Privacidade – Relatório de impacto (RIPD/DPIA)
O relatório de impacto à proteção de dados é o documento que a autoridade pode exigir quando um tratamento é mais delicado. Ele descreve o que é feito, quais riscos existem para as pessoas, e o que a empresa faz a respeito.
A tela informa a referência legal, tanto brasileira quanto europeia, e resume a mecânica: os relatórios são pré-preenchidos a partir de uma atividade de tratamento, e podem ser exportados como documento governado quando aprovados.
Quando você precisa de um
Não é para toda atividade. A plataforma é específica: o relatório se aplica a atividades que exigem RIPD, e ela considera nessa condição as atividades baseadas em legítimo interesse ou que envolvem dados sensíveis.
Essa é a razão pela qual o módulo depende do ROPA. Se a tela informar que não há nenhuma atividade que exige relatório, o caminho não é aqui: é registrar e ativar as atividades no registro de tratamento primeiro.
Como criar
Em Novo relatório, escolha a atividade de tratamento e o tipo. O relatório nasce pré-preenchido a partir da atividade escolhida, e os campos que vieram dela aparecem marcados como tal.
Vale reparar no ganho: todo o trabalho que você fez no registro de tratamento é reaproveitado. Finalidade, papel, categorias de titulares, dados sensíveis, medidas de segurança, tudo chega preenchido. É outro motivo para cuidar bem do ROPA.
As sete etapas
O relatório é organizado em um roteiro:
| Etapa | O que ela cobre |
|---|---|
| Descrição do tratamento | Finalidade e o papel de controlador ou operador |
| Dados e titulares | Categorias de titulares, presença de dados sensíveis, volume estimado |
| Metodologia de coleta | Como os dados são coletados, necessidade e minimização, anonimização |
| Salvaguardas de segurança | As medidas técnicas e organizacionais |
| Riscos aos direitos | Riscos às liberdades civis e aos direitos fundamentais |
| Teste de balanceamento | A avaliação de legítimo interesse |
| Mitigações e aprovação | O que reduz os riscos identificados |
Duas etapas merecem comentário.
Riscos aos direitos é a etapa que a maioria preenche mal, porque escreve riscos para a empresa em vez de riscos para as pessoas. A pergunta certa é: o que pode acontecer de ruim com o titular por causa deste tratamento? Discriminação, exposição indevida, decisão automatizada injusta, constrangimento. Um relatório que só fala de risco de multa não cumpriu o seu propósito.
Necessidade e minimização é onde surge a pergunta mais desconfortável e mais útil: você precisa realmente de todos esses dados para essa finalidade? Não é raro a resposta ser não, e a melhor mitigação possível é simplesmente coletar menos.
O teste de balanceamento é obrigatório em legítimo interesse
Se o relatório trata de uma atividade baseada em legítimo interesse, a plataforma não permite enviar para revisão sem o teste de balanceamento completo.
O teste tem três partes: qual é o legítimo interesse perseguido, qual é a necessidade do tratamento, e como fica o balanceamento frente aos direitos do titular.
A terceira é a que importa de verdade, e a que costuma ser escrita como formalidade. Balanceamento honesto significa reconhecer o que o titular perde e explicar por que, ainda assim, o tratamento se justifica, com as mitigações que reduzem esse custo. Um teste que conclui que não há qualquer prejuízo ao titular raramente é convincente.
O fluxo de aprovação
O relatório passa por quatro estados:
| Status | Significado |
|---|---|
| Rascunho | Em elaboração |
| Em revisão | Enviado para análise |
| Aprovado | Analisado e aprovado |
| Desatualizado | A atividade de origem mudou após a aprovação |
Duas regras da mecânica:
Apenas relatórios em revisão podem ser aprovados, e apenas relatórios aprovados podem ser exportados ou reafirmados.
Relatórios aprovados não podem ser editados. Para mudar algo, cria-se uma nova versão. É a mesma lógica dos documentos: um relatório aprovado é um registro de uma decisão em uma data, e reescrevê-lo apagaria essa história.
O status Desatualizado é o mais valioso da tela
Quando a atividade de tratamento muda depois de o relatório ter sido aprovado, ele passa a Desatualizado, e a plataforma avisa: revise e reafirme, ou crie uma nova versão.
Esse comportamento resolve o problema clássico dos relatórios de impacto, que é envelhecerem em silêncio. A empresa faz o relatório, aprova, e um ano depois o tratamento mudou completamente enquanto o documento continua descrevendo o passado.
Como reagir a um relatório desatualizado:
- Se a mudança na atividade não altera a análise de risco, revise e use Reafirmar. Fica registrado que alguém olhou e confirmou a validade.
- Se a mudança altera a análise, crie uma nova versão.
A distinção é sua. O importante é que nenhum relatório fique desatualizado sem tratamento, porque isso é visível e sugere programa abandonado.
Exportar, e o uso que quase ninguém percebe
Um relatório aprovado pode ser exportado como documento, entrando na sua biblioteca de Documentos com versionamento.
Aqui está a conexão mais útil do módulo de Privacidade, e vale aproveitá-la:
O registro de tratamento exige um documento de avaliação de legítimo interesse para ativar qualquer atividade nessa base legal. E o relatório de impacto contém justamente o teste de balanceamento, que é essa avaliação.
Portanto, o caminho eficiente é:
- Registre a atividade em legítimo interesse e salve como rascunho.
- Crie o relatório de impacto a partir dela e complete o teste de balanceamento.
- Aprove o relatório e exporte como documento.
- Volte à atividade, selecione esse documento como a avaliação de legítimo interesse, e ative.
Com isso, um único trabalho resolve duas exigências, e o indicador de atividades sem avaliação começa a cair.
Problemas comuns
Nenhuma atividade que exige RIPD. Nenhuma atividade ativa está em legítimo interesse nem envolve dados sensíveis. O trabalho começa no registro de tratamento.
Complete o teste de balanceamento antes de enviar. Exigência para relatórios de legítimo interesse.
Apenas relatórios em revisão podem ser aprovados. Envie para revisão antes.
Apenas relatórios aprovados podem ser exportados. Conclua a aprovação primeiro.
Não consigo editar. O relatório está aprovado. Crie uma nova versão.
O relatório ficou desatualizado. A atividade de origem mudou. Revise e reafirme, ou crie nova versão.
⚠️ Este tutorial descreve o funcionamento da plataforma e não é orientação jurídica. A obrigatoriedade de elaborar relatório de impacto, o seu conteúdo e a suficiência de um teste de balanceamento devem ser avaliados com assessoria jurídica qualificada.
Este artigo foi útil?