Relatório de Impacto à Proteção de Dados Pessoais (RIPD)

O Relatório de Impacto à Proteção de Dados Pessoais (RIPD), também conhecido pela sigla em inglês DPIA (Data Protection Impact Assessment), é uma documentação obrigatória em contextos de alto risco utilizado pelos Controladores e Operadores conforme a ANPD.

O RIPD visa descrever os processos de tratamento de dados pessoais que possam gerar alto risco à garantia dos princípios gerais de proteção de dados pessoais previstos na LGPD e às liberdades civis e aos direitos fundamentais do titular. Ele deve apresentar as medidas, salvaguardas e mecanismos de mitigação de risco adotados pelo controlador e também junto ao Operador quando necessário.

A seguir, apresentamos o processo e os requisitos para desenvolver o RIPD, conforme as orientações fornecidas nos materiais.

1. Responsabilidade e Momento de Elaboração

Quem é o responsável?

O controlador é o agente de tratamento responsável pela elaboração do RIPD.

Quando elaborar o RIPD?

Recomenda-se elaborar o RIPD antes de o controlador iniciar o tratamento dos dados pessoais para a finalidade desejada. Isso permite avaliar antecipadamente os riscos e adotar as salvaguardas apropriadas antes de usar os dados.

O controlador deverá elaborar o RIPD quando for solicitado pela Autoridade Nacional de Proteção de Dados (ANPD).

Contextos que Requerem ou Recomendam o RIPD

O RIPD é recomendado sempre que as operações de tratamento puderem gerar alto risco aos direitos fundamentais e princípios da LGPD. A LGPD e a ANPD listam situações específicas que podem exigir o RIPD:

1. Alto Risco (Critério Geral): Quando o tratamento puder impedir o exercício de direitos ou a utilização de um serviço, ou ocasionar danos materiais ou morais aos titulares, como discriminação, violação à integridade física, ao direito à imagem e à reputação, fraudes financeiras.

2. Larga Escala: Quando o tratamento abranger um número significativo de titulares, considerando o volume de dados envolvidos, a duração, a frequência e a extensão geográfica do tratamento.

3. Tratamento de Dados Sensíveis ou Vulneráveis: Utilização de dados pessoais sensíveis ou de dados pessoais de crianças, adolescentes e idosos.

4. Decisões Automatizadas: Decisões tomadas unicamente com base em tratamento automatizado de dados pessoais.

5. Interesse Legítimo: Quando o tratamento tiver como fundamento a hipótese de legítimo interesse (Art. 10, § 3º). O RIPD, neste caso, pode incorporar o Teste de Balanceamento (LIA), contendo uma análise mais ampla dos riscos e mitigação.

6. Poder Público: Para agentes do Poder Público.

7. Segurança Pública: Operações de tratamento efetuadas para fins exclusivos de segurança pública, defesa nacional, segurança do Estado ou atividades de investigação e repressão de infrações penais (Art. 4º, § 3º).

8. Governança: O RIPD pode ser implementado como parte do programa de governança em privacidade para estabelecer salvaguardas com base em avaliação sistemática de impactos e riscos (Art. 50, § 2º, I, d).

2. Conteúdo Mínimo e Detalhado do RIPD

O relatório deve ser suficientemente detalhado para que a ANPD e o controlador tenham uma compreensão ampla de como ocorre o tratamento dos dados pessoais e os possíveis riscos associados.

Requisitos Mínimos (Art. 38 da LGPD)

O RIPD deve conter, pelo menos,:

a) A descrição dos tipos de dados pessoais coletados e tratados de qualquer forma.

b) A metodologia usada para o tratamento e para a garantia da segurança das informações.

c) A análise do controlador com relação a medidas, salvaguardas e mecanismos de mitigação de riscos adotados.

Conteúdo Recomendado pela ANPD

A ANPD recomenda que o RIPD reúna dados e informações adicionais para uma avaliação completa:

Categoria

Conteúdo Recomendado no RIPD

Identificação

Identificação dos agentes de tratamento (Controlador, Operador) e do Encarregado (DPO).

Justificativa

Justificativa da necessidade de elaboração do relatório (alto risco, solicitação da ANPD, gestão de riscos, etc.).

Descrição do Tratamento

Descrição completa do tratamento (desde a coleta até a eliminação). Incluir o Projeto/Processo e Sistemas de informação relacionados.

Dados

Informar todos os tipos de dados pessoais e sensíveis tratados. Indicar as categorias de titulares (clientes, funcionários, vulneráveis).

Volume

Volume de dados pessoais tratados e número de titulares envolvidos no tratamento.

Finalidade e Base Legal

Finalidade do tratamento (incluindo interesses legítimos, se for o caso). Justificativa da escolha da hipótese legal para cada finalidade.

Compartilhamento

Informar o compartilhamento interno e externo (inclusive transferência internacional, se houver).

Retenção

Política de armazenamento, descrevendo os prazos de retenção e métodos de descarte (eliminação).

Análise de Conformidade

Análise dos princípios da LGPD (como a necessidade e a proporcionalidade das operações).

Gestão de Riscos

Riscos identificados ao titular. Resultado apurado com base na metodologia utilizada pelo controlador.

Mitigação

Descrição das medidas, salvaguardas e mecanismos de mitigação de risco adotados.

Consulta e Aprovação

Informar se outras partes interessadas foram consultadas e os pareceres emitidos. Espaço para comentários e aprovações.

3. Etapas de Desenvolvimento (Metodologia)

O desenvolvimento do RIPD está inserido na gestão de riscos e governança em privacidade.

A. Consulta e Engajamento

É desejável que o Encarregado (DPO) seja consultado na elaboração e na análise das conclusões do RIPD. O controlador também pode consultar outros membros da organização, operadores, e o público externo, incluindo especialistas e titulares de dados pessoais. Registrar opiniões divergentes e as justificativas para a opção adotada é considerado uma boa prática de transparência e accountability.

B. Mapeamento e Contexto

O RIPD se baseia no entendimento completo do tratamento de dados. É fundamental entender o fluxo dos dados, o escopo do tratamento, a abrangência e a natureza do relacionamento com os titulares.

C. Gestão e Análise de Riscos

A análise de riscos é o coração do RIPD. A gestão de riscos é um processo sistemático que deve estar alinhado à política de segurança da organização.

1. Identificação de Fatores de Risco: O controlador deve identificar o maior número possível de fatores que possam afetar os dados pessoais, principalmente os mais relevantes.

2. Avaliação de Risco: Para cada fator identificado, deve-se estimar a probabilidade de materialização do risco e o impacto inerente sobre as liberdades e direitos fundamentais dos titulares. A avaliação de risco deve levar em conta as possíveis consequências, como perda de confidencialidade, integridade ou disponibilidade, ou uso de dados para fins incompatíveis.

3. Metodologia: A decisão sobre a metodologia a ser adotada é responsabilidade do controlador. Recomenda-se adotar aquelas reconhecidas como boas práticas pela comunidade técnica de segurança, privacidade e proteção de dados. A existência de múltiplos fatores de risco pode aumentar o nível de risco, exigindo uma análise das interações e efeitos combinados.

D. Medidas, Salvaguardas e Mitigação

Com base na avaliação de riscos, o RIPD deve detalhar as medidas, salvaguardas e mecanismos de mitigação que foram ou serão adotados para reduzir a probabilidade e/ou o impacto dos riscos identificados. O controlador deve observar as recomendações provenientes do RIPD na implementação dessas medidas.

4. Transparência e Revisão

Publicidade

Embora a divulgação do RIPD não seja, em regra, obrigatória, a ANPD incentiva que seja disponibilizado ao público como uma medida de transparência e prestação de contas (accountability).

• A versão pública pode ser diferente da versão interna para resguardar segredos comerciais e industriais e outras informações protegidas por lei.

• No contexto de Cidades Inteligentes, por exemplo, a produção e disponibilização pública de relatórios de impacto é essencial para comunicar à sociedade (usuários e público em geral) informações sobre tipos de dados, destinação, segurança e medidas de mitigação de riscos.

Revisão Contínua

Recomenda-se a revisão contínua do RIPD, especialmente quando houver fatos novos que possam ensejar mudanças nos riscos identificados, como alteração nas operações de tratamento, identificação de novos fatores de risco, ou novas regulamentações e orientações da ANPD.