A LGPD não obriga a fazer um relatório de impacto à proteção de dados (RIPD) para todo tratamento. A ANPD pode exigi-lo a qualquer momento, e recomenda elaborá-lo sempre que o tratamento puder gerar alto risco aos titulares, de preferência antes de começar. Já o registro das operações de tratamento (art. 37) é obrigatório para todo controlador e operador, e é dele que sai a resposta para a pergunta «quais tratamentos precisam de RIPD?».
Em outubro de 2026, ainda não existe regulamento específico do RIPD. O tema está na Agenda Regulatória da ANPD e, até ele sair, a própria Agência indica usar como referência os critérios de alto risco da Resolução CD/ANPD nº 2/2022. A seguir, como aplicar esses critérios, o que colocar no relatório e como o registro sustenta tudo.
Registro e RIPD não são a mesma coisa
Os dois documentos costumam ser confundidos, e a diferença muda o esforço:
| Registro das operações (art. 37) | RIPD (arts. 5º, XVII, e 38) | |
|---|---|---|
| Quem | Controlador e operador. | Controlador. |
| Abrangência | Todas as operações de tratamento. | Tratamentos que possam gerar alto risco, ou quando a ANPD pedir. |
| Obrigatório? | Sim, sempre. Agentes de pequeno porte podem usar formato simplificado. | Quando a ANPD determinar. Recomendado nos casos de alto risco. |
| Pergunta que responde | O que tratamos, para quê, com qual base legal, com quem compartilhamos e por quanto tempo guardamos. | Quais riscos esse tratamento gera aos titulares e como os mitigamos. |
O art. 37 traz um detalhe que costuma passar batido: o registro é exigido «especialmente quando baseado no legítimo interesse». E o art. 10, § 3º, permite à ANPD pedir RIPD justamente para tratamentos com essa base. Na nossa leitura, todo tratamento apoiado em legítimo interesse deveria ter, no mínimo, o teste de balanceamento documentado e uma avaliação de risco que possa virar RIPD rapidamente.
Quando a ANPD pode exigir o relatório
A lei dá à ANPD quatro portas para pedir o RIPD:
- tratamentos para segurança pública, defesa e investigação penal (art. 4º, § 3º);
- tratamentos com base no legítimo interesse (art. 10, § 3º);
- agentes do Poder Público, a quem pode pedir também a publicação do relatório (art. 32);
- qualquer controlador, inclusive quanto a dados sensíveis (art. 38).
Há ainda uma quinta porta, menos lembrada. Quando analisa um incidente de segurança, a ANPD pode pedir o registro das operações e o RIPD junto com o relatório de tratamento do incidente (art. 8º da Resolução CD/ANPD nº 15/2024). É no meio de uma crise que se descobre se o relatório existe.
Como saber se o tratamento é de alto risco
Enquanto não há regulamento próprio, a página de orientação da ANPD sobre o RIPD manda usar o art. 4º da Resolução CD/ANPD nº 2/2022. O tratamento é de alto risco quando reúne pelo menos um critério geral e um específico:
- Critérios gerais: tratamento em larga escala, ou tratamento que possa afetar significativamente interesses e direitos fundamentais dos titulares.
- Critérios específicos: uso de tecnologias emergentes ou inovadoras; vigilância ou controle de zonas acessíveis ao público; decisões tomadas unicamente com base em tratamento automatizado, inclusive as que definem o perfil do titular; uso de dados sensíveis ou de dados de crianças, adolescentes e idosos.
Alguns exemplos de combinação: reconhecimento facial no acesso a uma unidade com grande circulação (larga escala + biometria, que é dado sensível); um modelo de IA que aprova ou recusa crédito sem revisão humana (afetação significativa + decisão automatizada); câmeras com análise de imagem em um centro comercial (larga escala + vigilância de zona pública). A ANPD avisa que a lista não é exaustiva: o controlador tem de olhar o caso concreto.
Um ponto que convém acompanhar: o guia da ANPD sobre definição de alto risco e larga escala estava com o Conselho Diretor para aprovação, segundo o balanço da Agenda Regulatória do primeiro semestre de 2026. Quando sair, deve dar parâmetros mais objetivos para essa triagem.
O que colocar no relatório
O mínimo legal está no parágrafo único do art. 38: descrição dos tipos de dados coletados, a metodologia usada para a coleta e para a segurança das informações, e a análise do controlador sobre as medidas, salvaguardas e mecanismos de mitigação de risco adotados.
A orientação da ANPD vai além e sugere incluir:
- identificação do controlador, dos operadores, do encarregado e de outras partes envolvidas;
- a justificativa do relatório e o projeto ou processo a que se refere;
- os sistemas de informação usados;
- o ciclo de vida completo: tipos de dados, categorias de titulares (com atenção a grupos vulneráveis), volume, origem, finalidades, compartilhamentos, inclusive transferências internacionais, retenção e descarte;
- a base legal de cada finalidade e a análise dos princípios da LGPD;
- os riscos aos titulares e o resultado da avaliação pela metodologia escolhida;
- as medidas e salvaguardas, os comentários recebidos e as aprovações.
A ANPD não impõe metodologia de risco. Na nossa leitura, a escolha importa menos do que a coerência: a mesma escala de probabilidade e impacto em todos os relatórios, com o risco avaliado do ponto de vista do titular, e não da empresa. Quem já usa uma metodologia de análise de riscos para segurança da informação pode adaptá-la, desde que troque a pergunta «quanto isso custa para nós?» por «o que isso causa à pessoa?».
Quem faz, quando revisa e se precisa publicar
O RIPD é do controlador. O encarregado deve ser consultado, e a Resolução CD/ANPD nº 18/2024 inclui a assistência na elaboração do relatório de impacto entre as atribuições dele (art. 16, III). Operadores, outras áreas e até partes externas podem ser ouvidos, e a ANPD considera boa prática registrar opiniões divergentes e as razões da decisão tomada.
Outras orientações da página da ANPD que ajudam a dimensionar o trabalho:
- Um relatório por projeto ou processo com finalidade única. Operações parecidas podem compartilhar o mesmo RIPD.
- Revisão periódica. Especialmente quando o tratamento muda, surgem novos riscos ou sai nova regulamentação.
- Publicação não obrigatória para empresas privadas. Publicar pode demonstrar transparência, e a versão pública pode omitir segredos comerciais. Órgãos públicos devem publicar quando a ANPD determinar ou quando não houver sigilo pela Lei de Acesso à Informação.
O registro das operações, na prática
Sem registro, a triagem de alto risco é um palpite. Ele é o inventário a partir do qual se decide onde fazer RIPD, e alimenta também o atendimento a titulares e a resposta a incidentes.
A lei não fixa um modelo para o registro geral. Para agentes de tratamento de pequeno porte, a Resolução CD/ANPD nº 2/2022 permite um registro simplificado (art. 9º), e a ANPD publicou um modelo em Excel e PDF com os campos essenciais, como categorias de titulares, dados tratados, compartilhamento, medidas de segurança, período de armazenamento e finalidade com a base legal. Na nossa leitura, esses campos são um bom piso também para empresas maiores, que normalmente precisam acrescentar sistemas, operadores, países de destino e o vínculo com o RIPD quando houver.
O que ainda vai mudar
O regulamento do RIPD é o item 2 da Agenda Regulatória 2025-2026, na fase de prioridade máxima. Segundo o balanço da ANPD de agosto de 2026, a consulta interna foi feita e a análise de impacto regulatório estava em finalização. Pelo rito da Agência, a etapa seguinte é a consulta pública. Temas próximos também andam em paralelo: dados biométricos, inteligência artificial e decisões automatizadas, e o guia de alto risco.
Na nossa leitura, esperar o regulamento para começar não compensa. Um relatório feito hoje com base nos critérios da Resolução 2 e no roteiro da ANPD precisará de ajuste, não de ser refeito.
Por onde começaríamos
- Atualizar o registro das operações e marcar a base legal de cada uma.
- Fazer a triagem de alto risco com os critérios gerais e específicos, deixando escrito por que cada tratamento entrou ou não.
- Priorizar os tratamentos com legítimo interesse, biometria, decisões automatizadas e dados de crianças.
- Definir uma metodologia única de avaliação de risco ao titular.
- Amarrar o RIPD ao ciclo de mudanças: novo sistema, nova finalidade ou novo fornecedor dispara a revisão.
No GlobalSuite®, o módulo de Proteção de dados mantém no mesmo lugar o registro das operações de tratamento, a base legal de cada uma e os relatórios de impacto, com a LGPD já carregada. Assim, a triagem do passo 2 parte do próprio registro, e não de uma planilha paralela. O quadro geral da lei está no nosso guia da LGPD.
Fontes oficiais: Lei nº 13.709/2018 (LGPD), arts. 5º, 10, 32, 37 e 38; orientações da ANPD sobre o RIPD; Resolução CD/ANPD nº 2/2022; balanço da Agenda Regulatória 2025-2026, primeiro semestre de 2026. Conteúdo revisado em outubro de 2026.
