O Relatório de Impacto à Proteção dos Dados Pessoais (RIPD)

 RIPD - representa documento fundamental a fim de demonstrar os dados pessoais que são coletados, tratados, usados, compartilhados e quais medidas são adotadas para mitigação dos riscos que possam afetar as liberdades civis e direitos fundamentais dos titulares

 O RIP é necessário, segundo a Lei, quando:

 Quando o tratamento de dados pessoais tiver como fundamento o interesse legítimo do Controlador.

1. Quando o tratamento de dados pessoais gerar riscos às liberdades civis e aos direitos fundamentais dos titulares dos dados.

 

O RIPD deve ser elaborado, preferencialmente, na fase inicial do programa ou projeto que incluirá o tratamento de dados. Isto é, deve ele ser realizado desde a fase de concepção de um novo projeto, processo, produto ou serviço.

 O que deve constar no relatório?

 O RIPD deve atender uma série de princípios previstos pela lei. Dentre eles, temos os seguintes:

1. identificação da necessidade do RIPD;
2. descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais;
3. elencar quais tipos de tratamento serão feitos;
4. adaptar o projeto, comparando se existe compatibilidade entre a finalidade e os tratamentos;
5. estudar e elencar a necessidade de tratamento dos dados;
6. descrição dos riscos de privacidade: identificação, avaliação e mitigação;
7. elencar medidas técnicas que serão adotadas a fim de assegurar a proteção dos dados pessoais;
8. prevenir eventuais danos em função do procedimento feito para com os dados

Vale lembrar que este relatório deve ser feito antes de serem iniciadas as tratativas para com os dados. Assim, o ideal é apresentar um quadro geral de todo o processo para que o responsável pela confecção do relatório dos dados identifique as principais ameaças.

 

Por fim, mas não menos importante, este relatório deve possuir uma análise do controlador sobre as ações tomadas, a fim de mitigar riscos. Logo, a empresa comprovará, através deste diagnóstico, que sua atuação está de acordo com a lei.

 

Este relatório pode ser feito ainda por terceiros, seja dentro ou até mesmo fora da organização, desde que siga todos estes pontos requisitados pela legislação e seja feito com acompanhamento e aprovação do Encarregado de Proteção de Dados.