Relatório de Impacto

à Proteção de Dados
Pessoais
Aspectos práticos relevantes à luz da LGPD
Índice
Estrutura do documento

Apresentação | p. 04
Introdução | p. 07
Relatório de Impacto à Proteção de Dados ou Data Privacy Impact
Assessment (DPIA)| p. 11
Conteúdo de um DPIA | p. 18
Etapas de elaboração do DPIA | p. 23
Tempo de guarda | p. 39
Governança corporativa | p. 42
Considerações finais | p. 49
Sobre os Autores | p. 53
Referências bibliográficas | p. 55
 Esta obra está licenciada com uma Licença Creative Commons
Atribuição-NãoComercial-CompartilhaIgual 4.0 Internacional.

Conteúdo elaborado por: Caio César Carvalho Lima; Luanna Rodrigues

Peporini; Marcilio Braz Júnior; Maria Fernanda Hosken Perongini; Núria
Debaza Bauxali; Remilina Yun (Remi); Raphael Dutra da Costa Campos.

Organizadora: Remilina Yun

Imagens: Pixabay / Canva

Apresentação

LEI GERAL DE PROTEÇÃO DE No dia 14 de agosto de 2018 foi sancionada no Brasil a Lei Geral de
Proteção de Dados (LGPD), inaugurando noviço cenário regulatório em
DADOS (LEI 13.709/2018)
nosso país ao instituir um microssistema regulatório acerca do tema,
tendo sido a Lei bastante influenciada pelo Regulamento Geral de
Proteção de Dados Europeu (do inglês GDPR – General Data Protection
Regulation).

Com isso, a partir da eficácia plena da norma, prevista para fevereiro de

2020, será superado o atual regime setorial de abordagem do tema
(com esparsas previsões em diversas leis, tais como o Código Civil,
Código de Defesa do Consumidor, Marco Civil da Internet, Lei do
Cadastro Positivo, Lei de Acesso à Informação, entre outros), passando-
se a endereçar as questões relacionadas ao tratamento (coleta, uso,
armazenamento, compartilhamento, exclusão, entre outros) de dados
pessoais (qualquer informação que identifique ou torne identificável
uma pessoa física) por meio de uma lei geral. 
Várias questões passam a ser fundamentais para que identificando os principais riscos relacionados às atividades,
todos os agentes envolvidos no tratamento de dados bem como o que será realizado para mitigá-los.
(quer como controlador ou operador) fiquem compliant
com referida norma, mitigando as eventuais sanções a que Assim, apesar de inúmeras situações concretas de
podem ficar expostos, em decorrência de incidentes de tratamento de dados estarem abarcadas pelo conceito
segurança. acima, pouco foi especificamente disciplinado na nossa
legislação e na doutrina especializada, restando inúmeras
Entre outros, é relevante bem entender o que diz respeito dúvidas acerca desse RIPD, considerando a aplicação
ao Relatório de Impacto à Proteção aos Dados (RIPD), o prática. Em decorrência disso, dentro de grupo de estudos
qual mereceu conceito específico na LGPD, conforme se que foi criado por Dirceu Santa Rosa e Remilina Yun (Remi),
observa do inciso XVII do artigo 5º, que faz alusão a esse resolvemos, juntamente com Marcílio Braz Júnior, Maria
relatório como sendo a “documentação do controlador Fernanda Hosken, Luanna Rodrigues Peporini, Núria
que contém a descrição dos processos de tratamento de Baxauli, José Vitor e Raphael Dutra, endereçar os principais
dados pessoais que podem gerar riscos às liberdades civis aspectos que devem ser considerados para a elaboração de
e aos direitos fundamentais, bem como medidas, um RIPD, o que passaremos a endereçar em uma série de
salvaguardas e mecanismos de mitigação de risco”. artigos, a serem publicados nesta Revista, ao longo dos
próximos meses. 
Em linhas gerais, pois, esse RIPD deve contemplar o
registro de todas as operações com dados pessoais, A ideia é que inicialmente seja abordado como o GDPR
especialmente quando a base legal para o tratamento for influenciou a nossa LGPD, no que concerne à elaboração do
o legítimo interesse (artigo 37), ou quando dados pessoais RIPD, indicando também em quais situações se entende
sensíveis forem objeto de tratamento (artigo 38), que há obrigatoriedade de produzir o Relatório,
abordando também as exceções trazidas nas legislações,
mencionando os casos em que se recomenda elaborar o
Relatório, ainda que não seja mandatório.

Em seguida, serão traçados aspectos práticos do RIPD,

endereçando o conteúdo mínimo do Relatório,  as principais
etapas de elaboração (com detalhamento das fases
principais) e endereçando o tempo de guarda dos
relatórios, bem como sua periodicidade de atualização.

Por fim, serão abordadas questões específicas de

governança, posicionado o RIPD dentro das melhores
práticas sobre o assunto, adentrando também o tema de
incidentes de segurança da informação e identificando
como o Relatório pode colaborar para mitigar essas
questões.
 Introdução

Avaliação de Impacto
sobre a proteção de
dados pessoais

Maria Fernanda Hosken Perongini

Introdução
Avaliação de Impacto sobre Proteção de Dados

Avaliação de Impacto sobre a Proteção de Dados (ou DPIA, derivado do

acrônimo em inglês Data Privacy Impact Assessment) é o nome dado ao
processo que analisa e documenta o impacto futuro que o
processamento dos dados pessoais terá sobre seus titulares. Por
“impacto na privacidade" entende-se as consequências - possivelmente
indesejadas - que o processamento de dados pode impor aos indivíduos
ou à sociedade.

A ideia de avaliações de impacto na privacidade surgiu nos anos 1970,

mas seu conceito amadureceu durante o período 1995-2005, como uma
reação pública tardia contra as ações cada vez mais invasivas de
privacidade por parte de governos e corporações durante a segunda
metade do século XX [1]. A adoção de DPIAs pelas organizações se
consolidou ao longo dos anos, sendo incorporada às estruturas de
avaliação de risco como resultado dos danos reputacionais decorrentes
de violações à privacidade, então já considerada uma variável
estratégica [1].
Embora o termo DPIA tenha se tornado popular, não há Nos próximos artigos, serão analisados os casos de
um método sistemático para realiza-lo, havendo obrigatoriedade (e exceções legais) no tocante à
inúmeras orientações e listas de verificação publicadas elaboração de DPIAs, à luz da GDPR e da LGPD. Passa-se,
por autoridades nacionais e organizações especializadas. então, ao exame dos aspectos práticos do processo de
Entretanto, algumas características distinguem tais elaboração do relatório, bem como suas etapas de
relatórios de outros tipos de atividades pelas seguintes desenvolvimento, tempo de guarda das informações
características: levantadas e considerações a respeito da periodicidade
da atualização do DPIA.
❏ Possui natureza antecipatória (ou seja, um DPIA é  
distinto de uma auditoria de privacidade); Por fim, a elaboração de DPIAs é analisada à luz dos
❏ Tem amplo escopo (em relação às dimensões de princípios de governança corporativa, tendo sempre em
privacidade, perspectivas externas e expectativas dos vista a conformidade exigida pela nova lei brasileira.
titulares e governos);
❏ É orientado para analisar o surgimento de problemas
e elaboração de soluções;
❏ Enfatiza o processo de avaliação, incluindo troca de
informações, aprendizado organizacional e adaptação de
design;
❏ Exige engajamento e envolvimento intelectual da alta
direção (diretores e gerentes seniores).
 DATA PRIVACY IMPACT ASSESSMENT (DPIA) ou

Relatório de Impacto à
Proteção de Dados

Luanna Rodrigues Peporini e Raphael Dutra da C. Campos

Relatório de Impacto à Proteção de Dados

DA SUA OBRIGATORIEDADE O GDPR, em sua Seção 3, artigo 35, trata da realização de uma avaliação
de impacto sobre a proteção de dados, sempre que o tratamento dos
NO LGPD E GDPR
dados pessoais levar a um risco elevado para os direitos e liberdades
dos titulares dos dados, considerando as tecnologias usadas, natureza,
âmbito, contexto e finalidades do tratamento dos dados. Tal avaliação
deve ser feita sempre antes do início do tratamento dos dados.
"Tal avaliação deve ser
O item 3 do artigo 35 acima mencionado traz as hipóteses nas quais a
feita sempre antes do
realização da avaliação de impacto sobre a proteção de dados é
início do tratamento obrigatória, sendo elas, em suma:
dos dados".
(a) avaliações sistemáticas e completas de pessoas naturais, incluindo a
definição de perfis, mais conhecida como profiling, e sobre as quais
decisões que produzam efeitos jurídicos ou que afetem o titular dos
dados são tomadas;
(b) realização de operações de tratamento de dados sensíveis ou dados
relacionados com condenações penais e infrações, em grande escala; ou
c) monitoramento sistemático de áreas acessíveis ao especificamente, quando o tratamento dos dados pessoais
público em geral, em grande escala. for realizado para fins exclusivos de segurança pública;
defesa nacional; segurança do Estado; ou atividades de
Vale ressaltar que as autoridades de controle de cada investigação e repressão de infrações penais.
Estado-Membro, nos termos do artigo 35, item 4, devem
elaborar e tornar públicas suas listas dos tipos de O parágrafo 3º do artigo 4º faz referência ao citado inciso
operações que entendem estarem sujeitas à realização da III, prevendo que a autoridade nacional emitirá opiniões
avaliação de impacto. Ainda, nos termos do item 5, do técnicas ou recomendações referentes às exceções
artigo 35, as autoridades também podem elaborar listas previstas no inciso III e deverá solicitar aos responsáveis
de atividades que consideram prescindir da avaliação de relatórios de impacto à proteção de dados pessoais.
impacto.
A previsão acima parece contraditória, na medida em que,
Diferentemente do GDPR, que contém uma Seção se afastada a aplicação da LGPD, nos casos previstos no
específica para tratar da elaboração da avaliação de inciso III do artigo 4º, não haveria que se falar na
impacto, a LGPD traz disposições esparsas sobre a elaboração de relatórios de impacto, exceto se a
realização da avaliação de impacto, chamada na LGPD de elaboração do relatório de impacto servir exatamente para
relatório de impacto à proteção de dados pessoais. determinar se o tratamento dos dados pessoais realmente
se enquadra nas hipóteses previstas no inciso III.
A elaboração do relatório de impacto é citada, pela
primeira vez, no parágrafo 3º do artigo 4º, inciso III, A elaboração do relatório de impacto à proteção de dados
enquanto isso, o inciso III do artigo 4º dispõe sobre pessoais é citada também no parágrafo 3º do artigo 10 da
hipóteses de não aplicação da LGPD, mais LGPD, que trata de exemplos nos quais é permitido o
tratamento de dados com base no legítimo interesse do Assim, diferentemente do GDPR que traz hipóteses nas
controlador. O mencionado parágrafo 3º prevê que a quais a realização da avaliação de impacto é obrigatória,
autoridade nacional poderá solicitar ao controlador a sem prejuízo de listas a serem emitidas pelas autoridades
elaboração de relatório de impacto quando o tratamento do Estados-Membros, parece-nos que a elaboração do
dos dados tiver como base legal o legítimo interesse. relatório de impacto prevista na LGPD depende sempre de
solicitação da autoridade nacional e de regulamento a ser
O Capítulo IV da LGPD, que dispõe sobre o tratamento de emitido. Considerando que os artigos que previam a
dados pessoais pelo Poder Público também contém uma criação da autoridade nacional foram vetados, enquanto
previsão sobre a elaboração do relatório de impacto. O não criada a autoridade, resta prejudicada a interpretação
artigo 32 da LGPD, último artigo do Capítulo IV, prevê que sobre a necessidade de elaboração dos relatórios de
a autoridade nacional poderá solicitar a agentes do Poder impacto.
Público a publicação de relatórios de impacto à proteção  
de dados pessoais.  Considerando que a LGPD foi inspirada fortemente pelo
GDPR e contém princípios muito parecidos, enquanto não
O artigo 38 da LGPD é o último a tratar da elaboração do houver a criação da autoridade nacional e, portanto, a
relatório de impacto à proteção de dados pessoais, publicação de regulamentos ou orientações sobre a
prevendo que a autoridade nacional poderá determinar ao elaboração do relatório de impacto, sugerimos que os
controlador que elabore relatório de impacto à proteção controladores, sujeitos à LGPD, sigam as hipóteses de
de dados pessoais, inclusive de dados sensíveis, referente obrigatoriedade previstas no GPDR.
a suas operações de tratamento de dados, nos termos de
regulamento.
Relatório de Impacto à Proteção de Dados

DA SUA EXCEÇÃO Como se pode observar, o Relatório de Impacto à Proteção de Dados

Pessoais é um documento que tem sua origem em um processo
dinâmico, isto é, um processo que precisa sempre estar sendo
monitorado e revisitado, de forma que haja uma fotografia verossímil do
"Em outras palavras, o status da conformidade regulatória e, também, da mitigação dos riscos
relatório de impacto à identificados e postos aos titulares. Em outras palavras, o relatório de
impacto à proteção de dados pessoais é um processo que visa
proteção de dados
estabelecer mecanismos de mitigação de risco e demonstrar a
pessoais é um processo conformidade com a regulamentação, através de um documento.
que visa estabelecer
mecanismos de mitigação Portanto, é evidente que existem situações em que, embora não
de risco e demonstrar a mandatório, é desejável a produção de um relatório de impacto à
proteção de dados pessoais, pois, o conceito de “risco” é inerente à
conformidade com a
análise contextual específica, podendo ser entendido, de forma geral,
regulamentação, através como um cenário que descreve um acontecimento e as respectivas
de um documento." consequências deste fato, de acordo com seu grau de probabilidade e
gravidade.
Assim, as melhores práticas internacionais de proteção de (ii) Decisões automatizadas. O tratamento automatizado
dados pessoais nos ensinam que é particularmente pode significar um tratamento que, por vezes, poderá ser
importante desenvolver um processo que vise estabelecer considerado discriminatório, dessa forma, os titulares dos
mecanismos de mitigação de riscos suscetíveis em gerar dados pessoais têm como direito o “right to explain”,
impactos às liberdades civis e aos direitos fundamentais, estabelecido pelo artigo 20 da LGPD, que assegura que o
quando se introduz uma nova tecnologia de tratamento titular dos dados tem direito a solicitar revisão, por pessoa
de dados pessoais. natural, de decisões tomadas unicamente com base em
tratamento automatizado de dados pessoais.
Ademais, ainda de acordo com as melhores práticas
internacionais de proteção de dados pessoais, existem (iii) Monitoramento ou Controle sistemático. Quando há
nove critérios que devem ser observados para entender algum tipo de controle sistemático e monitoramento de
quando uma atividade de tratamento é suscetível em titulares de dados, isso deve ser um critério levado em
gerar impactos às liberdades civis e aos direitos consideração quando da produção de um Relatório de
fundamentais, são eles: Impacto à Proteção de Dados Pessoais, pois, os dados
pessoais podem ser recolhidos em circunstâncias em que
(i) Avaliação ou “score” (pontuação). Um exemplo bem os titulares dos dados podem não estar cientes de quem
claro em relação a este critério ocorre quando uma está a recolher os seus dados e da forma como esses
instituição financeira faça uma análise seletiva de seus dados serão utilizados.
clientes a partir de uma base de dados que tenham como
referência um “credit score”, ou seja, que se referenciem ao (iv) Dados Pessoais Sensíveis. Dados pessoais sensíveis
crédito bancário. demandam maior rigor na observância das regras para as
para as atividades de tratamento, pois, como o próprio devido ao desequilíbrio de poder entre os titulares dos
nome já diz, são categorias de dados pessoais especiais, dados e o responsável pelo tratamento dos dados,
logo, os riscos que derivam desse tipo de tratamento são significando isto que os indivíduos podem não ser capazes
maiores e, portanto, podem gerar maior impacto às de consentir, ou opor-se, facilmente ao tratamento dos
liberdades civis e aos direitos fundamentais. seus dados ou de exercer os seus direitos.

(v) Tratamento de Dados em larga escala. Para se entender (viii) Soluções inovadoras ou aplicação de novas soluções
o conceito de larga escala, devemos levar em consideração tecnológicas. A utilização de uma nova tecnologia pode
o número de titulares envolvidos, o volume de dados desencadear a necessidade de realização de um Relatório
tratados, a duração da atividade de tratamento e a de Impacto à Proteção de Dados Pessoais, pois novas
dimensão geográfica em que a atividade de tratamento tecnologias demandam novas formas de coleta,
ocorre. armazenamento e utilização dos dados.

(vi) Combinação de dados com origens distintas. A (ix) Quando a atividade de tratamento impede o titular de
combinação de dados com base em duas ou mais exercer um direito ou utilizar um serviço. Incluem-se aqui
operações de tratamento distintas pode exceder a as atividades de tratamento destinadas a autorizar, alterar
finalidade e também da legitimidade do tratamento ou recusar o acesso dos titulares dos dados a um serviço
originário que fora estabelecido e, portanto, acabam por ou que estes celebrem um contrato. Um exemplo claro
gerar um risco maior. deste critério é quando um banco faz uma análise dos
seus clientes a partir de um “credit score” para decidir se
(vii) Dados relativos à titulares vulneráveis. Esse critério é lhes concede ou não um empréstimo.
Podemos concluir que a exigência de um DPIA é
proporcional à observância dos critérios acima. Quantos
mais critérios forem satisfeitos, maior é a probabilidade da
necessidade de se elaborar um processo que vise mitigar
riscos às liberdades civis e aos direitos fundamentais.

Por outro lado, uma atividade de tratamento de dados

pessoais pode corresponder aos casos acima e, mesmo
assim, o responsável pelo tratamento considerar ser uma
situação que não demanda risco algum e, se este for o
caso, o responsável deverá justificar e documentar as
razões que o levaram a não realizar o relatório e registrar
a opinião do encarregado da proteção de dados.
Conteúdo de um DPIA

Núria Debaza Baxauli

Conteúdo de um DPIA
O que deve conter um processo/relatório DPIA?

De acordo com o GDPR o DPIA deve ser realizado para avaliar, em

particular, a origem, natureza, particularidade e severidade dos riscos
do tratamento de dados pessoais aos direitos e liberdades dos
indivíduos [2]. Neste sentido, o GDPR prevê que o documento deve
incluir as medidas, salvaguardas e mecanismos adotados para mitigar o
risco, assegurando a proteção dos dados pessoais e demonstrando
compliance com o regulamento [3].

O GDPR traz ainda uma listagem do conteúdo mínimo de um DPIA, em

seu artigo 35:

“7. A Avaliação inclui, pelo menos:

a) Uma descrição sistemática das operações de tratamento
previstas e a finalidade do tratamento, inclusive, se for caso
disso, os interesses legítimos do responsável pelo tratamento;
b) Uma descrição sistemática das operações de quando solicitado durante o processo do DPIA.
tratamento previstas e a finalidade do tratamento,
inclusive, se for caso disso, os interesses legítimos do Diante deste panorama trazido pelo GDPR, passamos ao
responsável pelo tratamento; texto da LGPD, considerando que além de o DPIA ser uma
c) Uma avaliação dos riscos para os direitos e obrigação legal das normas de proteção de dados para
liberdades dos titulares dos direitos a que se refere o alguns casos específicos, este procedimento é
n.o 1; e recomendável para a análise de qualquer projeto e de
d) As medidas previstas para fazer face aos riscos, toda empresa, de forma que o conteúdo sugerido no
incluindo as garantias, medidas de segurança e GDPR e LGPD podem ser usados como guia para sua
procedimentos destinados a assegurar a proteção realização.
dos dados pessoais e a demonstrar a conformidade
com o presente regulamento, tendo em conta os A LGPD conceitua o relatório de impacto à proteção de
direitos e os legítimos interesses dos titulares dos dados pessoais como a “documentação do controlador
dados e de outras pessoas em causa.” que contém a descrição dos processos de tratamento de
dados pessoais que podem gerar riscos às liberdades civis
Adicionalmente, quando for apropriado, é possível incluir e aos direitos fundamentais, bem como medidas,
no documento a opinião dos titulares de dados ou dos salvaguardas e mecanismos de mitigação de risco”.
seus representantes sobre o tratamento dos dados.
Em seu artigo 38, a LGPD determina que a autoridade
 Também é importante ressaltar o papel do operador dos nacional poderá solicitar um DPIA sobre suas operações
dados neste processo, sendo que o GDPR menciona o seu de tratamento de dados, incluindo dados sensíveis, mas
dever de auxiliar o controlador quando for necessário e devem ser resguardados os segredos comercial e
industrial, de forma que certos detalhes que sejam 2.  Descrição do projeto e do fluxo de informações,
sensíveis do ponto de vista concorrencial da empresa não analisando em profundidade e em detalhes as categorias
devem ser incluídos. dos dados, os acessos aos mesmos e as tecnologias
utilizadas, bem como incluindo a base legal para o seu
Diante do exposto sobre os textos legais da LGPD e GDPR, tratamento, analisando os princípios da necessidade e
entendemos que após a verificação da necessidade de proporcionalidade.
realização de um DPIA, será necessário delimitar o que é
preciso incluir neste documento em observância ao 3.  Identificação dos riscos através da análise dos possíveis
princípio da responsabilização e prestação de contas. riscos diante das particularidades do tratamento e a
avaliação da probabilidade de acontecerem e de que os
Neste sentido, é possível obter maiores detalhes sobre o danos se materializem.
que é esperado de um DPIA nos guias emitidos pelas
autoridades de proteção de dados da União Europeia e 4.  Gestão dos riscos identificados, determinando
pelo Information Comissioners Office – ICO.  controles e medidas a serem adotadas para eliminar,
mitigar ou transferir os riscos detectados.
De forma geral, os guias mencionam as seguintes fases de
um DPIA: 5.  Análise de cumprimento normativo, no sentido de
analisar se o produto ou serviço desenvolvido cumpre com
1.  Avaliação da necessidade do DPIA, diante da os requerimentos legais, gerais e setoriais, em matéria de
conveniência de desenvolver este processo. proteção de dados.
6.  Elaboração de informe final contendo uma relação envolver especialistas em segurança da informação.
detalhada dos riscos identificados, recomendações e Por fim, como já mencionamos, a consulta das partes
propostas para eliminá-los ou mitigá-los, tendo como afetadas em cada uma das fases pode ser essencial para
destino final a direção da organização. uma correta identificação dos riscos envolvidos. 

7.  Implantação das recomendações, especificando ações a De forma prática, o conteúdo do documento envolverá
serem tomadas e alocamentos dos recursos necessários respostas a questionários e documentação de processos
para sua execução e dos responsáveis por executá-las. de diversas áreas.

8.  Revisão e  monitoramento através da análise do

resultado final para comprovar a efetividade do DPIA e
verificação da criação de novos riscos ou detecção de
outros que passaram despercebidos antes. Diante destes
resultados, é possível retroalimentar e atualizar o DPIA. 

Neste sentido, os itens 1 e 8 estão relacionados, uma vez

que se iniciam novos DPIAs através da revisão e
monitoramento.O envolvimento das áreas internas em
cada uma das fases pode variar, sendo que na descrição
dos processos será necessário envolver os experts de cada
área, e em análises de risco de segurança é oportuno
Etapas de elaboração
do DPIA

Marcílio Braz Júnior

Etapas de elaboração
do DPIA
Propósitos e fases do relatório/processo

Com a sanção da LGPD, estabeleceu-se um marco regulatório legal para

abrigar toda uma gama de direitos e obrigações relativas à proteção dos
dados pessoais dos indivíduos. Dentre os princípios preconizados pela
lei, atentamos para a responsabilidade e prestação de contas por parte
dos agentes de processamento de dados (controladores e operadores).
Uma das principais ferramentas para evidenciar tanto para os cidadãos
quanto ao poder público a aderência à lei consiste no Relatório de
Impacto à Proteção de Dados Pessoais (doravante RIPD).

Para além de uma obrigação, quando observamos pela dimensão GRC, a

depender do apetite de risco da organização, um DPIA pode ser uma
excelente ferramenta a ser utilizada voluntariamente quando da
utilização de tecnologias ou atividades de processamento novas. Ao
encarar o DPIA dessa forma, tem-se mais uma forma de incorporar e
demonstrar ao público externo um alinhamento da cultura salvaguardas e mecanismos de mitigação de risco.
organizacional orientada ao Privacy by Design/Default. Em
última análise, a confiança que inspira junto ao mercado Por sua vez, o artigo 38 esclarece o âmbito de aplicação do
como uma empresa que efetivamente tem a privacidade e relatório, bem como, de modo extremamente sucinto, os
a proteção dos dados pessoais de seus clientes internos e elementos básicos que devem compô-lo:
externos como prioridade, olhar DPIA como uma Art. 38. A autoridade nacional poderá determinar ao
ferramenta auxilia ainda mais no fortalecimento da controlador que elabore relatório de impacto à
reputação da empresa. Por fim, mas não menos proteção de dados pessoais, inclusive de dados
importante, um relatório bem conduzido, já nas fases sensíveis, referente a suas operações de tratamento
iniciais de um desenho de processo, ajuda a identificar de dados, nos termos de regulamento, observados os
problemas no nascedouro, evitando assim desperdícios segredos comercial e industrial.
futuros de recursos (como dinheiro e tempo). Parágrafo único. Observado o disposto no caput
deste artigo, o relatório deverá conter, no mínimo, a
A definição do relatório de impacto encontra-se no artigo descrição dos tipos de dados coletados, a
5º, XVII da lei: metodologia utilizada para a coleta e para a garantia
Art. 5º Para os fins desta Lei, considera-se: da segurança das informações e a análise do
XVII - relatório de impacto à proteção de dados controlador com relação a medidas, salvaguardas e
pessoais: documentação do controlador que contém mecanismos de mitigação de risco adotados.
a descrição dos processos de tratamento de dados Considerando que o mens legis no tocante a
pessoais que podem gerar riscos às liberdades civis e necessidade, abrangência (parcialmente) e elementos
aos direitos fundamentais, bem como medidas, constitutivos deste relatório inspira-se no GDPR 
(General Data Protection Regulation) da União Europeia, em não fundamentar o processamento de dados
nossa opinião o diploma legal pátrio findou por carecer de devidamente, conforme requer a LGPD. No entanto, exige-
maiores esclarecimentos e definições quanto a ao escopo se da autoridade nacional uma ponderação relativamente
e formatação do referido relatório, em contraposição ao ao DPIA, analisando, nomeadamente, o grau de risco para
diploma legal europeu. o  titular de dados que a falta do relatório de impacto
  implicou. Para além disso, mesmo sem a formalização de
Resulta do art. 38 da LGPD que a autoridade nacional terá um, poderá o controlador ter implementado medidas
poderes para impor um DPIA a um controlador, caso este técnicas e organizacionais suficientes para mitigar o risco.
não o tenha realizado. Ter-se-á que analisar se essa falta Parece-nos que ambos os fatores referidos, entre outros
de DPIA que a autoridade nacional considera essencial (e.g. a falta de DPIAs ser caso único ou um entre vários, a
para o processamento de dados poderá levar a fundamentação do controlador para não realizar o
consequências por não cumprimento, por parte do mesmo, etc.) terão de ser tidos em consideração, não
controlador, desse mesmo DPIA, quer da parte da sendo a multa administrativa automática pelo simples fato
autoridade nacional quer da parte dos titulares de dados de o relatório de impacto não ter sido feito.
envolvidos nesse processamento de dados.  
  Outro ponto que nos parece importante referir é quanto a
Tendo em conta a possibilidade da necessidade de amplitude do DPIA da LGPD, quando comparado com o do
elaboração do relatório de impacto em determinadas GDPR. No LGPD, de forma diferente do GDPR, o risco não
situações, como consta no artigo 10, é nossa opinião que a é tido em consideração para a realização do DPIA. Parece-
falta de um DPIA essencial pode ensejar razão suficiente nos, no entanto, inadequada a interpretação literal do
para a aplicação de uma multa administrativa ou de artigo, que faria com que todas as atividades de
processo ou processos judiciais contra o controlador, por tratamento tivessem de ter um DPIA associado. Ainda
relativamente a este assunto, levanta-nos questões do art. 38 como sendo um requisito geral para todos os
atinentes à salvaguarda do LGPD relativamente a “segredos DPIAs, tal poderá tornar estes elaborados com a defesa da
comercial e industrial” na realização de DPIAs. propriedade intelectual da empresa, inauditáveis, com as
  empresas a escudarem-se na propriedade intelectual para
O in fine do art. 38 nos permite interpretar como um não divulgar as medidas organizacionais e técnicas
requisito relativamente aos DPIAs solicitados pela aplicadas.
autoridade nacional. Tal interpretação levaria à conclusão  
de que o DPIA solicitado pela autoridade nacional teria de Desta forma, muito embora com a edição da Medida
ser comunicado a essa autoridade. Porque, de outro Provisória nº 869 em dezembro de 2018 que criou a
modo, sendo documentos essencialmente internos, e Autoridade Nacional de Proteção de Dados, vetada
disponibilizados à autoridade nacional apenas em caso de quando da sanção da Lei nº 13.709 (LGPD), espere-se uma
uma investigação, não se alcança o objetivo da melhor definição, dentre outras questões, às relativas a
especificação relativamente à propriedade intelectual da um detalhamento e orientações mais claras quanto à
empresa. metodologia a ser utilizada quando da confecção do
  relatório bem como sugestões de frameworks para o
Ainda, tal menção parece-nos fazer entender que a documento, na ausência destas, lançamos mão das
mesma implica que um DPIA solicitado pela autoridade de existentes para elaboração de um DPIA (Data Protection
controle terá de ser aprovado ou rejeitado por esta. Só Impact Assessment), o equivalente ao nosso RIPD no âmbito
assim se vislumbra a necessidade de respeito pelas regras do GDPR.
da propriedade intelectual da empresa. Mas, com os
responsáveis da autoridade de controle obrigados ao sigilo O propósito de um DPIA não é eliminar todos os riscos,
profissional, como se espera, não nos parece que o in fine mas sim minimizar a existência destes, bem como verificar
se os riscos remanescentes são justificáveis. De acordo em LGPD/GDPR, como é da natureza do compliance, é uma
com as orientações existentes relativas ao DPIA, este pode oportunidade de alavancar negócios. Em última análise,
ser dedicado a apenas a uma única operação de mais um meio de manter-se competitivo.
processamento, bem como a um grupo de operações,
desde que similares. Igualmente, também é possível que Antes de fazermos um resumo sobre as principais etapas
um grupo de controladores formulem conjuntamente um que integram a elaboração de um DPIA, convém esclarecer
DPIA. que o mesmo, muito embora seja até mesmo por
autoridades nacionais de proteção de dados europeias
Para além de uma demanda legal, um DPIA gera uma série (como a francesa CNIL) tratado como um sinônimo de um
de benefícios que ao próprio negócio, uma vez que a sua PIA (Privacy Impact Assessment), tal fato não traduz
metodologia pode implicar em revisões de processos, perfeitamente a realidade, do ponto de vista técnico stricto
alinhando assim a organização a uma visão mais sensu. Muito embora suas bases possam ter uma origem
abrangente de compliance, trazendo a reboque a comum, o PIA, além de já tratar-se de um conceito bem
possibilidade de gerar ganhos financeiros e de reputação estabelecido, em contraposição ao recém-criado DPIA
perante seus clientes. Nunca é demais lembrar que tanto através do disposto no artigo 35 do GDPR de 2016, aquele
a LGPD quanto o GDPR são leis voltadas para os trata de uma avaliação mais abrangente com relação aos
indivíduos, não para as empresas per se. O que se observa, impactos em todas as dimensões da privacidade.
porém, é que o fato de ao se adequarem a elas, pela via
natural, mudanças organizacionais ocorrem e com elas, Por sua vez, o DPIA surge como um instrumento que tem
uma otimização nos sistemas de controle e como foco evidenciar o compliance quanto a práticas
consequentemente toda uma melhoria nos aspectos previstas numa legislação específica, no caso o GDPR. Em
organizacionais. Mais do que um custo, a conformidade princípio as semelhanças podem induzir a pensar que se 
tratam de instrumentos iguais, por abordarem aspectos recomenda-se complementarmente a leitura da ISO 31000,
que concernem a privacidade. Porém, o PIA tem uma que descreve os processos envolvidos (comunicação e
abrangência maior, por contemplar a análise de impacto a consulta, estabelecimento de contexto, avaliação de riscos,
todas as dimensões da privacidade. Por sua vez, o DPIA resposta aos riscos, monitoração e reexame). É de suma
concentra-se num recorte limitado a atividades de importância, antes de conduzir a elaboração de um RIPD/DPIA,
processamento específicas, a saber as que envolvam e que sejam feitos os seguintes questionamentos:
que possam vir a comprometer a proteção dos dados  
pessoais e violação aos direitos do indivíduo. Foi realizada uma consulta junto aos stakeholders internos com
     relação aos possíveis riscos relativos a atividade de
Feita esta importante distinção, passemos aos aspectos processamento em análise, bem como os riscos de não-
metodológicos para criação de um RIPD/DPIA. Muito conformidade ante a LGPD e os instrumentos internos de
embora não sejam exatamente iguais um DPIA e um PIA, controle (políticas, processos e procedimentos voltados a
por sua natureza e escopo, é possível lançar mão como proteção de dados e privacidade)?
mera referência da ISO 29134, que estabelece uma Foram de igual forma consultados os stakeholders externos?
metodologia baseada em boas práticas para realização de Em caso afirmativo, quem, quando e com qual propósito
um Privacy Impact Assessment. Para uma abordagem mais objetivou-se a consulta?
específica, porém, torna-se fortemente recomendado a Adicionalmente à identificação dos riscos envolvidos, ambas
apreciação da documentação produzida tanto pelo antigo consultas levaram em consideração medidas de mitigação ou
WP29 (agora EDPB – European Data Protection Board), minimização destes riscos?
quanto da ICO e CNIL (autoridades de proteção de dados
do Reino Unido e França, respectivamente) sobre DPIAs. Uma vez realizado o levantamento prévio, dá-se início efetivo
Para entendimento prévio sobre gestão de risco, ao processo de elaboração do relatório.
 1. Contexto
Entendimento da organização e processos envolvidos

Para efeitos de melhor

compreensão, pode-se 2. Risk Assessment
dividir um RIPD/DPIA em
Processo de avaliação dos riscos
3 etapas:

3. Risk Management
Gerencimento dos riscos
A partir dessa visão macro, podemos adotar uma levantamento a natureza, o âmbito, o contexto e as
estrutura subdividindo as etapas de um Relatório de finalidades do tratamento.
Impacto em 6 fases, a saber:
Os dados pessoais atingidos, os destinatários, as bases
Fase 1. Detalhamento do processamento. legais bem como o prazo de retenção devem ser
Fase 2. Análise do processamento tendo em conta igualmente detalhadas. Importante observar que essa fase
possíveis relações com terceiros e respectivo contato para implica no mapeamento/inventário de todos os dados
colaboração na elaboração das fases seguintes. envolvidos, bem como sua classificação e fluxos de
Fase 3. Identificação de controles. processamento, para citar apenas alguns pontos-chave.
Fase 4. Listagem e análise de eventos e ameaças para o Em condições ideais, tais processos já foram devidamente
titular de dados quanto ao processamento dos dados implementados.
pessoais.
Fase 5. Produção de relatório com sumário de análise, Resta evidente, portanto, que aos considerarmos o
controles existentes e mitigação de risco, bem como processo de implementação de compliance em LGPD é no
propostas de medidas técnicas e organizacionais mínimo incorreto afirmar que o primeiro passo para dar
apropriadas para mitigar o risco do titular de dados, caso início àquele seria a elaboração de um RIPD/DPIA.
estas não estejam em prática.
Fase 6. Envio para aprovação ou recusa ao DPO. Tanto do ponto de vista metodológico quanto do ponto de
vista prático, o relatório, observado no contexto de uma
A Fase 1 visa detalhar as atividades de processamento adequação da empresa à lei a partir do zero, apresenta-se
envolvidas e que são objeto do relatório. Essa descrição como um output que tem por entrada diversos processos
sistemática das operações deve observar em seu que já devem estar implementados e on-going dentro da
organização. Seria como “começar pelo fim”, o que pode ao indivíduo seus direitos previstos, já existem e como elas
mostrar-se algo contraproducente e ineficaz. Numa se relacionam ao processamento objeto do relatório.
abordagem mais otimista, prestar-se-ia como um A necessidade e a proporcionalidade do processamento
instrumento de avaliação de maturidade organizacional/de são verificadas, através da avaliação de medidas existentes
processos tão-somente. Entretanto, existem ferramentas e para este fim, bem como as outras relativas à preservação
metodologias específicas para este fim, tais como a dos demais direitos alcançados pela lei.
realização de uma pré-auditoria ou um gap assessment. O
relatório não se prestaria como o remédio mais indicado, Novamente aqui faz-se necessário de que existam tais
aprioristicamente. medidas para que, se necessário, sejam estas adequadas
ao processamento analisado, bem como modificações a
A Fase 2 implica uma análise às relações com terceiros, estas medidas sejam feitas, caso trate-se de uma forma
nomeadamente joint controllers ou processadores. No nova de processamento anteriormente não prevista. Tal
GDPR, a colaboração para DPIAs só tem força de Lei para observação reforça a tese de que o RIPD não se presta a
os processadores, pelo que se sugere que num contrato rigor como ferramenta de conformidade sem que sejam
junto a joint controllers se inclua uma cláusula para permitir atendidas premissas básicas.
essa colaboração.
A Fase 4 consiste em realizar o processo de avaliação de
A Fase 3 concentra-se em identificar os controles que já riscos (risk assessment) a partir do ponto de vista do titular
existem. Estes controles são tanto de ordem legal como de dos direitos. Identificar, analisar e avaliar riscos. Uma
tratamento de riscos. Entram nessa categoria, portanto, metodologia sugerida para garantir a sistematização do
todas as medidas legais, técnicas, físicas e organizacionais, modelo de gestão de risco é a ISO 31000, trazendo uma
que consideradas a partir do ponto de vista de assegurar padronização que confere certeza e, ao mesmo tempo,
transmite, em caso de investigação, uma forma de A Fase 5 tem por objetivo documentar as medidas
demonstração de compreensão e responsabilização da adotadas para que os riscos identificados, analisados e
empresa em relação à proteção dos dados baseada numa avaliados sejam devidamente tratados. Este tratamento
norma adotada largamente no mercado. pode acarretar em evitar, remover, alterar, compartilhar
ou reter os riscos levantados.
O objetivo da identificação é relacionar as fontes de risco,
áreas/direitos impactados, eventos e suas causas, bem Nesta fase é gerado o relatório final que resume toda a
como potenciais consequências. Todos os eventos e análise realizada, os controles existentes, os riscos e
ameaças relacionadas ao processamento em análise ameaças aos titulares, endereçando as ações a serem
devem ser levantados e documentados. Estes eventos tomadas pela organização para cada risco, ameaça e falha
podem ter origem interna ou externa, causa humana ou identificada. Durante todo o processo a figura do
tecnológica, etc. Assim, a origem, natureza, particularidade, Encarregado, como 2ª linha de defesa, deve ser consultado
gravidade dos riscos são elencados. para dirimir dúvidas e receber dele eventuais
sugestões/críticas/orientações.
Seguindo o modelo proposto, os próximos passos
consistem em analisar e avaliar os riscos identificados. Ao Uma vez documentado adequadamente, o relatório
tomar em conta os riscos aos direitos identificados no deverá ser submetido aos principais gerentes das áreas
processamento, faz-se necessário, considerando os afetadas da organização, para que os mesmos tomem as
potenciais impactos nos direitos e liberdades dos titulares ações necessárias e validem o documento.
e ameaças aos mesmos, estimar a probabilidade e Apesar da LGPD, ao contrário do GDPR, não especificar as
gravidade de cada um dos riscos. situações onde se faz mandatório RIPD, o legislador previu
que para os casos onde a base legal para o tratamento for o § 3º A autoridade nacional poderá solicitar ao
interesse legítimo, observe-se o seguinte: controlador relatório de impacto à proteção de
dados pessoais, quando o tratamento tiver como
Art. 10. Para os fins desta Lei, considera-se: O legítimo
fundamento seu interesse legítimo, observados
interesse do controlador somente poderá
os segredos comercial e industrial.
fundamentar tratamento de dados pessoais para
finalidades legítimas, consideradas a partir de A Fase 6 consiste no envio do relatório ao DPO, para sua
situações concretas, que incluem, mas não se limitam análise. O DPO fará uma análise ao DPIA e concluirá se
a: está de acordo com o que é exigido ou se, por outro lado,
I - apoio e promoção de atividades do controlador; e há riscos que não foram corretamente mitigados ou riscos
II - proteção, em relação ao titular, do que não constam do relatório. Não havendo nada
exercícioexercício regular de seus direitos ou legalmente que obrigue o DPO a fundamentar a sua
prestação de serviços que o beneficiem, respeitadas as decisão, é boa prática que a recusa do DPO tem de ser
legítimas expectativas dele e os direitos e liberdades fundamentada.
fundamentais, nos termos desta Lei.
§ 1º Quando o tratamento for baseado no legítimo A questão mais pertinente, nestes casos, é quando o DPO
interesse do controlador, somente os dados pessoais rejeita o DPIA. Hipoteticamente, podemos olhar para uma
estritamente necessários para a finalidade pretendida empresa cujo DPO rejeitou um DPIA. A rejeição do DPO de
poderão ser tratados. um DPIA não é vinculativa mas deve ser tida em alta
§ 2º O controlador deverá adotar medidas para consideração, dada a especificidade do cargo. A  direção
garantir a transparência do tratamento de dados da empresa, após analisar o DPIA, a opinião do DPO e os
baseado em seu legítimo interesse. fundamentos da recusa, pode decidir avançar com o
processamento de dados, mesmo com a rejeição do DPIA gerado em qualquer outra situação onde haja riscos aos
pelo DPO. direitos dos titulares. No âmbito do GDPR porém, tem sido
considerado unanimemente a necessidade de uma
No entanto, terá de fundamentar a sua decisão, visto que, avaliação que fundamente o interesse legítimo, o LIA
em caso de investigação, ter-se-á de analisar se o risco (Legitimate Interests Assessment).
corrido pela empresa era razoável ou negligente,
colocando propositadamente em causa os direitos dos Apesar de tratar-se de uma base legal mais flexível, o
titulares de dados em seu benefício. interesse legítimo não pode ser assumido como o mais
apropriado por mera conveniência. O propósito do LIA é
Outra questão coloca-se no caso do DPO aprovar o DPIA evitar que o. controlador utilize o legítimo interesse de
com reservas. Por exemplo,  considera que o risco está forma arbitrária e não fundamentada, sem ter em
convenientemente mitigado mas que a empresa pode ponderação os interesses dos titulares de dados.
mitigar esse risco consideravelmente com diversas e
determinadas medidas técnicas e/ou organizacionais. Não A responsabilidade adicional ao agente de tratamento
sendo a forma mais comum de responder a um DPIA, não decorrente da utilização dessa base legal é
se vislumbra qualquer razão legal para que um DPO inerente,portanto conduzir uma avaliação como um LIA
cumpra a sua função de monitorização de forma pode ajudar bastante a decidir pelo legítimo interesse. Um
preemptiva, assinalando soluções que o DPIA não toma LIA basicamente coloca de forma estruturada e
em consideração. documentada o teste em três partes que se recomenda ao
avaliar a adequação do interesse legítimo, a saber:
A propósito da menção feita anteriormente ao artigo 10, §
3º, a mesma é específica a um relatório idêntico ao ser Propósito | Necessidade | Balanceamento
Inicialmente, considera-se o propósito do processamento, Por fim, considera-se o impacto nos interesses, direitos e
o que se espera obter através dele: liberdades dos titulares da utilização desta base legal e são
identificadas formas de mitigação do risco a esses direitos
Quem se beneficia do processamento e de que forma? e liberdades.

Existem benefícios públicos advindos e de que forma eles Do ponto de vista prático, quando olhamos para o GDPR,
se dariam? um DPIA não é substituído por um LIA, mas este auxilia
bastante para checar a viabilidade de se utilizar como base
O quão importantes seriam esses benefícios? Etc. legal o interesse legítimo, servindo de base ao mesmo
quando estão em causa processamentos que colocam
Superado isso, avalia-se a real necessidade do direitos dos titulares de dados em risco de forma
processamento baseado em interesse legítimo: agravada. Rejeitado um LIA, não se vislumbra como se
poderá avançar com o interesse legítimo como base legal.
Esse processamento de fato auxilia no propósito
almejado? Por último, deve-se ter em consideração que o LIA terá de
ser aprovado ou rejeitado pelo DPO, com as mesmas
Ele é indispensável? nuances referidas supra em relação aos DPIAs.

Não haveria outra base legal possível de se utilizar para A propósito da diferença suscitada pelo LIA entre a lei
alcançar o mesmo propósito? brasileira e a europeia, observa-se que no GDPR o DPIA é
mandatório quando o tratamento de dados for “suscetível
Há proporcionalidade entre o propósito e a necessidade? de implicar um elevado risco para os direitos e liberdades
das pessoas singulares” (GDPR, artigo 35.º, n.º 1). Isto posto, partindo do pressuposto de que “quem pode o
mais, pode o menos”, segue à guisa de recomendação
Por outro lado, na LGPD, a abrangência não encontra para a futura e tão necessária autoridade nacional que
premissas, ou seja, potencialmente todas as atividades de sejam adotados os mesmos critérios do GDPR quanto a
processamento, independente do grau de risco que necessidade de um RIPD.
apresentem aos direitos dos titulares, podem vir a ser
demandadas pela futura autoridade de serem passíveis de Além de estarmos assim mais alinhados com a legislação
RIPD por parte dos agentes de tratamento. que tão grande inspiração deu à LGPD, estaríamos
também dando uma maior possibilidade à ANPD em tratar
Ora, é fato que nossa realidade empresarial não tem ainda os casos mais críticos como devem ser tratados:
como foco o compliance, e dentro do universo da prioritariamente. Ademais, por tratar-se de um órgão
governança corporativa, a gestão de risco é antes uma recém criado, e como qualquer outro, com recursos
exceção do que uma regra entre as empresas nacionais. limitados, e ainda por cima num país onde não temos uma
cultura como a europeia (que já dispõe de regulação na
Com o advento da LGPD e com ela a demanda legal área desde a década de 90, com a Diretiva que foi
quanto a existência deste mesmo compliance através de substituída pelo GDPR), existe uma tendência que
controles baseados em boas práticas, é seguro dizer que tenhamos uma quantidade muito grande de demandas a
no futuro tenhamos uma mudança significativa na cultura autoridade, em especial nos momentos iniciais de vigência
organizacional pátria. Porém, talvez não tenha sido a da lei.
melhor solução deixar de modo tão “aberto” a possível
necessidade de termos RIPD para todas e quaisquer Por tratar-se de uma abordagem nova no país de garantia
situações. aos direitos relativos à privacidade e proteção de dados
pessoais, extremamente bem vinda, corre-se no entanto o
risco de que, não atendendo a demanda supracitada, a
ANPD venha a perder de alguma forma credibilidade e,
dessa forma, tornar-se “mais uma agência”. E isto podendo
vir a ocorrer justamente quando conquistamos a duras
penas um patamar elevado de segurança jurídica com o
advento da LGPD seria lamentável.

Assim sendo, não podemos correr o risco de termos uma

das suas principais ferramentas inovadoras, a autoridade
nacional, desgastada já de saída.
Tempo de guarda

Luanna Rodrigues Peporini

Tempo de guarda
Por quanto tempo os arquivos devem ser mantidos?

Ao tratarem da elaboração de avaliações de impacto da proteção de

dados ou relatórios de impacto à proteção de dados pessoais, nem o
GDPR e nem LGPD, respectivamente, abordam a questão dos prazos de
guarda de tais avaliações ou relatórios, ou seja, por quanto tempo os
controladores de dados deverão manter tais documentos em seus
arquivos.

Parece-nos, claramente, que tais documentos devem ser mantidos

durante todo o período durante o qual a atividade que gerou a
necessidade de elaboração das avaliações ou relatórios seja praticada
pelo controlador.

O maior questionamento dos controladores é o prazo de guarda dos

relatórios após cessarem as atividades do controlador que deram
ensejo à sua elaboração. Em princípio, como o relatório não conterá
dados pessoais, não há limite máximo de prazo para a eventual autoridade poderia sancionar o controlador, após
guarda, ou seja, o controlador pode manter tais relatórios cessada a atividade que se fundamentou no relatório, o
por tempo indeterminado. prazo que poderão ser ajuizadas ações civis públicas
relacionadas ao uso feito dos dados ou, até mesmo, o
A questão que se coloca, portanto, é qual o prazo prazo para que um titular de dados ajuíze ação contra o
necessário de guarda dos relatórios, ou seja, o prazo controlador.
mínimo que os controladores devem manter tais
documentos em seus arquivos. Entendemos que isso Nesse ponto, vale considerar que a depender da posição
dependerá de como o controlador desenvolve suas do titular na relação com o controlador, ou seja,
atividades e do quanto está disposto a correr riscos. consumidor, empregado etc, tal prazo será diferente.

O controlador poderia se valer de partes de um relatório

validado por uma autoridade, quando aplicável, ou já
utilizado para outras atividades, para o desenvolvimento
de atividade nova, porém relacionada à anterior. Nesse
caso, faria sentido manter todo o histórico de relatórios, já
que há uma relação entre eles.

Outro aspecto fundamental a ser levado em consideração

é o prazo prescricional relacionado a qualquer demanda
que possa ser decorrente do relatório ou das atividades
que ensejaram a sua elaboração. Ou seja, o prazo que
Governança corporativa

Remi Yun
Governança corporativa
Importância do DPIA

Em razão dos efeitos da nova Lei Europeia – General Data Protection

Regulation (GDPR), aplicação de multas milionárias têm sido
testemunhadas rotineiramente, causando assim, diversas
iniciativas/ações desestruturadas dentro das organizações brasileiras, já
que a LGPD entrará em vigor em 2020.

Tais confusões justificam-se na ausência de uma Agência Nacional de

Proteção de Dados quanto o desenvolvimento de guias ou orientações
em relação as aplicações práticas dos dispositivos legais.

Uma delas se encontra no desenvolvimento do Relatório de Impacto à

Proteção de Dados Pessoais (RIPD) previsto no LGPD, pois não resta
claro a função ou área responsável pelo desenvolvimento do relatório,
sua periodicidade, etc.
Em busca da conformidade exigida pela nova legislação, muito se comenta
que a elaboração do Relatório de Impacto se trata do primeiro documento a
ser desenvolvido pela organização, mas se enganam aqueles que seguem
esse entendimento, pois o presente relatório é consequência ou fruto da
cultura do Privacy by Design (PbD) ou “Privacidade Desde a Concepção” a ser
implementada dentro da organização.

O que faz sentido, já que se trata de uma metodologia na qual a proteção de

dados pessoais é observada desde a concepção de sistemas, práticas
comerciais, projetos, produtos ou qualquer outra solução que envolva o
manuseio de dados pessoais (Ann Cavoukian, 1990).

Diante desse contexto, tal metodologia alcançará a efetividade esperada

quando estiver estruturada uma boa prática de governança corporativa
devidamente alinhada numa gestão ou cultura de riscos.

Segundo IBGC, a Governança Corporativa está pautada por alguns princípios

básicos que são convertidos em recomendações objetivas, tais como:
 GOVERNANÇA CORPORATIVA
Princípios básicos

Responsabilidade Prestação de Transparência Equidade

corporativa Contas
Responsabilidade Corporativa (Compliance) ou desempenho econômico financeiro, mas deve
contemplar demais fatores inclusive intangíveis que
Os agentes de governança devem zelar pela viabilidade
norteiam a ação gerencial, pois a adequada transparência
econômico-financeira das organizações, reduzir as
resulta em um clima de confiança.
externalidades negativas de seus negócios e suas
operações e aumentar as positivas, levando em Equidade (Fairness)
consideração, no seu modelo de negócios, os diversos
Tratamento justo e isonômico de todos os sócios e demais
capitais (financeiro, manufaturado, intelectual, humano,
partes interessadas.
social, ambiental, reputacional, etc.) no curto, médio e
longo prazos.
Não restam dúvidas que os princípios básicos
Prestação de Contas (Accountability) supracitados são condições a serem identificados numa
Os agentes de governança devem prestar contas de sua boa governança corporativa através de uma estrutura
atuação de modo claro, conciso, compreensível e clara e madura com as atribuições e responsabilidades de
tempestivo, assumindo integralmente as consequências cada agente nos diferentes níveis e práticas de gestão de
de seus atos e omissões e atuando com diligência e risco devidamente estabelecidas e formalizadas, por
responsabilidade no âmbito dos seus papéis. exemplo, quem identifica, avalia, trata os riscos, bem como
quem monitora e fiscaliza o processo como um todo.
Transparência (Disclosure)
Consiste no desejo de disponibilizar para as partes O resultado da boa governança fica atrelado ao
interessadas as informações que sejam de seu interesse e desenvolvimento econômico sustentável de longo prazo,
não se limitar apenas às disposições de leis/regulamentos, melhoria no desempenho das empresas, bem como o
aumento do acesso ao capital externo. A integração da
cultura de risco com a governança refletirá diretamente no
processo de tomada de decisão, identificando-se uma
interação entre todos os níveis da organização e seus
respectivos agentes dentro das linhas de defesa esperada,
resguardando-se sua independência.

Para que o processo de tomada de decisão ocorra dentro

das conformidades esperadas, a gestão de riscos
corporativos, bem como seus monitoramentos devem ser
exercidos pelas três linhas de defesa que seguem abaixo:

1ª Linha de defesa: realizada pelos gestores das unidades

e responsáveis diretos pelos processos e sobre os riscos;

2ª Linha de defesa: realizada pelos gestores corporativos

de gestão de riscos, conformidade (compliance), controle e
que contempla o monitoramento de visão integrada dos
riscos;

3ª Linha de defesa: realizada pela auditoria interna que

fornece avaliações independentes;
Nessa estrutura, cada uma dessas três linhas desempenha provido pela FERMA (The Federation of European Risk
um papel distinto, podendo existir várias alternativas para Management Associations) ao definir a segunda linha de
a construção da governança de gestão de riscos, cabendo defesa como a estrutura em que o encarregado de dados
cada organização adotar aquela mais adequada ao seu pessoais ou Data Protection Officer (DPO) deveria estar
perfil e nível de maturidade. enquadrado.

Diante do contexto acima, é de suma importância O que corrobora com o dispositivo do art. 41, § 2º, inciso III
identificar um responsável pelo desenvolvimento do da LGPD que dispõem sobre as atividades do
Relatório de Impacto à Proteção de Dados Pessoais, encarregado, sendo uma delas o aspecto de orientar os
dentro da estrutura das três linhas de defesas que deve funcionários e os contratados da entidade a respeito das
seguir embasado numa cultura de riscos devidamente práticas a serem tomadas em relação à proteção de dados
integrada a governança corporativas. pessoais.

Neste caso, não se vislumbra outra opção além da Conclui-se que as áreas e/ou pessoas pertencentes a
primeira linha de defesa como sendo o responsável em primeira linha de defesa tem a obrigação e
desenvolver o relatório, ou seja, os próprios gestores das responsabilidade de identificar e minimizar os riscos de
unidades, ora responsáveis diretos dos processos, proteção de dados de um projeto, tendo o dever de
consequentemente pelos riscos inerentes a eles, consultar seu encarregado ou DPO para avaliar o nível de
assegurando assim, a efetividade das ações adotadas risco mapeado e documentá-lo como parte do processo.
quanto a cultura do Privacy by Design (PbD).
Há a possibilidade de terceirizar o relatório, mas
Tal entendimento resta fundamentado na recomendação independentemente dessa delegação, a responsabilidade
permanece para quem terceirizou. Caso haja uma
operação de processamento relevante, o processador
poderá elaborar o relatório quando solicitado.

Na prática haverá uma imensa confusão, pois a previsão

quanto à solicitação ou consulta do encarregado não gera
a presunção de responsabilidade do encarregado para
elaboração do relatório de impacto.
Considerações finais

Caio César Carvalho Lima

Considerações finais

Se há algumas décadas os PIAs eram considerados apenas um meio

utilizado pelas organizações para analisar e gerenciar riscos, com a
entrada em vigor da LGPD e a necessidade de realização de DPIAs, estes
tornar-se-ão uma exigência legal.

Assim, de uma ferramenta útil na gestão de riscos – parte da abordagem

geral de uma empresa para a construção de uma imagem clara de suas
atividades de tratamento de dados – passarão a ser uma verdadeira
exigência de compliance, quando aplicável, para entender se tais
atividades são arriscadas ou não. Tal documentação demonstrará, ainda,
quais medidas foram adotadas para prevenir, controlar e mitigar tais
riscos.
Embora os métodos para conduzir os relatórios possam
variam amplamente de organização para organização,
todos os seus membros deverão compreender que
possuem um papel a desempenhar na entrega da
estrutura de privacidade.

Assim, será necessário um olhar atento dos controladores

de dados pessoais sobre a escolha da metodologia
adequada para a elaboração e execução dos relatórios,
seja para evitar as sanções legais em razão de seu
descumprimento dentro dos casos previstos, seja para
afastar danos reputacionais e perdas no retorno de
investimentos resultantes da desconfiança por parte dos
cidadãos.
 SOBRE OS AUTORES
Relatório de Impacto à Proteção de Dados Pessoais

Caio Lima Luanna Peporini Marcílio Braz Jr. Maria Hosken

Advogado Advogada Advogado Advogada
Mestre em Direito Especialista em Especialista em Mestre em Propriedade
Processual Civil pela PUC- propriedade intelectual, privacidade e proteção Intelectual e Inovação
SP contratos, direito digital e de dados; fundador da pelo INPI
internet Privacy Academy

in/caiocclima in/luanna-rodrigues- in/marciliobrazjr in/mariahosken

peporini-2b2a5911
 SOBRE OS AUTORES
Relatório de Impacto à Proteção de Dados Pessoais

Nuria Baxauli Remi Yun Raphael Dutra

Advogada Advogada e Auditora Advogado
Especialista em Interna Especialista em Data
Propriedade Intelectual e Especialista em Gestão de Protection and Privacy
Tecnologia Riscos, Compliance e
Investigação Forense

in/raphael-dutra-da-costa-
in/núria-baxauli-1b0698107 in/remiyun
campos-278362138
 Referências bibliográficas

[1] CLARKE, Roger. Privacy Impact Assessment: Its Origins and Development. Computer Law &
Security Review 25, 2 (April 2009) 123-135. Elsevier, 2009. Disponível em
http://www.rogerclarke.com/DV/PIAHist-08.html. Acesso em 26/11/2018.

[2] “In order to enhance compliance with this Regulation where processing operations are likely to
result in a high risk to the rights and freedoms of natural persons, the controller should be
responsible for the carrying-out of a data protection impact assessment to evaluate, in particular,
the origin, nature, particularity and severity of that risk.” (EU Regulation 657/2016 - GDPR).

[3] “That impact assessment should include, in particular, the measures, safeguards and
mechanisms envisaged for mitigating that risk, ensuring the protection of personal data and
demonstrating compliance with this Regulation.” (EU Regulation 657/2016 - GDPR).