Guias

Modelo de RIPD (relatório de impacto à proteção de dados pessoais) e DPIA: quando fazer e o que incluir

Pela Equipe NexoDocs · como fazemos e revisamos o conteúdo

O relatório de impacto à proteção de dados pessoais (RIPD) é o documento em que o controlador descreve um tratamento que pode gerar riscos às liberdades civis e aos direitos fundamentais dos titulares, junto com as medidas para mitigá-los. No Brasil, a LGPD o define no art. 5º, XVII, e permite que a ANPD o solicite (art. 38); na União Europeia (inclusive Portugal), o RGPD exige uma avaliação de impacto (AIPD ou DPIA) antes de tratamentos de alto risco (art. 35). Uma mesma metodologia atende às duas leis. Este guia é apenas informativo e não é assessoria jurídica.

Quando fazer o RIPD no Brasil

A LGPD não traz uma lista fechada de casos obrigatórios: a ANPD pode determinar que o controlador elabore o RIPD (art. 38), inclusive sobre operações baseadas no legítimo interesse (art. 10, § 3º), e o art. 4º, § 3º, prevê o pedido de relatório em tratamentos para fins de segurança pública. Na prática, é recomendável tê-lo pronto, antes de começar, quando o tratamento:

• Usa o legítimo interesse como base legal para dados que afetam significativamente o titular.
• Envolve dados pessoais sensíveis (saúde, biometria, origem racial, entre outros) ou dados de crianças e adolescentes.
• Faz monitoramento sistemático, perfilamento ou decisões automatizadas (art. 20).
• Usa tecnologia nova ou inteligência artificial com dados pessoais, ou ocorre em larga escala.

Consulte no site da ANPD se já existe regulamentação ou orientação específica sobre o RIPD antes de definir seu procedimento, e lembre que agentes de pequeno porte têm regras próprias (Resolução CD/ANPD nº 2/2022).

Quando a DPIA é obrigatória pelo RGPD (Portugal e UE)

O art. 35 do RGPD exige a avaliação de impacto quando o tratamento for suscetível de implicar um elevado risco para os direitos e liberdades das pessoas, e cita três casos em que ela é sempre necessária:

• Avaliação sistemática e completa de aspetos pessoais baseada em tratamento automatizado, incluindo a definição de perfis, com efeitos jurídicos ou igualmente significativos.
• Tratamento em grande escala de categorias especiais de dados ou de dados relativos a condenações penais e infrações.
• Controlo sistemático de zonas acessíveis ao público em grande escala.

Cada autoridade publica também uma lista de tratamentos que sempre exigem avaliação de impacto (art. 35, n.º 4); em Portugal, a CNPD publicou a sua. Se o risco continuar elevado depois das medidas, é preciso consultar a autoridade antes de começar (art. 36).

O modelo, pronto para usar

Kit ISO 27701: a documentação do seu sistema de gestão da privacidade

40 documentos Word · 15 ferramentas Excel · 78 controles do Anexo A

Ver o kit ISO 27701 com procedimento de RIPD e modelo de registro

Triagem: os 9 critérios do Comitê Europeu de Proteção de Dados

As diretrizes sobre DPIA endossadas pelo Comitê Europeu de Proteção de Dados propõem 9 critérios, úteis também para decidir quando fazer o RIPD. Como regra prática, um tratamento que cumpre dois ou mais deles provavelmente precisa de avaliação de impacto. Guarde essa triagem por escrito para cada tratamento novo ou alterado de forma relevante, mesmo quando a conclusão for que não é necessária:

Exemplo: uma loja virtual que monta perfis de compra (critério 1) de centenas de milhares de clientes (critério 5) cumpre dois critérios e deveria fazer o relatório; a folha de pagamento de uma pequena empresa, em geral, não.

O que o relatório deve conter

O art. 38, parágrafo único, da LGPD pede, no mínimo, a descrição dos tipos de dados coletados, a metodologia de coleta e de garantia da segurança e a análise do controlador sobre medidas, salvaguardas e mecanismos de mitigação de risco. O art. 35, n.º 7, do RGPD tem conteúdo equivalente. Um modelo útil organiza tudo em seções:

O relatório não é feito uma única vez: revise-o quando o risco mudar, por exemplo ao incluir novos dados, um novo operador ou uma funcionalidade automatizada.

Passo a passo

• Partir do registro das operações de tratamento: escolher o tratamento e copiar finalidade, dados, compartilhamentos e retenção.
• Fazer a triagem com os 9 critérios (e a lista da autoridade, no caso do RGPD); arquivá-la mesmo se o relatório não for necessário.
• Mapear o fluxo dos dados: de onde vêm, onde ficam, quem acessa e para onde vão.
• Avaliar cada risco aos titulares com a mesma escala de probabilidade e impacto do registro de riscos.
• Definir medidas com responsável e prazo, calcular o risco residual e obter a aprovação do dono do processo.
• Pedir o parecer do encarregado e, no RGPD, preparar a consulta prévia se o risco residual continuar alto.

Como se liga à ISO 27701

A ISO/IEC 27701:2025 inclui a avaliação de impacto à privacidade entre os controles para controladores (controle A.1.2.6) e a liga à avaliação de riscos do sistema de gestão (seção 6.1). O kit NexoDocs ISO 27701 traz um procedimento de avaliação de impacto (PIMS-PRO-02) com a triagem e as seções acima, ligado ao registro das operações de tratamento (PIMS-ROP-01) e ao registro de riscos de privacidade (PIMS-RSK-02), em arquivos Word e Excel editáveis.

Erros comuns

• Fazer o relatório depois que o tratamento já começou.
• Avaliar só os riscos para a empresa (multas, imagem) e não os riscos aos titulares, que são o centro do RIPD.
• Não guardar por escrito a triagem quando se conclui que o relatório não é necessário.
• Copiar um RIPD genérico sem descrever o fluxo real de dados e os operadores.
• Não revisá-lo quando o tratamento muda ou quando se adiciona uma ferramenta de IA.

Próximo passo

Teste grátis ou vá direto à solução completa.

Kit ISO 27701: a documentação do seu sistema de gestão da privacidade

40 documentos Word · 15 ferramentas Excel · 78 controles do Anexo A

Ver o kit ISO 27701 com procedimento de RIPD e modelo de registro

Amostra grátis

Baixe gratuitamente uma versão reduzida da matriz de riscos do kit (Excel, 10 cenários, mapa de calor; amostra em inglês). Veja como o nível e a categoria são calculados antes de decidir.

Baixar a amostra grátis (em inglês)

Perguntas frequentes

Guias relacionados

Atualizado: 2026-10-28