RIPD – Relatóio de Impacto à Proteção de Dados Pessoais

­O Relatório de Impacto à Proteção de Dados Pessoais (RIPD) visa descrever os processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como as medidas, as salvaguardas e os mecanismos de mitigação de riscos (art. 5º , XVII da LGPD) e deve ser elaborado para atender ao determinado no art. 50, §2º, I, d da LGPD e para demonstrar:

• a avaliação sistemática de impactos e riscos à privacidade nos tratamentos de dados pessoais; e
• a adoção reiterada de salvaguardas, políticas e procedimentos internos capazes de minimizar o dano, voltados ao tratamento seguro e adequado de dados pessoais.

Ao elaborar o RIPD e implementar as medidas de controles identificadas nesse relatório, o processo de trabalho avaliado poderá fruir de benefícios inerentes a essa avaliação sistemática, bem como estar preparado para as demandas por entidades fiscalizadoras.

A elaboração proativa do RIPD possibilita mitigar as sanções e penalidades em caso de violações aos direitos definidos na LGPD, como as mencionadas aqui (item 8) e conforme previsto no art. 52, §1, VIII e art. 48, §3º da LGPD.­

­ 

Processos de trabalho que requerem a elaboração do RIPD

A elaboração do RIPD é obrigatória em certas circunstâncias e esse relatório pode ser solicitado em situações de incidentes ou, a qualquer momento, por entidades fiscalizadoras (art. 32, art. 38 e art. 10, §3 da LGPD) ou por ordem judicial.

Conforme o item 2.5.2.2 do LGPD – Guia de Boas Práticas, indicado pela SGD, o RIPD de processos de trabalho que envolvem dados pessoais deve ser elaborado, ou atualizado, sempre que existir a possibilidade de ocorrer impacto relevante na privacidade resultante de:

• Uma nova tecnologia, serviço ou outra nova iniciativa em que dados pessoais e dados pessoais sensíveis sejam ou devam ser tratados;
• Rastreamento da localização dos indivíduos ou qualquer outra ação de tratamento que vise a formação de perfil comportamental de pessoa natural, se identificada (LGPD, art. 12 § 2º);
• Tratamento de dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;
• Processamento de dados pessoais usado para tomar decisões automatizadas que possam ter efeitos legais, incluídas as decisões destinadas a definir o perfil pessoal, profissional, de consumo e de crédito ou aspectos de personalidade (LGPD, art. 20);
• Tratamento de dados pessoais de crianças e adolescentes (LGPD, art. 14);
• Tratamento de dados pessoais que possa resultar em algum tipo de dano patrimonial, moral, individual ou coletivo aos titulares de dados, se houver vazamento (LGPD, art. 42);
• Tratamento de dados pessoais realizados para fins exclusivos de segurança pública, defesa nacional, segurança do Estado, ou atividades de investigação e repressão de infrações penais (LGPD, art. 4º , § 3º );
• Tratamento no interesse legítimo do controlador (LGPD, art. 10, § 3º );
• Alterações nas leis e regulamentos aplicáveis à privacidade, política e normas internas, operação do sistema de informações, propósitos e meios para tratar dados, fluxos de dados novos ou alterados, dentre outros; e
• Reformas administrativas que implicam em nova estrutura organizacional resultante de incorporação, fusão ou cisão de órgãos ou departamentos.

Como elaborar o RIPD para processos de trabalho da Universidade

Atualmente, o processo de elaboração do RIPD na UFRGS está padronizado e requer apenas os seguintes procedimentos:

1. Reunião inicial para a coleta de informações que serão utilizadas na elaboração de minuta a ser aprovada posteriormente pelos presentes nessa reunião;
2. Reunião para planejar cenários de tratamento de riscos ainda não tratados, quando existirem; e
3. A aprovação do RIPD no SEI.

Para o agendamento dessa reunião inicial será necessário contatar o Encarregado pelo Tratamento de Dados Pessoais na UFRGS (etdp@ufrgs.br).

O RIPD envolve a avaliação de riscos e a definição de medidas para tratamento dos riscos identificados. Há planilhas que devem ser utilizadas devido ao envolvimento de outras unidades e órgãos da UFRGS.

A UFRGS utiliza o modelo de RIPD disponibilizado pela Secretaria de Governo Digital (Órgão Central Gestor do SISP), devido ao determinado no Acórdão do TCU nº 1384/2022 e art. 26 do Decreto nº 12.904/2026 (anteriormente no art. 23 do Decreto nº 12.102/2024, art. 22 do Decreto nº 11.437/2023, inciso XI do art. 132 do Decreto nº 9.745/2019, …).

­

Auditoria semestral da SGD acompanhada pelo TCU

Devido ao Programa de Privacidade e Segurança da Informação, determinado pela Portaria SGD/MGI nº 852/2023 e alterado pela Portaria SGD/MGI Nº 9.511/2025, torna-se necessária a elaboração de, no mínimo, um RIPD em cada unidade acadêmica e órgão suplementar, que relate um ou mais processos de trabalho que trate dados pessoais sensíveis, conforme detalhado na Resolução CSI Nº 3/2024. Essa medida possibilitará atender aos seguintes questionamentos desse programa: 

30.4 O órgão documenta os riscos de privacidade oriundos da avaliação de impacto à Proteção de Dados Pessoais?

30.5 O órgão documenta as medidas de proteção de dados pessoais adotadas para mitigação do impacto à Proteção de Dados Pessoais?

30.6 O órgão realiza e documenta os resultados de uma avaliação de impacto à Proteção de Dados Pessoais?

30.8 O órgão monitora e audita regularmente as operações de tratamento de dados pessoais, especialmente aquelas envolvendo dados pessoais sensíveis, para garantir que estejam em conformidade com as leis, regulamentos e termos contratuais aplicáveis?

31.1 A organização adota medidas de segurança, técnicas e administrativas, testadas e avaliadas, aptas a proteger dados pessoais de acordo com os resultados de uma avaliação de riscos ou impacto de proteção de dados pessoais?