RIPD e privacy by design na LGPD

O RIPD, ou relatório de impacto à proteção de dados pessoais, é o documento em que a empresa descreve um tratamento de dados que pode trazer risco às pessoas, mede esse risco e registra o que fez para reduzi-lo. A LGPD não obriga toda empresa a ter um, mas a ANPD pode exigi-lo, e a própria Autoridade recomenda fazê-lo antes de começar qualquer tratamento de alto risco. O privacy by design é a outra face do mesmo dever: pensar a proteção de dados quando o produto ainda está sendo desenhado, e não depois do problema.

resposta curta

O controlador deve elaborar o RIPD quando a ANPD determinar (LGPD, arts. 10, § 3º, e 38), e a ANPD recomenda fazê-lo sempre que o tratamento puder gerar alto risco aos titulares. Enquanto não houver regulamento próprio, o parâmetro de alto risco é o do art. 4º da Resolução CD/ANPD nº 2/2022. O relatório deve conter, no mínimo, os tipos de dados, a metodologia de coleta e de segurança e as medidas de mitigação de risco (art. 38, parágrafo único).

O que é o RIPD

A LGPD define o relatório de impacto como a documentação do controlador que descreve os processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, junto com as medidas, salvaguardas e mecanismos de mitigação de risco (art. 5º, XVII). No mercado, o mesmo documento aparece com a sigla em inglês DPIA (data protection impact assessment).

O RIPD não se confunde com o registro das operações de tratamento, que controlador e operador devem manter para todas as operações (art. 37). O registro é o inventário do que a empresa faz com dados. O RIPD é uma análise de risco de um tratamento específico, em geral feita a partir desse inventário.

Quando a empresa precisa fazer o RIPD

A lei prevê situações em que a ANPD pode exigir o relatório:

Legítimo interesse: a ANPD pode solicitar o RIPD quando o tratamento tiver como base o interesse legítimo do controlador, observados os segredos comercial e industrial (art. 10, § 3º).
Qualquer controlador: a ANPD pode determinar a elaboração do relatório sobre as operações de tratamento, inclusive de dados sensíveis (art. 38).
Poder Público: a ANPD pode solicitar a órgãos e entidades públicos a publicação do RIPD (art. 32).

Fora dessas hipóteses, a orientação da ANPD é elaborar o RIPD sempre que o tratamento puder gerar alto risco aos princípios da LGPD e aos direitos dos titulares, avaliação que cabe ao próprio controlador. O fundamento é o princípio da responsabilização e prestação de contas, que exige demonstrar a adoção de medidas eficazes (art. 6º, X). O relatório também é uma forma de cumprir o programa de governança em privacidade, que deve ter políticas e salvaguardas baseadas em avaliação sistemática de impactos e riscos (art. 50, § 2º, I, d).

O momento recomendado é antes de iniciar o tratamento, para que os riscos sejam avaliados de antemão. Se isso não for possível, o relatório deve ser feito assim que o alto risco for identificado.

Quais tratamentos são de alto risco

A LGPD atribui à ANPD a edição de regulamento sobre o RIPD nos casos de alto risco (art. 55-J, XIII). Enquanto esse regulamento não é editado, a própria ANPD indica como parâmetro o conceito de alto risco do regulamento dos agentes de pequeno porte. Por ele, o tratamento é de alto risco quando reúne ao menos um critério geral e um critério específico (Resolução CD/ANPD nº 2/2022, art. 4º):

Critérios gerais (ao menos um)	Critérios específicos (ao menos um)
Larga escala: número significativo de titulares, considerando também volume de dados, duração, frequência e extensão geográfica (§ 1º).	Uso de tecnologias emergentes ou inovadoras.
Afetar significativamente interesses e direitos fundamentais: quando o tratamento pode impedir o exercício de direitos ou o uso de um serviço, ou causar danos materiais ou morais, como discriminação, violação da imagem e da reputação, fraudes financeiras ou roubo de identidade (§ 2º).	Vigilância ou controle de zonas acessíveis ao público.
	Decisões tomadas unicamente com base em tratamento automatizado, inclusive para definir perfil pessoal, profissional, de saúde, de consumo e de crédito.
	Uso de dados pessoais sensíveis ou de dados de crianças, adolescentes e idosos.

A ANPD dá dois exemplos: tratamento de dados sensíveis de um número significativo de titulares; e decisão unicamente automatizada que pode resultar na negativa de um direito ou de um serviço. Os critérios não são exaustivos: o controlador pode identificar alto risco em outras situações.

Exemplos de tratamento em larga escala

O regulamento não fixa um número mínimo de titulares. A larga escala é avaliada pelo número de pessoas atingidas, pelo volume de dados, pela duração, pela frequência e pela extensão geográfica do tratamento (Resolução CD/ANPD nº 2/2022, art. 4º, § 1º). Situações que costumam reunir esses fatores:

Situação	Por que se aproxima da larga escala	Critério específico que pode somar
Loja virtual que vende para todo o país	Cadastro, histórico de compras e endereços de uma base grande de clientes, guardados por anos e em vários estados.	Decisão automatizada, se houver antifraude ou crédito automático.
Rede de clínicas ou laboratórios	Prontuários e exames de muitos pacientes, em várias unidades e por longo período.	Dados de saúde, que são sensíveis (LGPD, art. 5º, II).
Aplicativo de entrega ou de transporte	Localização de usuários e de entregadores coletada de forma contínua, em várias cidades.	Tecnologia inovadora; decisão automatizada na distribuição de corridas.
Câmeras em shopping, estacionamento ou condomínio grande	Imagens de grande número de pessoas, todos os dias.	Vigilância de zona acessível ao público; biometria, se houver reconhecimento facial.
Empresa com milhares de empregados	Dados funcionais, de saúde ocupacional e de jornada de todo o quadro, durante todo o contrato.	Dados de saúde e, conforme o caso, biometria no ponto eletrônico.

Larga escala sozinha não basta para o alto risco: é preciso também um critério específico. O inverso também vale: dados sensíveis de poucos titulares só entram no conceito se o tratamento puder afetar significativamente seus direitos (art. 4º, I, b).

Exemplos de decisão automatizada

Decisão automatizada é a tomada unicamente por sistema, sem que uma pessoa analise o caso. A LGPD dá ao titular o direito de pedir a revisão dessas decisões quando afetam seus interesses, inclusive as que definem seu perfil pessoal, profissional, de consumo e de crédito (art. 20). Alguns exemplos comuns em empresas:

Triagem de currículos. O sistema lê os currículos, atribui uma nota e elimina os candidatos abaixo do corte, sem que ninguém do RH veja os eliminados. É decisão unicamente automatizada que define perfil profissional e pode impedir o acesso à vaga ou reproduzir discriminação, o que reúne um critério específico e um geral (Resolução CD/ANPD nº 2/2022, art. 4º, I, b, e II, c, e § 2º). Se o sistema apenas ordena os currículos e um recrutador avalia todos antes de decidir, a decisão deixa de ser tomada unicamente pelo sistema; o uso da ferramenta continua a merecer análise de risco, por ser tecnologia inovadora.
Crédito e parcelamento. Aprovação ou recusa automática de crédito, de limite ou de compra a prazo a partir de um score. Define perfil de crédito e pode negar o serviço.
Antifraude. Bloqueio automático de compra, de cadastro ou de conta por suspeita de fraude. Pode impedir a utilização de um serviço (art. 4º, § 2º).
Preço e oferta por perfil. Preço, desconto ou condição definidos pelo perfil de consumo do cliente.
Gestão de pessoas. Avaliação de desempenho, distribuição de tarefas ou desligamento indicados por sistema, sem análise de um gestor.

Nesses casos, o RIPD deve registrar os critérios e a lógica da decisão. O controlador precisa fornecer ao titular, quando pedido, informações claras sobre os critérios e os procedimentos usados, observados os segredos comercial e industrial; se recusar com base em segredo, a ANPD pode fazer auditoria para verificar aspectos discriminatórios (LGPD, art. 20, §§ 1º e 2º). Sobre o uso de ferramentas de IA com dados de clientes e candidatos, veja política de uso de IA na empresa.

por onde começar

O projeto da empresa se parece com qual destes?

Biometria no controle de acesso ou monitoramento por câmeras

Biometria é dado sensível (LGPD, art. 5º, II), e câmeras em áreas abertas ao público são vigilância de zona acessível ao público; com muitos titulares, os dois casos se aproximam do alto risco (Resolução CD/ANPD nº 2/2022, art. 4º). Câmeras e biometria em condomínios

Ferramenta de IA que analisa clientes ou candidatos

Tecnologia inovadora e, conforme o uso, decisão automatizada que pode negar crédito, serviço ou vaga (art. 4º, II, a e c). Política de uso de IA na empresa

Dados de saúde de empregados ou clientes

Dado sensível. Em larga escala, ou se o uso puder causar discriminação, o tratamento entra nos critérios de alto risco (art. 4º, I e II, d). O papel do encarregado

O que o RIPD deve conter

O conteúdo mínimo está na lei: a descrição dos tipos de dados coletados, a metodologia usada para a coleta e para a garantia da segurança das informações e a análise do controlador sobre as medidas, salvaguardas e mecanismos de mitigação de risco adotados (art. 38, parágrafo único).

A ANPD recomenda um conteúdo mais completo, que serve de roteiro:

Identificação dos agentes de tratamento e do encarregado, e das outras partes consultadas, com os pareceres emitidos.
Justificativa do relatório (alto risco, pedido da ANPD, gestão de riscos) e o projeto ou processo que o motiva, com os sistemas envolvidos.
Descrição do tratamento da coleta à eliminação: dados pessoais e sensíveis, categorias de titulares, dados de crianças, adolescentes ou idosos, volume, fonte de coleta, finalidade de cada dado, compartilhamentos internos e externos, transferência internacional, prazos de retenção e forma de descarte.
Hipótese legal escolhida para cada finalidade, com a justificativa.
Análise dos princípios da LGPD, com atenção à necessidade e à proporcionalidade do tratamento.
Riscos ao titular e resultado apurado pela metodologia adotada.
Medidas de mitigação de cada risco.
Comentários e aprovações, com o registro de opiniões divergentes e da justificativa da opção adotada.

Enquanto o tema não é regulamentado, o formato é livre. A metodologia de gestão de riscos também é escolha do controlador, e a ANPD recomenda as reconhecidas como boas práticas pela comunidade técnica. Para cada risco, estima-se a probabilidade e o impacto sobre os titulares, como perda de confidencialidade, reversão da anonimização ou uso dos dados para fins incompatíveis.

Um relatório por projeto e revisão contínua

Segundo a ANPD, cada RIPD corresponde a um projeto ou processo com uma mesma finalidade. Operações parecidas em natureza, finalidade e risco podem ficar num só relatório. Quando dois controladores compartilham dados, cada um pode ter o seu, mesmo usando a mesma plataforma.

Depois de pronto, o RIPD orienta uma decisão: seguir com o tratamento, modificá-lo ou desistir dele. As medidas indicadas devem ser implementadas, e o relatório deve ser revisto quando mudarem as operações, surgirem novos riscos ou houver nova norma ou orientação da ANPD.

Precisa enviar à ANPD ou publicar?

A LGPD não manda enviar o relatório à ANPD como regra. O controlador o encaminha quando a Autoridade requisitar, e a recusa sujeita a empresa a medidas de fiscalização. A publicação também não é obrigatória para empresas privadas. Se a empresa decidir publicar, pode divulgar uma versão diferente da interna, preservando segredos comercial e industrial. Para órgãos públicos, a regra é outra: publicação por determinação da ANPD (art. 32) ou pela Lei de Acesso à Informação.

Privacy by design: proteção de dados desde a concepção

Privacy by design (privacidade desde a concepção) é a ideia de que a proteção de dados entra no projeto do produto ou serviço desde o início. A LGPD não usa a expressão em inglês, mas traz o dever: as medidas de segurança técnicas e administrativas devem ser observadas desde a fase de concepção do produto ou do serviço até a sua execução (art. 46, § 2º). Os sistemas usados no tratamento devem ser estruturados para atender aos requisitos de segurança, às boas práticas e aos princípios da lei (art. 49).

O complemento é a privacidade por padrão (privacy by default): a configuração inicial do produto já deve ser a mais protetiva, coletando só o necessário. O regulamento do encarregado menciona expressamente produtos e serviços com padrões de design compatíveis com os princípios da LGPD, incluindo a privacidade por padrão e a limitação da coleta ao mínimo necessário (Resolução CD/ANPD nº 18/2024, art. 16, X). Isso decorre do princípio da necessidade, que limita o tratamento aos dados pertinentes, proporcionais e não excessivos (LGPD, art. 6º, III).

Na prática, o RIPD é a ferramenta que materializa o privacy by design: feito na fase de projeto, mostra quais dados são de fato necessários, onde estão os riscos e quais controles precisam estar no produto antes do lançamento.

Por que o RIPD importa numa fiscalização

Na aplicação de sanções, a ANPD considera a adoção reiterada e demonstrada de mecanismos internos capazes de minimizar o dano e a adoção de política de boas práticas e governança (LGPD, art. 52, § 1º, VIII e IX). Um RIPD feito antes do tratamento, com as medidas implementadas, é prova documental dessa governança. Veja como funciona o processo sancionador da ANPD e, se o risco se concretizar, o que fazer num vazamento de dados.

A empresa de pequeno porte tem tratamento simplificado em algumas obrigações, como o registro das operações (Resolução CD/ANPD nº 2/2022, art. 9º), mas a ANPD pode determinar o cumprimento das obrigações dispensadas ou flexibilizadas conforme a natureza, o volume e os riscos do tratamento (art. 16).

O que fazer

Mapeie os tratamentos. Use o registro das operações (LGPD, art. 37) para listar o que a empresa faz com dados pessoais.
Faça a triagem de risco. Aplique os critérios gerais e específicos da Resolução CD/ANPD nº 2/2022, art. 4º, a cada projeto, e priorize os que usam legítimo interesse, dados sensíveis, IA ou decisões automatizadas.
Elabore o RIPD antes de lançar. Envolva o encarregado, a área de tecnologia e a área de negócio; registre a metodologia e as divergências.
Leve as conclusões para o produto. Coleta mínima, configuração protetiva por padrão, controles de acesso, prazos de retenção e descarte.
Revise. Atualize o relatório quando o tratamento mudar e guarde as versões para apresentar à ANPD se houver requisição.

Termos usados neste artigo

Controlador: Pessoa natural ou jurídica a quem competem as decisões sobre o tratamento de dados pessoais (LGPD, art. 5º, VI). É o responsável por elaborar o RIPD (LGPD, arts. 5º, XVII, e 38).
Registro das operações de tratamento: Documento que controlador e operador devem manter sobre as operações de tratamento que realizam, especialmente quando baseadas no legítimo interesse (LGPD, art. 37).
Responsabilização e prestação de contas: Princípio da LGPD que exige do agente a demonstração de medidas eficazes para cumprir as normas de proteção de dados, e da eficácia dessas medidas (art. 6º, X).
Dados pessoais sensíveis: Dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical ou a organização religiosa, filosófica ou política, saúde, vida sexual, dados genéticos ou biométricos, quando vinculados a uma pessoa (LGPD, art. 5º, II). O uso desses dados é critério específico de alto risco (Resolução CD/ANPD nº 2/2022, art. 4º, II, d).

Perguntas frequentes

O que é RIPD?

É o relatório de impacto à proteção de dados pessoais: a documentação do controlador que descreve os tratamentos de dados que podem gerar riscos às liberdades civis e aos direitos fundamentais, com as medidas, salvaguardas e mecanismos de mitigação de risco (LGPD, art. 5º, XVII).

Toda empresa é obrigada a fazer RIPD?

Não há obrigação geral. O controlador deve elaborá-lo quando a ANPD determinar (LGPD, arts. 10, § 3º, e 38), e a ANPD recomenda fazê-lo sempre que o tratamento puder gerar alto risco aos titulares, avaliação que cabe ao próprio controlador, com base no princípio da responsabilização e prestação de contas (art. 6º, X).

Triagem automática de currículos exige RIPD?

Quando o sistema elimina candidatos sem análise de uma pessoa, a decisão é unicamente automatizada, define perfil profissional e pode impedir o acesso à vaga, o que reúne os critérios de alto risco usados como parâmetro pela ANPD (Resolução CD/ANPD nº 2/2022, art. 4º). Nesse cenário, a ANPD recomenda o RIPD. O candidato pode pedir a revisão da decisão e informações sobre os critérios usados (LGPD, art. 20).

Quem faz o RIPD, o controlador ou o operador?

O controlador, que é quem decide sobre o tratamento (LGPD, arts. 5º, XVII, e 38). O encarregado presta assistência e orientação na elaboração (Resolução CD/ANPD nº 18/2024, art. 16, III), e a ANPD considera desejável consultá-lo também na análise das conclusões.

O RIPD precisa ser enviado à ANPD ou publicado no site?

Em regra, não. O controlador envia o relatório quando a ANPD o requisitar, sob pena de medidas de fiscalização. A publicação é facultativa para empresas privadas, e a versão pública pode ser diferente da interna para proteger segredos comercial e industrial, segundo as orientações da ANPD.

O que é privacy by design na LGPD?

É a proteção de dados pensada desde a concepção do produto ou serviço. A LGPD exige que as medidas de segurança sejam observadas desde a fase de concepção até a execução (art. 46, § 2º), e o regulamento do encarregado fala em produtos e serviços com privacidade por padrão e coleta limitada ao mínimo necessário (Resolução CD/ANPD nº 18/2024, art. 16, X).