DPIA – Data Protection Impact Assessment

O DPIA é uma avaliação estruturada e obrigatória no âmbito do GDPR (Regulamento Europeu) quando o tratamento de dados pessoais pode gerar alto risco aos direitos e liberdades dos titulares.

O objetivo é identificar vulnerabilidades, avaliar impactos e definir medidas de mitigação para proteger os titulares.


Obrigações principais:

  • Mapear o tratamento: identificar quais dados pessoais são coletados, sua finalidade e ciclo de vida.
  • Avaliar riscos: identificar vulnerabilidades técnicas, organizacionais e jurídicas.
  • Mensurar impactos: analisar o potencial de danos aos titulares em caso de incidentes.
  • Definir medidas de mitigação: implementar controles de segurança, governança e compliance.
  • Documentar e revisar: manter o relatório atualizado e acessível às autoridades de proteção de dados.

O DPIA é uma ferramenta preventiva de responsabilidades e transparência.


RIPD – Relatório de Impacto à Proteção de Dados (LGPD / Brasil)

É a versão brasileira do DPIA, prevista na LGPD (art. 38) e regulada pela ANPD (Autoridade Nacional de Proteção de Dados). O RIPD é obrigatório em situações de alto risco para os direitos e liberdades dos titulares de dados, devendo demonstrar que a empresa adota controles adequados de segurança, governança e compliance.


O que a ANPD exige no RIPD:

  • Descrição detalhada das operações de tratamento de dados pessoais.
  • Finalidades do tratamento e a sua necessidade para a atividade empresarial.
  • Análise dos riscos para os titulares, considerando probabilidade e gravidade.
  • Medidas técnicas e administrativas adotadas para mitigar riscos e proteger dados pessoais.
  • Avaliação da conformidade com a LGPD, incluindo bases legais utilizadas.
  • Demonstração de governança e boas práticas, comprovando que a empresa adota controles eficazes.

A ANPD pode solicitar o RIPD a qualquer momento, especialmente em fiscalizações, auditorias ou investigações. Não apresentar o relatório pode resultar em sanções administrativas e fragilizar a defesa da empresa em caso de incidentes de segurança.


Por que é importante?

Esses instrumentos garantem conformidade legal, transparência e confiança, além de reduzirem riscos de sanções e danos à reputação da empresa.


Em resumo:

  • Tratamento de dados: qualquer uso de dados pessoais.
  • Base Legal: requisito previsto na LGPD que autoriza o tratamento de dados.
  • DPIA: análise de riscos em privacidade (termo global/GPDR).
  • RIPD: versão exigida pela LGPD no Brasil, com foco na proteção dos titulares.


Matéria relacionada: Base Legal para o Tratamento de Dados - Artigo 7 da LGPD