RIPD: quando fazer e como elaborar o relatório de impacto da LGPD

O RIPD, ou Relatório de Impacto à Proteção de Dados Pessoais, é o documento em que a empresa mostra que pensou nos riscos de um tratamento de dados antes de expor as pessoas a eles. Ele descreve o que é feito com os dados, onde estão os riscos para os titulares e o que a empresa faz para reduzi-los. Quem elabora é o controlador, ou seja, a empresa que decide por que e como os dados são tratados.

O que é o RIPD na LGPD?

A LGPD define o relatório no art. 5º, XVII, como a documentação do controlador que descreve os processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, junto com as medidas, salvaguardas e mecanismos de mitigação de risco. Se a sua empresa ainda está entendendo os conceitos básicos da lei, comece pelo guia o que é a LGPD.

A lei fala pouco sobre o RIPD e deixa para a ANPD editar regulamentos sobre relatórios de impacto nos casos de alto risco (art. 55-J, XIII). Até a data deste artigo, a autoridade não editou regulamento específico sobre o relatório, e a referência oficial é a página de perguntas e respostas sobre o RIPD, publicada pela ANPD em 2023 e atualizada em setembro de 2026.

Quando o RIPD é obrigatório?

A LGPD não manda toda empresa ter um RIPD pronto na gaveta. Ela dá à ANPD o poder de pedir o relatório, e a partir do pedido a elaboração passa a ser obrigatória. A lei prevê esse pedido em quatro situações:

Fora do pedido da ANPD, o relatório é recomendado. A orientação oficial é elaborar o RIPD sempre que o tratamento puder gerar alto risco aos princípios da lei e aos direitos dos titulares, e cabe à própria empresa fazer essa avaliação. A ANPD também recomenda fazer o relatório antes de começar o tratamento, ou assim que um tratamento de alto risco for identificado, se ele já estiver em andamento.

Como saber se o tratamento é de alto risco?

Enquanto não houver regulamento próprio do RIPD, a ANPD sugere usar o critério de alto risco do art. 4º da Resolução CD/ANPD nº 2/2022, escrita para agentes de pequeno porte. O tratamento é de alto risco quando reúne pelo menos um critério geral e um específico:

• Critérios gerais: tratamento em larga escala, ou tratamento que possa afetar significativamente interesses e direitos fundamentais dos titulares.
• Critérios específicos: uso de tecnologias emergentes ou inovadoras; vigilância ou controle de zonas acessíveis ao público; decisões tomadas unicamente com base em tratamento automatizado, inclusive para definir perfil; uso de dados sensíveis ou de dados de crianças, adolescentes e idosos.

Na nossa leitura, uma empresa grande que passa a controlar a entrada no escritório por biometria, que é dado sensível, pode cair nos dois critérios e deveria avaliar o RIPD antes de instalar o sistema. A ANPD lembra que a lista não é exaustiva, então a análise sempre depende do caso concreto.

O que o RIPD precisa conter?

O art. 38, parágrafo único, da LGPD fixa o conteúdo mínimo:

• Tipos de dados: a descrição dos dados coletados;
• Metodologia: como os dados são coletados e como a empresa garante a segurança das informações;
• Mitigação: a análise do controlador sobre as medidas, salvaguardas e mecanismos de mitigação de risco adotados.

A ANPD recomenda ir além do mínimo e incluir a identificação do controlador, do operador e do encarregado, a justificativa do relatório, os sistemas envolvidos, o ciclo completo do tratamento (da coleta à eliminação), as categorias e o volume de titulares, as finalidades, as hipóteses legais, a avaliação dos riscos com a metodologia usada e o registro das aprovações.

Como elaborar o RIPD, etapa por etapa?

A LGPD não define um passo a passo. A tabela abaixo organiza em etapas o conteúdo que a ANPD recomenda, e a ordem é uma sugestão nossa:

A revisão não pode ficar esquecida. A ANPD recomenda atualizar o RIPD quando as operações mudarem, quando surgirem riscos novos ou se agravarem os conhecidos, e quando sair regulamentação ou orientação nova da autoridade.

Quem participa e qual a diferença para o registro das operações?

A responsabilidade é do controlador, mas o relatório costuma envolver várias áreas: quem conhece o processo, a área de tecnologia e o jurídico. A ANPD considera desejável consultar o DPO (Encarregado de Dados) na elaboração e na análise das conclusões, e também admite ouvir operadores e até o público externo. Para entender o papel do encarregado, veja o guia sobre o encarregado de dados (DPO).

O RIPD também se confunde com o registro das operações de tratamento, que é outra obrigação:

Na prática, o registro das operações é o ponto de partida do RIPD: é dele que saem a lista de dados, as finalidades e os sistemas que o relatório vai analisar.

Como a Sincera ajuda

Na Sincera, você coloca em prática algumas das medidas de mitigação que o RIPD descreve: publicar a política de privacidade e as regras de uso de dados com assinatura eletrônica do time, aplicar treinamentos sobre proteção de dados e manter um canal para que funcionários relatem incidentes ou desvios. Também há uma inteligência artificial que responde dúvidas do time com base nas políticas da empresa. Você pode começar grátis, sem cartão de crédito.