DPIA / RIPD: quando a ANPD pode exigir.
O Relatório de Impacto à Proteção de Dados Pessoais (RIPD, conhecido internacionalmente como DPIA) é exigido pela LGPD · Art. 38 sempre que o tratamento oferecer alto risco aos direitos dos titulares. A Res. CD/ANPD 18/2024 regulamentou critérios objetivos de alto risco e estrutura mínima do documento.
Quando o DPIA é obrigatório.
Res. CD/ANPD 18/2024 identifica critérios de alto risco. Tratamento é de alto risco quando combina 2 ou mais dos seguintes:
- Larga escala (milhares de titulares · toda a base)
- Dados sensíveis (Art. 5º II · saúde, biometria, orientação sexual, convicção, etc)
- Avaliação sistemática (scoring de crédito, perfilização de marketing comportamental)
- Decisões automatizadas com efeitos legais ou significativos (Art. 20)
- Tecnologia inovadora (IA generativa, reconhecimento facial, análise preditiva)
- Combinação de bases (cruzamento que amplifique risco)
- Titulares vulneráveis (crianças Art. 14, idosos, pessoas com deficiência)
- Impedimento de direitos (tratamento que dificulte exercício de direitos do Art. 18)
Estrutura mínima · Res. 18/2024.
- Descrição do tratamento · fluxo de dados · atores envolvidos
- Finalidade e base legal (Art. 7º ou Art. 11)
- Necessidade e proporcionalidade da coleta (princípios Art. 6º III e VIII)
- Identificação de riscos · probabilidade × gravidade · impacto nos titulares
- Medidas mitigadoras técnicas e administrativas (criptografia, pseudonimização, auditoria)
- Consulta ao DPO e/ou titulares representativos quando aplicável
- Decisão final do controlador · prosseguir, modificar ou cancelar
- Revisão periódica (anual ou quando mudança material)
DPIA basic vs complex.
SaaS B2B processando contato comercial + analytics. Baixo risco. Descrição + bases legais + medidas técnicas padrão. Template curto, revisão anual.
Fintech com scoring automatizado de crédito. Alto risco. DPIA completo com matriz de risco probabilidade × gravidade, consulta ao DPO, trilha auditável hash-assinada.
Quando risco residual após mitigação permanece alto, Art. 38 § 2º permite consulta prévia à ANPD. Resposta em ~90 dias · serve de escudo legal.