RIPD na LGPD: as rotinas de marketing que pedem relatório antes de ligar

Quase toda empresa que passou pela adequação à LGPD já ouviu falar do RIPD, e quase toda o guarda numa gaveta mental chamada "coisa de órgão público". Não é. O relatório de impacto existe para qualquer controlador que trate dados de um jeito capaz de gerar alto risco aos titulares, e várias rotinas que o marketing liga com dois cliques numa plataforma entram exatamente nessa conta.

Este guia faz o que os materiais sobre o tema costumam pular: pega o teste de alto risco que a ANPD usa como parâmetro e aplica, caso a caso, a rotinas reais de marketing, como lead scoring, enriquecimento de base, segmentação por IA, campanhas para crianças e idosos e reconhecimento facial em evento. No caminho, separa o RIPD do inventário de dados, que é outro documento, e mostra como montar o relatório sem transformar o projeto num processo jurídico interminável.

O que é RIPD na LGPD?

RIPD é a sigla de Relatório de Impacto à Proteção de Dados Pessoais. A própria lei o define como a documentação do controlador que descreve os processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, junto com as medidas, salvaguardas e mecanismos de mitigação desses riscos.

Na prática, é um documento de decisão. Ele responde três perguntas antes de um projeto ir ao ar: o que vamos fazer com os dados, o que pode dar errado para as pessoas cujos dados estão ali e o que vamos fazer para que não dê. Não é um formulário de compliance para arquivar; é o lugar onde a empresa registra por que decidiu seguir, ajustar ou desistir de um tratamento.

Quem elabora é o controlador, ou seja, a empresa que decide sobre o tratamento. A agência, a plataforma de automação ou o fornecedor de CRM normalmente atuam como operadores: entregam informação técnica, mas a responsabilidade pelo relatório fica com a marca. Se essa divisão ainda gera dúvida na sua operação, vale ler o nosso guia sobre quando a agência de marketing é operadora na LGPD.

Qual artigo da LGPD trata do RIPD?

O RIPD aparece em quatro pontos da Lei nº 13.709/2018, a LGPD, e cada um diz uma coisa diferente:

• Art. 5º, XVII: traz a definição do relatório.
• Art. 10, § 3º: autoriza a ANPD a pedir o RIPD quando o tratamento se apoia no legítimo interesse do controlador, observados os segredos comercial e industrial.
• Art. 38: autoriza a ANPD a determinar que o controlador elabore o relatório, inclusive sobre dados sensíveis, e fixa o conteúdo mínimo: tipos de dados coletados, metodologia de coleta e de segurança e a análise das medidas de mitigação.
• Art. 55-J, XIII: dá à ANPD a competência de editar regulamentos sobre relatórios de impacto nos casos em que o tratamento representar alto risco.

O detalhe que muda a leitura está no último item. A lei prevê um regulamento específico sobre o RIPD, e a própria ANPD reconhece, na página de perguntas e respostas sobre o tema, que o cenário normativo é dinâmico e que obrigações adicionais podem vir. Enquanto isso, a autoridade indica um parâmetro emprestado de outra norma, que é o coração deste artigo.

Qual a diferença entre RIPD e ROPA (o inventário de dados)?

A confusão é frequente porque os dois documentos descrevem tratamentos de dados. A diferença está no alcance e no gatilho. O registro das operações de tratamento, que o mercado chama de ROPA ou inventário, é exigido pelo art. 37 da LGPD de controladores e operadores para tudo o que fazem. O RIPD é seletivo: entra quando um tratamento específico pode gerar alto risco.

Quadro elaborado pela Alliance Comunicação com base na LGPD e nas perguntas e respostas da ANPD sobre o RIPD (modificadas em 23/09/2026).

Uma forma simples de lembrar: o inventário é o mapa da casa inteira; o RIPD é o laudo de um cômodo onde se vai mexer na estrutura. Sem o mapa, fica difícil saber quais cômodos pedem laudo, e é por isso que o inventário costuma vir primeiro. Tratamos esse ponto de partida no artigo sobre o inventário de dados que a maioria das empresas ainda não fez.

Quando o RIPD é obrigatório?

A resposta curta é que a LGPD não impõe o RIPD como regra geral para todo tratamento. Há três situações distintas, e elas se somam:

1. Quando a ANPD determinar. Nesse caso não há escolha: o controlador elabora e, se requisitado, encaminha o relatório. A ANPD informa que o dever de envio existe apenas quando há requisição, sob pena de medidas de fiscalização.
2. Quando o tratamento pode gerar alto risco. Aqui a ANPD recomenda o relatório e afirma que a avaliação cabe ao agente de tratamento, em atenção ao princípio da responsabilização e prestação de contas (art. 6º, X).
3. Quando o tratamento se apoia no legítimo interesse. O art. 10, § 3º, deixa a porta aberta para a ANPD pedir o RIPD. Não é obrigação automática, mas quem usa essa base para marketing deve estar pronto para mostrar a análise.

O "antes" é o ponto que mais pesa no marketing. A recomendação existe para que a empresa avalie os riscos de antemão e ajuste o projeto enquanto ainda é barato ajustar. Um RIPD escrito seis meses depois de o modelo de pontuação estar rodando vira, na melhor das hipóteses, um relatório de dano já feito. Sobre o legítimo interesse, o nosso guia do teste de legítimo interesse antes do e-mail promocional mostra quando um disparo comum fica longe desse nível de risco.

Como funciona o teste de alto risco da ANPD?

Enquanto não sai o regulamento específico do RIPD, a ANPD orienta os controladores a usar, no que couber, o conceito de tratamento de alto risco do art. 4º da Resolução CD/ANPD nº 2/2022, o regulamento da LGPD para agentes de tratamento de pequeno porte. O teste é cumulativo: precisa de um critério de cada coluna.

Os dois critérios gerais têm definição na própria resolução. A larga escala se caracteriza quando o tratamento abrange número significativo de titulares, considerando ainda o volume de dados, a duração, a frequência e a extensão geográfica. Não há um número mágico, e isso é proposital: uma base de 50 mil leads tratada uma vez é diferente da mesma base pontuada todo dia, em todo o país, por anos.

Já o efeito significativo sobre direitos aparece, entre outras situações, quando o tratamento pode impedir o exercício de um direito ou o uso de um serviço, ou causar danos materiais ou morais, como discriminação, violação à imagem e à reputação, fraude financeira ou roubo de identidade. É aqui que entra a diferença entre usar um dado para escolher a cor do anúncio e usá-lo para decidir quem recebe uma oferta.

Dois avisos da ANPD completam a régua. Primeiro, os critérios não são exaustivos: o controlador pode identificar alto risco em situações fora da lista. Segundo, vários fatores de risco juntos podem elevar o nível de risco de um tratamento, e a análise deve considerar como eles interagem, não só cada um isolado.

Quais rotinas de marketing passam no teste de alto risco?

O quadro abaixo aplica o art. 4º às rotinas mais comuns. É a leitura da Alliance sobre cenários típicos, não um parecer: o resultado real depende do volume, dos dados e do que a decisão faz com a pessoa. A ANPD informa que não responde consultas sobre casos hipotéticos ou concretos, então a avaliação é sempre do controlador.

Leitura da Alliance Comunicação sobre o art. 4º da Resolução CD/ANPD nº 2/2022 aplicado a cenários típicos. Não substitui a avaliação do controlador no caso concreto.

Lead scoring: o "unicamente" é a palavra que decide

O critério específico fala em decisões tomadas unicamente com base em tratamento automatizado, inclusive as que definem perfil de consumo. Um modelo que pontua leads e apenas ordena a fila de um vendedor, que decide quem ligar, está numa zona diferente de um modelo que, sozinho, tira pessoas da régua de ofertas ou define a condição comercial. Na nossa leitura, o segundo caso, rodando sobre uma base grande, reúne os dois critérios.

Vale lembrar que o art. 20 da LGPD garante ao titular o direito de pedir revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluindo as que definem perfil de consumo. Um RIPD bem feito já deixa pronta a resposta sobre critérios e procedimentos. Para a parte técnica de como as plataformas pontuam, veja o guia de lead scoring com as regras que as plataformas documentam.

Enriquecimento e IA: o risco está na inferência

Cruzar a base com dados de terceiros, por si só, não aparece entre os critérios específicos. O problema surge quando o cruzamento usa um modelo de IA para prever comportamento, o que puxa o critério de tecnologia emergente, ou quando o resultado permite deduzir algo sensível, como saúde ou religião, a partir do histórico de compras. Mostramos como isso acontece no artigo sobre o histórico de compras que vira dado de saúde.

Crianças, idosos e eventos: os casos que o marketing esquece

O critério de dados de crianças e adolescentes é o mais lembrado, até porque o art. 14 da LGPD exige consentimento específico e em destaque de pelo menos um dos pais ou responsável para tratar dados de crianças. O que costuma passar batido é que o mesmo critério inclui idosos. Uma campanha de captação voltada ao público 60+, comum em turismo, saúde e serviços financeiros, merece o teste com a mesma atenção.

Já em eventos, a resolução define zonas acessíveis ao público como espaços abertos ao público, incluindo centros comerciais, estações e aeroportos. Um estande com câmera que reconhece rostos para medir fluxo junta vigilância de área pública com dado biométrico, que a LGPD classifica como sensível. É o caso mais claro do quadro.

Como fazer um RIPD na prática?

Enquanto o tema não for regulamentado, a ANPD diz que os controladores têm flexibilidade para definir a estrutura e o formato do relatório, respeitando a LGPD. A mesma página traz uma lista recomendada de conteúdos, que serve de roteiro:

1. Defina o recorte: um relatório por finalidade

A ANPD orienta que um RIPD corresponda a cada projeto ou processo com operações voltadas a uma mesma finalidade. Operações muito parecidas em natureza, finalidade e risco podem caber num relatório só. No marketing, isso costuma significar um RIPD para o modelo de pontuação e outro para a campanha infantil, e não um documento único para "o marketing".

2. Identifique agentes, encarregado e partes consultadas

Registre quem é o controlador, quem são os operadores (agência, CRM, plataforma de automação) e o encarregado. A ANPD considera desejável consultar o encarregado na elaboração e na análise das conclusões, e admite consultar operadores, especialistas e titulares. Registrar as opiniões divergentes e a justificativa da escolha é apontado como boa prática.

3. Descreva o tratamento do começo ao fim

Da coleta à eliminação: quais dados, quais dados sensíveis, quais categorias de titulares, se há dados de crianças, adolescentes ou idosos, volume e número de titulares, fonte de coleta, finalidade de cada dado, compartilhamentos internos e externos, inclusive transferência internacional, e prazos de retenção e descarte.

4. Justifique a base legal e os princípios

Para cada finalidade, a hipótese legal escolhida e o porquê. Aqui entra a análise de necessidade e proporcionalidade: o modelo precisa mesmo de todos esses campos? O legítimo interesse, quando usado, deve vir acompanhado do teste de balanceamento.

5. Liste riscos, meça e decida as medidas

Para cada fator de risco, estime probabilidade e impacto sobre os titulares, com a metodologia que a empresa escolheu, e descreva as medidas de mitigação. A ANPD lembra que nenhuma avaliação cobre todos os fatores; o esforço é cobrir o maior número possível, a começar pelos mais relevantes.

6. Registre a decisão e agende a revisão

O relatório termina com comentários e aprovações e com uma decisão: seguir, mudar a forma do tratamento ou não seguir. A ANPD recomenda revisar o RIPD continuamente, em especial quando o tratamento muda, quando surgem fatores de risco novos ou quando sai regulamentação ou orientação nova.

Quais os erros mais comuns ao elaborar um RIPD?

• Fazer depois de ligar. O valor do relatório está em mudar o projeto antes de ele rodar.
• Copiar um modelo de órgão público sem adaptar. Os modelos públicos ajudam no formato, mas o risco de um modelo de pontuação comercial é outro.
• Um relatório para tudo. Misturar finalidades diferentes esconde os riscos de cada uma.
• Deixar o relatório com o jurídico e fora do marketing. Quem sabe quais campos o modelo usa e o que a automação decide é o time que opera a ferramenta.
• Tratar a plataforma como responsável. O fornecedor é operador; o RIPD é do controlador.
• Não revisar. Um modelo retreinado, uma fonte nova de dados ou um público novo mudam o risco, e o relatório precisa acompanhar.

RIPD e DPIA são a mesma coisa?

São equivalentes em propósito. DPIA (Data Protection Impact Assessment) é o nome do instrumento previsto no art. 35 do GDPR, o regulamento europeu de proteção de dados, que exige a avaliação de impacto antes de um tratamento que provavelmente resulte em alto risco. O texto europeu cita, entre os casos, a avaliação sistemática de aspectos pessoais por tratamento automatizado, incluindo perfilamento, que embase decisões com efeitos significativos.

A diferença prática é o grau de obrigação. No GDPR, a avaliação é exigida nas hipóteses de alto risco. Na LGPD, o RIPD é recomendado nessas hipóteses e obrigatório quando a ANPD determina. Para empresa brasileira que também atende o mercado europeu, faz sentido montar um único processo que atenda às duas regras.

O que muda para empresa pequena?

A Resolução CD/ANPD nº 2/2022 dá tratamento diferenciado a agentes de pequeno porte, como microempresas, empresas de pequeno porte e startups, incluindo a possibilidade de manter o registro das operações de forma simplificada. Mas o art. 3º da mesma norma exclui desse benefício quem realiza tratamento de alto risco, ressalvada uma única hipótese sobre negociação de reclamações por entidades de representação.

Em outras palavras, uma startup com poucos funcionários que pontua uma base nacional de consumidores com um modelo de IA pode perder as flexibilizações justamente por causa dessa rotina. O porte da empresa não reduz o risco para quem está do outro lado.

Por onde começar hoje

1. Abra o inventário de dados, ou comece um, e marque as rotinas de marketing que usam automação, IA ou dados de públicos vulneráveis.
2. Aplique a cada uma o teste de dois critérios descrito acima e registre o resultado, inclusive quando a conclusão for "não é alto risco".
3. Para as rotinas que passarem no teste, monte o RIPD com o roteiro da ANPD antes da próxima mudança no tratamento.
4. Envolva o encarregado e o time que opera as ferramentas, não só o jurídico.
5. Agende a revisão sempre que o modelo, a fonte de dados ou o público mudarem.

Se a sua empresa precisa de apoio para mapear os tratamentos e montar os relatórios sem travar as campanhas, a adequação à LGPD da Alliance trabalha junto com o time de marketing. E se a dúvida for anterior, sobre como a captação e a automação de leads estão funcionando como um todo, o diagnóstico de marketing gratuito mostra onde a operação está mais exposta.