ANPD divulga perguntas e respostas sobre o Relatório de Impacto à Proteção de Dados Pessoais
No dia 6 de abril, a Autoridade Nacional de Proteção de Dados ("ANPD") publicou uma nova página online com perguntas e respostas sobre o Relatório de Impacto à Proteção de Dados Pessoais ("RIPD"). Segundo comunicado oficial, a nova página visa a orientar os controladores, sanar dúvidas e promover a compreensão sobre o assunto.
Vale destacar que as orientações não são vinculantes e a ANPD poderá alterar, excluir ou incluir novas orientações por meio do processo de regulamentação do RIPD que está em fase de elaboração, conforme previsto em Agenda Regulatória.
1. Hipóteses de elaboração do RIPD
A ANPD esclareceu as hipóteses nas quais recomenda-se a elaboração de um RIPD. Em geral, o RIPD é recomendado nos casos em que as operações de tratamento de dados pessoais possam gerar alto risco à garantia dos princípios gerais previstos na Lei Geral de Proteção de Dados Pessoais ("LGPD") e às liberdades civis e aos direitos fundamentais do titular de dados.
Enquanto não for editado regulamento específico sobre o RIPD, os controladores podem adotar como parâmetro de "alto risco" a definição disposta no Regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte.
Além disso, a LGPD confere à ANPD a prerrogativa de solicitar o RIPD ao controlador em algumas situações específicas. Então, a elaboração do RIPD teria como finalidade atender à determinação da ANPD em alguns casos, como quando o tratamento for fundamentado no legítimo interesse ou após solicitação específica, nos termos de regulamento a ser editado.
2. Conteúdo do RIPD
A ANPD exige que o RIPD seja "suficientemente detalhado" de modo a fornecer uma "compreensão ampla de como ocorre o tratamento de dados pessoais e os possíveis riscos associados a ele". Nesse sentido, a ANPD recomenda que uma série de informações sejam englobadas no RIPD, como informar:
O projeto ou processo que justifica a elaboração do RIPD;
Os sistemas de informação relacionados ao projeto ou processo;
Todos os tipos de dados pessoais comuns ou sensíveis, de forma completa, bem como dados de crianças, adolescentes, idosos, ou outra categoria de vulneráveis;
O volume de dados pessoais e o número de titulares envolvidos;
A fonte da coleta e compartilhamentos internos e externos, incluindo transferências internacionais; e
A finalidade do tratamento e análise da hipótese legal.
3. Revisão e divulgação
Embora a divulgação do RIPD não seja obrigatória – salvo casos específicos para entidades e órgãos públicos –, a ANPD entende que sua divulgação pelo controlador aos titulares é uma medida que atende aos princípios do livre acesso, da transparência e da responsabilização e prestação de contas, previstos no artigo 6º da LGPD.
Ademais, recomenda-se a revisão contínua do RIPD pelo controlador, especialmente quando houver alteração nas atividades de tratamento, surgir nova regulamentação da ANPD ou fatos novos agravarem ou ensejarem novos riscos.
>>> Este conteúdo faz parte do Informativo de Proteção de Dados e Cybersecurity. Clique aqui para ler mais notícias. O artigo foi escrito por nossos profissionais Felipe Palhares, Fernanda Villela, Bárbara Iszlaji e Arthur Pichelli Ueda.
