RIPD (relatório de impacto à proteção de dados)
RIPD é o documento previsto na LGPD que descreve um tratamento de dado pessoal, os riscos que ele traz aos titulares e as medidas para reduzi-los. Pode ser exigido pela autoridade e faz sentido sobretudo em tratamento de alto risco.
O RIPD não é feito para a empresa inteira. Ele olha um tratamento específico: o prontuário do paciente, o monitoramento por câmera com reconhecimento, a análise de crédito automatizada. Descreve que dado é usado, para quê, com quem é compartilhado e o que pode dar errado para a pessoa.
A lei prevê que a autoridade nacional pode pedir o relatório. Na hora do pedido, não dá tempo de fazer bem, e documento escrito às pressas mostra isso. Quem trata dado sensível ou em grande volume se beneficia de ter o relatório pronto antes.
O mal-entendido é tratá-lo como formulário. Copiar um modelo e marcar caixas gera um documento que não identifica o risco real. O valor está na análise: avaliar se o tratamento é necessário, se há dado a mais sendo coletado e se as proteções são proporcionais.
Ele também envelhece. Sistema novo, fornecedor novo ou finalidade nova mudam o risco, e o relatório precisa acompanhar. Um RIPD de três anos atrás sobre um processo que mudou não protege ninguém.
Quando se aplica
- A empresa trata dado sensível, como saúde ou biometria, em volume relevante.
- Vai lançar sistema ou processo novo que usa dado pessoal de forma intensa ou automatizada.
- Há decisão automatizada que afeta o titular, como aprovação de crédito ou triagem.
- Cliente ou parceiro pediu evidência de avaliação de risco sobre um tratamento.
Quando não se aplica
- Para todo tratamento corriqueiro de baixo risco. O inventário de dados basta nesses casos.
- Como modelo preenchido sem análise. Documento genérico não resiste a uma pergunta da autoridade.
- Como documento único e definitivo. Mudou o processo, o relatório precisa ser revisto.
Identificação dos tratamentos de alto risco e elaboração do relatório com a área envolvida.
Termos relacionados
O relatório bom é o que já existia antes de alguém pedir.
O diagnóstico aponta quais tratamentos da empresa têm risco suficiente para exigir o relatório e o que falta documentar.
Agendar diagnóstico