O RIPD é exigido quando a ANPD determinar (art. 38 da LGPD) e é recomendado em atividades de maior risco, como o uso de dados sensíveis, vigilância, biometria e tratamento em larga escala. O encarregado auxilia na elaboração. Em inglês, o equivalente é o DPIA (Data Protection Impact Assessment), e os dois termos aparecem lado a lado em contratos e guias.
O que significa RIPD
RIPD quer dizer Relatório de Impacto à Proteção de Dados Pessoais. A LGPD o define, no art. 5º, XVII, como a documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco. Veja o verbete completo: Relatório de Impacto à Proteção de Dados Pessoais.
Conteúdo mínimo
O parágrafo único do art. 38 indica que o relatório deve conter, no mínimo: os tipos de dados coletados, a metodologia de coleta e de garantia de segurança e a análise de riscos e salvaguardas adotadas. A ANPD pode editar regulamentos sobre o tema, em especial para casos de alto risco (art. 55-J, XIII), e o município deve conferir as normas vigentes.
Onde a sigla aparece
- Em contratos e editais de sistemas que tratam dados sensíveis ou em larga escala, que podem exigir apoio do fornecedor na elaboração do RIPD.
- Em políticas de proteção de dados municipais, que definem quando o relatório é obrigatório internamente.
- Em pedidos da ANPD a órgãos públicos.
- Em guias de boas práticas e de contratação de tecnologia.
Dica prática
Comece pelos tratamentos de maior risco (dados sensíveis, biometria, câmeras, grandes bases) e mantenha o relatório atualizado quando a finalidade, a tecnologia ou o fornecedor mudarem. Aproveite o mapeamento de dados e o registro das operações como ponto de partida, para não começar do zero.
