Sobre o Relatório de Impacto

#bomdialgpd

O relatório de impacto à proteção de dados pessoais (RIPD ou DPIA) ao mesmo tempo que é um dos temas mais relevantes da conformidade com a LGPD, é também um assunto que levanta muitas dúvidas e mitos. Mesmo a lei não o considerando como uma providência obrigatória para a conformidade com a LGPD (as três citações ao RIPD são associados a solicitações ou determinações da ANPD), é uma boa prática o controlador e o operador manterem (e conhecerem) um template e que executem pelo menos um RIPD preventivo em uma operação de tratamento de dados pessoais de alta criticidade, até para não precisar aprender quando surgir a necessidade com curto prazo.

Para organizações que façam prospecção de clientes em formato B2C e B2B, as operações de captação e tratamento de prospects, leads e clientes são um grande candidato. Ontem mesmo recebi pelo whatsapp uma 'mensagem fria' de uma grande incorporadora do Rio de Janeiro oferecendo um lançamento imobiliário que não tenho ideia de como meu número foi obtido pelo corretor, este tipo de aplicação é um bom alvo para um RIPD.

A boa notícia é que mesmo ainda não regulamentado pela ANPD, há boas orientações e templates: aqui no Brasil há boas publicações da Secretaria de Governo Digital do Ministério da Economia, do Banco Central e do Tribunal de Contas da União, no exterior considero uma boa fonte de estudo as publicações do ICO (agência reguladora do Reino Unido) que recentemente atualizou suas recomendações. (todos os links nos comentários)

O ICO recomenda os seguintes passos para construção do relatório de impacto, não seja simplista pois cada caixinha é um desafio, não adianta achar que é só preencher lacuna: tem que estudar. Note que o processo é similar à gestão de riscos, os conceitos da ISO 31000 são uma boa referência.

Além de solicitações pela ANPD, o relatório de impacto é um instrumento de prestação de contas e pode ser solicitado por órgãos de controle, pelo judiciário e já vi casos de solicitação em auditorias e em due diligence.

Minha sugestão é que o processo de criação do relatório de impacto seja focado nas operações mais críticas (avaliação vertical) e que se evite orientações do tipo 'realizar o relatório de impacto para todas as operações de tratamento de dados pessoais' (avaliação horizontal) pois faz gastar muita energia e não aprofunda a aplicação dos conceitos.

Mesmo na Europa o relatório de impacto é alvo de estudo e melhoria contínua e é um ótimo instrumento de prestação de contas, de alinhamento da LGPD ao negócio, criação de linguagem comum entre equipes multidisciplinares, e para entendimento das principais operações de tratamento de dados pessoais.

Obrigado,

Abraço,

FNery