Relatório de impacto à proteção de dados pessoais (RIPD)
Definição
Documentação do controlador com a descrição dos tratamentos que podem gerar riscos às liberdades civis e aos direitos fundamentais, e das medidas, salvaguardas e mecanismos de mitigação.
O relatório de impacto à proteção de dados pessoais (RIPD) é definido na LGPD (art. 5º, XVII) como a documentação do controlador que descreve tratamentos capazes de gerar riscos às liberdades civis e aos direitos fundamentais, com medidas e salvaguardas de mitigação. A ANPD pode solicitá-lo, inclusive quando o tratamento se basear no legítimo interesse (art. 10, §3º), e o art. 38 indica seu conteúdo mínimo: descrição dos tipos de dados, metodologia de coleta e de segurança e análise do controlador sobre as medidas adotadas. A ANPD tem orientações sobre tratamentos de alto risco.
No GDPR, o equivalente é a DPIA (art. 35), obrigatória antes de tratamentos com provável alto risco, como avaliação sistemática de pessoas por meios automatizados e tratamento de dados sensíveis em larga escala. O DPO deve ser consultado e, se o risco residual continuar alto, a autoridade também.
A maior parte dos sistemas de IA que perfilam pessoas ou tomam decisões relevantes sobre elas pede um RIPD. No AI Act europeu, certos responsáveis pela implantação também fazem avaliação de impacto sobre direitos fundamentais, que pode aproveitar o RIPD.
Onde este termo é avaliado
Avaliado na Data Protection & AI Professional (DPAI), domínio 3: Ferramentas de accountability.
Também cobrem este termo: Responsible AI Practitioner (RAIP), Responsible AI Auditor (AUDAI)
Fontes primárias
- GDPR Art. 35
- LGPD Art. 5, XVII and Art. 38
- WP29/EDPB Guidelines on DPIA (WP248 rev.01)