LGPD: o que é Relatório de Impacto?
Atualizado 28 Jun 2022
3 min. leitura
O Relatório de Impacto é definido como um processo que analisa e produz documentos sobre o impacto futuro que o tratamento dos dados pessoais terá sobre seus titulares.
Sua finalidade é a de estabelecer formas de mitigar o risco e ao mesmo tempo expor a conformidade com as legislações e regulamentos existentes.
O que se dá através de um documento, aqui definido Relatório de Impacto e Proteção de Dados.
Devemos considerar o “impacto na privacidade” como as consequências indesejadas que o tratamento de dados impõe aos usuários e até mesmo a sociedade como um todo.
Para a elaboração do Relatório de Impacto a lei não prevê um método sistemático, porém existem diversas orientações publicadas por autoridades de diversos países do mundo a até mesmo organizações criadas com esta finalidade.
A LGPD aborda o Relatório de Impacto à Proteção de Dados Pessoas de forma esparsa prevendo no seu artigo 5º uma definição mais clara: “documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco”.
Como Elaborar o Relatório de Impacto e Proteção de Dados?
O órgão federal responsável por fiscalizar e aplicar a LGPD é a Autoridade Nacional de Proteção de Dados (ANPD).
A ANPD poderá obrigar a elaboração de um Relatório de Impacto em qualquer momento, até mesmo nas atividades que envolvam dados pessoais sensíveis.
No artigo 10, parágrafo 3º da LGPD, está previsto que na hipótese do tratamento de dados tiver como base legal o legitimo interesse, a autoridade nacional “ poderá solicitar ao controlador a elaboração de relatório de impacto”.
A ANPD poderá ainda solicitar aos Agentes do Poder Público que realizem a publicação do Relatório e até mesmo sugerir a adoção de padrões de boas práticas para o tratamento de dados pessoais pelo Poder Público.
Os requisitos para elaboração do Relatório de Impacto são:
- a descrição de dados coletados;
- a metodologia utilizada para a coleta e para a garantia da segurança e das informações e;
- a análise do Controlador com relação a medidas, salvaguardas e mecanismos de mitigação de risco dotados.
A LGPD também define as competências destinas a ANPD, no artigo 55-J, inciso XIII dispõe: “editar regulamentos e procedimentos sobre proteção de dados pessoais e privacidade, bem como sobre relatórios de impacto à proteção de dados pessoais para os casos em que o tratamento representar alto risco à garantia dos princípios gerais de proteção de dados pessoais previstos nesta Lei”.
O Relatório de Impacto na General Data Protection Regulation (GDPR)
A GDPR livremente traduzido como “Regulamento Geral sobre Privacidade de Dados” que vigora em toda União Europeia (UE), aborda de forma profunda o Relatório de Impacto.
No artigo 35, Seção 3, a GDPR prevê a elaboração de Avaliação de Impacto na proteção de dados, sempre que o tratamento dos dados pessoais gerar um risco elevado dos direitos e liberdade dos titulares dos dados.
A avaliação será sempre realizada antes do início do tratamento dos dados e para isto considera-se para toda a avaliação as tecnologias empregadas, sua natureza, âmbito, contexto e por fim a finalidade dos dados.
No artigo 35, item 3 da GDPR, são elencadas as hipóteses em que o Relatório de Impacto se faz necessário, assim prevê:
- avaliações sistemáticas e completas de pessoas naturais, incluindo a definição de perfis, mais conhecida como profiling, e sobre as quais decisões que produzam efeitos jurídicos ou que afetem o titular dos dados são tomadas;
- Realização de operações de tratamento de dados sensíveis ou dados relacionados com condenações penais e infrações, em grande escala; ou
- monitoramento sistemático de áreas acessíveis ao público em geral, em grande escala.
Discussões relevantes a respeito do Relatório de Impacto.
Em recente consulta pública realizadas com diversos profissionais da área, a ANPD discutiu sobre a futura elaboração de uma Resolução que possa definir ainda mais o Relatório de Impacto.
Na consulta pública ficou claro que o relatório somente deverá ser realizado em casos de risco relevante às liberdades e direitos dos titulares, como por exemplo o risco de que possa gerar dano moral ou até mesmo material.
O prazo definido para a elaboração do relatório será de 15 (quinze) dias.
Em 2019 nos autos do Inquérito Civil Público nº 08190.005366/18-16O próprio Ministério Público emitiu um despacho ministerial pela ESPC – Unidade de Proteção de Dados e Inteligência Artificial.
No parecer foi solicitado a Telefônica Brasil S.A. (VIVO), a elaboração de um Relatório de Impacto relacionado ao tratamento dos dados usados para o produto Mídia Geolocalizada do serviço Vivo Ads.
