Relatório de Impacto (RIPD)
Definição
Documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais do titular, bem como medidas, salvaguardas e mecanismos de mitigação de risco. A LGPD não fixa uma lista de casos em que o RIPD é automaticamente obrigatório: o art. 38 prevê que a ANPD pode determinar sua elaboração, inclusive quando o tratamento envolve dados sensíveis. Na prática, tratamentos de maior risco — dados sensíveis, decisões automatizadas, larga escala — são os candidatos naturais a ter o relatório pronto.
Exemplo prático
Uma empresa que implementa um sistema de reconhecimento facial para controle de acesso de funcionários precisa elaborar um RIPD, descrevendo os riscos de vazamento de dados biométricos, as medidas de criptografia adotadas e o procedimento para que o funcionário exerça seus direitos. O relatório deve ser mantido atualizado e apresentado à ANPD quando solicitado.