5º, XVII, e art. 38)
- Publicada por
- ANPD — Agência Nacional de Proteção de Dados (antiga Autoridade Nacional, transformada em agência pela Lei nº 15.352/2026), que publica a orientação; o relatório é previsto na LGPD.
- Tipo
- Relatório da LGPD
- Certificável
- Não. O RIPD é um documento do controlador: a ANPD pode solicitá-lo, mas não o certifica, não o aprova e não emite selo.
- Edição no Brasil
- Previsto na LGPD (Lei nº 13.709/2018). Orientação da ANPD em perguntas e respostas, publicada em abril de 2023 e atualizada desde então. Regulamento específico ainda não editado.
- Edição internacional
- Não se aplica. É referência brasileira, ligada à LGPD.
O que é
O RIPD é o documento em que o controlador descreve tratamentos de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais dos titulares. Ele registra os riscos identificados e as medidas para reduzi-los. A ANPD publica orientações sobre como elaborá-lo.
O que diz o texto oficial
A LGPD, de agosto de 2018 e aplicável desde 2020, define o RIPD como documentação do controlador (art. 5º, XVII). Ela permite que a ANPD determine sua elaboração (art. 38) e o peça quando o tratamento se apoia no legítimo interesse (art. 10, § 3º). O relatório deve trazer, no mínimo, quais tipos de dados são coletados, como são coletados e protegidos, e que medidas o controlador adotou para reduzir riscos.
Desde abril de 2023, a ANPD mantém orientações em perguntas e respostas. Segundo elas, não há modelo oficial, o envio só ocorre a pedido da agência e a revisão é recomendada sempre que o tratamento muda. Para apontar tratamentos de alto risco, a ANPD remete aos critérios da Resolução CD/ANPD 2/2022; o regulamento específico do RIPD ainda não foi editado.
Para que serve
Serve para pensar antes de tratar dados pessoais. O controlador mapeia quais dados usa, de quem, para quê e com qual base legal. Depois avalia o que pode dar errado para as pessoas e decide as salvaguardas. A ANPD recomenda elaborar o relatório sempre que o tratamento puder ser de alto risco. O formato é livre, desde que traga o conteúdo mínimo da lei. O documento deve ser revisto quando o tratamento muda.
Por que importa
O RIPD é o modo como a LGPD transforma o cuidado com dados pessoais em registro escrito. Ele mostra que a organização olhou para os riscos às pessoas antes de tratar os dados e decidiu como reduzi-los. A lei pede que o agente consiga demonstrar as medidas que adota (art. 6º, X). Para parceiros e clientes, saber que a organização mantém um RIPD atualizado é sinal de maturidade em privacidade.
Na avaliação de terceiros, o RIPD ajuda a entender como um parceiro ou cliente lida com dados pessoais na prática. A LGPD prevê a responsabilidade solidária dos controladores diretamente envolvidos no tratamento e, em certos casos, do operador (art. 42). Assim, o risco de dados de um terceiro pode chegar a quem contrata. Quando o terceiro é controlador, cabe perguntar se ele avalia riscos e como. Quando é operador, o relatório cabe ao controlador que o contrata, e o operador pode ser consultado na elaboração. Conhecer o RIPD ajuda o gestor de compliance a saber o que pedir e a notar lacunas, como dados sensíveis tratados sem análise de risco.
Em destaque
- A ANPD pode determinar a elaboração e pedir o relatório; não há envio prévio obrigatório.
- Recomenda-se elaborá-lo antes de iniciar o tratamento, ouvindo o encarregado.
- O relatório é do controlador; operadores contratados podem ser consultados na elaboração.
Temas centrais
- Descrição do tratamento, da coleta à eliminação
- Tipos de dados e categorias de titulares
- Base legal e finalidade do tratamento
- Identificação e avaliação dos riscos aos titulares
- Medidas de segurança e salvaguardas para reduzir os riscos
- Critérios de alto risco da Resolução CD/ANPD 2/2022
Veja também
- Lei federal
LGPD
Lei Geral de Proteção de Dados PessoaisLei brasileira que regula o tratamento de dados pessoais.Conhecer a referência - Norma de requisitos
ABNT NBR ISO/IEC 27701:2026
Privacidade da informaçãoRequisitos de um sistema de gestão da privacidade da informação.Conhecer a norma - Norma de requisitos
ABNT NBR ISO/IEC 27001:2022
Segurança da informaçãoRequisitos de um sistema de gestão da segurança da informação.Conhecer a norma - Diretriz
ABNT NBR ISO 31000:2018
Gestão de riscosDiretrizes internacionais para gerir riscos de forma estruturada e integrada.Conhecer a norma - Guia de técnicas
ABNT NBR IEC 31010:2021
Técnicas de avaliação de riscosGuia de técnicas para identificar, analisar e avaliar riscos.Conhecer a referência