RIPD obrigatório: os sinais que dizem se sua empresa precisa fazer um

A gente já perdeu a conta de quantas vezes um cliente chegou perguntando "preciso mesmo fazer esse tal de RIPD ou isso é coisa de empresa grande?". A resposta curta: depende do que você trata, não do tamanho do CNPJ. Uma barbearia com sistema de reconhecimento facial na entrada tem mais risco de exigência de RIPD do que uma indústria de médio porte que só trata dado de folha de pagamento.

RIPD é Relatório de Impacto à Proteção de Dados Pessoais, definido no art. 5º, XVII da LGPD como o documento que descreve os processos de tratamento de dados capazes de gerar risco às liberdades civis e aos direitos fundamentais. Na prática: é onde você registra, por escrito, "a gente trata esse dado, desse jeito, com esse risco, e é assim que mitiga". Sem esse papel, quando a ANPD perguntar, a resposta da empresa é "confia".

Quando o RIPD deixa de ser opcional

A LGPD não traz uma lista fechada dizendo "RIPD obrigatório nestes 10 casos". O art. 38 dá à ANPD o poder de determinar a elaboração de relatório de impacto, inclusive de dados sensíveis, sempre que o tratamento tiver como fundamento o legítimo interesse ou envolver risco relevante. E o art. 10, §3º é ainda mais direto: quando a base legal usada é legítimo interesse, a autoridade pode exigir o RIPD a qualquer momento.

Na prática: se você usa legítimo interesse como base legal, já deveria ter um RIPD pronto antes de a ANPD pedir, não depois. Esperar a notificação chegar pra começar a escrever é a receita mais comum de multa que a gente vê.

Os 3 casos que quase sempre pedem RIPD

Empresa da região (Blumenau, Vale do Itajaí, interior de SC em geral) costuma cair em um destes três cenários sem perceber que virou alvo:

• Biometria: catraca de academia, ponto por digital, reconhecimento facial em portaria. Dado biométrico é sensível (art. 5º, II), risco alto por definição.
• Perfil de comportamento: e-commerce ou app que monta score de cliente, recomendação personalizada baseada em histórico de compra, scoring de crédito próprio (fora do modelo regulado por lei específica).
• Vigilância em escala: câmera com IA de reconhecimento em loja, condomínio, indústria com controle de acesso por imagem cruzando com banco de dados de funcionários ou visitantes.

Se sua empresa faz qualquer um dos três, a nossa leitura é direta: não espere a ANPD pedir. Faça agora.

Como montar um RIPD que resiste a uma fiscalização

Esqueça modelo de 40 páginas cheio de teoria. O que funciona é objetivo e mostra que alguém pensou no risco antes de implementar o tratamento. Estrutura mínima que a gente usa com cliente:

• Descrição do tratamento: o que é coletado, de quem, com que finalidade.
• Base legal aplicada (art. 7º) e justificativa de por que essa base, não outra.
• Necessidade e proporcionalidade: por que esse dado é indispensável pra finalidade, e não um dado menos invasivo.
• Riscos identificados: vazamento, uso indevido, discriminação algorítmica, acesso não autorizado.
• Medidas de mitigação: criptografia, controle de acesso, prazo de retenção definido, anonimização quando possível.
• Plano de resposta a incidente, incluindo o prazo de comunicação (48h costuma ser o padrão que a ANPD sinaliza como razoável em incidente relevante).

Falando sério: um RIPD de 6 a 10 páginas, específico e atualizado, vale mais que um genérico de 50 páginas baixado da internet. Fiscal não lê volume, lê coerência entre o que está escrito e o que a empresa realmente faz.

Quem assina o RIPD (e por que isso não é formalidade)

O encarregado, o DPO exigido pelo art. 41 da LGPD, é quem normalmente conduz e assina o RIPD. Mas atenção: assinatura do encarregado não isenta a diretoria. Quem responde perante a ANPD é o controlador, ou seja, a empresa e, em última instância, quem toma a decisão. O DPO documenta o risco. A diretoria decide se aceita o risco ou muda o processo.

Empresa pequena que não tem DPO dedicado (a Resolução CD/ANPD 02/2022 permite regime simplificado pra ME, EPP e startup) ainda assim precisa nomear alguém responsável, mesmo que seja o próprio sócio acumulando a função. Sem responsável identificado, o RIPD vira papel sem dono.

De quanto em quanto tempo revisar

A lei não fixa prazo numérico de revisão do RIPD, mas a nossa recomendação prática é clara: revise a cada 12 meses ou sempre que o tratamento mudar de escala ou finalidade. Trocou de fornecedor de câmera com IA? Novo RIPD. Ampliou de 1 loja pra 5 com o mesmo sistema biométrico? Novo RIPD. Começou a compartilhar o dado de perfil de cliente com parceiro comercial? Novo RIPD.

Um RIPD de 2021 parado na gaveta em 2026, sem revisão, tem quase o mesmo valor de não ter nenhum: mostra que a empresa documentou uma vez e esqueceu do assunto.

O que fazer nas próximas 2 semanas

Se sua empresa se encaixa em algum dos cenários de risco alto, o roteiro é objetivo:

• Mapeie em uma planilha simples: qual sistema trata biometria, perfil ou imagem com IA.
• Identifique a base legal usada em cada um (art. 7º). Se for legítimo interesse, priorize esse tratamento primeiro.
• Redija o RIPD de cada tratamento de risco alto usando a estrutura de 6 pontos acima.
• Defina, por escrito, quem assina e quem revisa em 12 meses.
• Guarde o RIPD junto com o registro de tratamento de dados (art. 37), pronto pra apresentar em até 15 dias caso a ANPD ou um titular solicite (art. 19).

Não é papelada burocrática. É o documento que, na hora do incidente, separa "empresa que agiu com diligência" de "empresa que vai pagar multa de até 2% do faturamento, limitada a R$ 50 milhões por infração".