RIPD se relaciona a alto risco
Relevância 3/5
Norma predominante: LGPD
Todo tratamento envolve algum risco; a elaboração de RIPD é excepcional e se destina a tratamentos que impliquem alto risco a direitos, liberdades e princípios da LGPD.
Aprovação de orientação não vinculante sobre RIPD em março de 2023, antes da regulamentação específica.
Como esta relevância foi calculada
- Pontuação
- 52/100 · relevância 3/5
- Impacto para os regulados (80%)
- 65/100
- Alcance · intensidade · aplicabilidade
- 2/4 · 3/4 · 3/4
- Recorrência em votos distintos (20%)
- 0/100 · 1 voto
A orientação aprovada reserva o RIPD às operações de alto risco, afastando sua elaboração automática para qualquer tratamento. O recorte influencia decisões relevantes de avaliação e documentação de riscos, preservando o caráter não vinculante anterior à regulamentação.
Redações literais (1 referência em 1 circuito)
4.16. Todo tratamento de dados pessoais envolve, em alguma medida, riscos aos direitos e liberdades dos titulares de dados. Este é inerente e presumido da própria operação. Contudo, percebo da avaliação da doutrina predominante sobre o assunto, destacando aqui, ainda, as importantes considerações recebidas pela ANPD durante as reuniões técnicas sobre o RIPD[1], que a elaboração do RIPD tem natureza de exceção, a ser realizada apenas quando identificado um tratamento que implique risco significativo, portanto um alto risco, aos direitos e liberdades dos titulares e à garantia dos princípios da LGPD.
- CD nº 6/2023, p. 3 · Relatoria: Joacil Basílio RaelPerguntas e Respostas sobre o Relatório de Impacto à Proteção de Dados (RIPD)
Legislação aplicável
LGPD
Lei nº 13.709, de 14 de agosto de 2018
Art. 38. A autoridade nacional poderá determinar ao controlador que elabore relatório de impacto à proteção de dados pessoais, inclusive de dados sensíveis, referente a suas operações de tratamento de dados, nos termos de regulamento, observados os segredos comercial e industrial.
Parágrafo único. Observado o disposto no caput deste artigo, o relatório deverá conter, no mínimo, a descrição dos tipos de dados coletados, a metodologia utilizada para a coleta e para a garantia da segurança das informações e a análise do controlador com relação a medidas, salvaguardas e mecanismos de mitigação de risco adotados.