RIPD e LIA: Dois Documentos Diferentes que PMEs Costumam Confundir
RIPD — Relatório de Impacto à Proteção de Dados Pessoais — e LIA — Relatório de Legítimo Interesse, também chamado de teste de balanceamento — são documentos distintos, com finalidades distintas, mas frequentemente tratados como sinônimos por pequenas e médias empresas que estão começando a se adequar à LGPD.
O RIPD é o documento que avalia os riscos de um tratamento de dados específico à privacidade dos titulares e descreve as medidas adotadas para mitigar esses riscos. Ele é exigido, conforme o Art. 38 da LGPD, quando o tratamento representar alto risco às liberdades civis e aos direitos fundamentais — e a ANPD pode determinar sua elaboração em fiscalizações específicas. A LIA, por sua vez, é o documento que justifica e demonstra a adequação do uso do legítimo interesse como base legal para um tratamento específico — obrigatório sempre que a empresa optar por essa base legal, conforme o Art. 10 da LGPD, independentemente do porte da empresa.
Mas a confusão entre os dois documentos não é apenas terminológica: leva PMEs a acreditarem que precisam elaborar ambos para todos os tratamentos, ou a não elaborarem nenhum por acharem que só se aplicam a operações de grande escala — os dois extremos são equivocados.
RIPD/LIA Proporcional a PME vs. RIPD/LIA Pensado para Grande Empresa
Um RIPD/LIA proporcional ao porte de uma PME é um documento enxuto, de poucas páginas, focado exclusivamente nos tratamentos de maior risco identificados no diagnóstico da empresa — dados sensíveis, decisões automatizadas, tratamento em volume relevante para o porte do negócio —; é elaborado internamente pelo responsável pela conformidade com apoio de um roteiro estruturado, sem depender de consultoria externa extensa; usa linguagem direta e objetiva, sem jargão técnico desnecessário; e é revisado e atualizado sempre que o tratamento avaliado mudar de forma relevante — não em ciclo automatizado de revisão contínua para dezenas de processos simultâneos.
Um RIPD/LIA pensado para grande empresa cobre múltiplos tratamentos e áreas de negócio simultaneamente, muitas vezes com apoio de ferramentas de automação que geram relatórios em escala para centenas de processos de tratamento; envolve comitês de privacidade, múltiplas áreas jurídicas e de segurança da informação na elaboração; segue templates extensos e padronizados corporativamente; e é atualizado por ciclos de revisão contínuos integrados ao programa de governança de dados da organização.
A diferença entre os dois modelos não é de rigor metodológico — os princípios de avaliação de risco e de balanceamento de interesses são os mesmos. É de escala, de processo de elaboração e de nível de formalização exigido pelo porte da operação avaliada.
Quando o RIPD É Realmente Obrigatório para uma PME
Porém, a primeira pergunta prática que uma PME precisa responder não é “como fazer o RIPD” — é “eu preciso fazer um RIPD?”. Nem todo tratamento de dados exige esse documento, e a maioria das operações rotineiras de uma pequena empresa não o exige.
O RIPD é recomendado — e pode ser exigido pela ANPD em fiscalização — quando o tratamento envolve alto risco aos titulares: uso de dados sensíveis em volume relevante para a operação (dados de saúde, biometria, dados de crianças e adolescentes), decisões automatizadas com impacto significativo sobre os titulares (aprovação ou negativa de crédito, triagem automatizada de candidatos), monitoramento sistemático de comportamento em larga escala, ou adoção de nova tecnologia de tratamento cujos riscos ainda não são bem compreendidos pelo mercado.
Uma pequena loja de roupas que trata dados de cadastro de clientes para envio de promoções por WhatsApp, com base em consentimento simples, provavelmente não precisa de RIPD — o risco desse tratamento é baixo e bem compreendido. Já uma startup de saúde digital que trata dados de sintomas e diagnósticos de pacientes para treinar um algoritmo de triagem precisa de RIPD — porque o tratamento envolve dados sensíveis em volume relevante e decisão automatizada com impacto direto na saúde do titular.
Quando a LIA É Necessária — Independentemente do Porte
Todavia, a LIA segue uma lógica diferente: ela não depende do porte da empresa, mas da base legal escolhida. Toda vez que uma empresa — de qualquer tamanho — optar por tratar dados com base no legítimo interesse, previsto no Art. 7º, inciso IX, da LGPD, ela precisa demonstrar, por meio de um teste de balanceamento documentado, que esse interesse legítimo não se sobrepõe de forma desproporcional aos direitos e liberdades fundamentais dos titulares.
Uma pequena empresa que usa dados de navegação de clientes em seu site para personalizar recomendações de produtos, sem depender de consentimento, está usando legítimo interesse como base legal — e precisa de uma LIA que demonstre por que essa finalidade é legítima, por que o tratamento é necessário para alcançá-la e quais medidas foram adotadas para mitigar impacto sobre a privacidade dos clientes. A ausência dessa documentação não invalida automaticamente o uso do legítimo interesse — mas deixa a empresa sem defesa documental caso a ANPD questione a base legal escolhida.
Como Fazer um RIPD Enxuto Sem Contratar uma Consultoria Grande
Contudo, um RIPD proporcional ao porte de uma PME pode ser elaborado internamente, seguindo uma estrutura de seis perguntas que cobrem os elementos essenciais exigidos pela LGPD, sem depender de templates corporativos extensos.
| Elemento do RIPD | O que descrever |
|---|---|
| Escopo do tratamento | Qual é o tratamento avaliado, com escopo claro: quais dados, de quem, para qual finalidade. |
| Base legal | Qual é a base legal utilizada para o tratamento. |
| Riscos identificados | Quais são os riscos para os titulares — vazamento, uso indevido, discriminação, exposição. |
| Necessidade e proporcionalidade | Qual é a necessidade e a proporcionalidade do tratamento em relação à finalidade pretendida — existe forma menos invasiva de alcançar o mesmo objetivo? |
| Medidas de mitigação | Quais medidas de segurança e mitigação foram adotadas para reduzir os riscos identificados. |
| Responsável | Quem é o responsável pela aprovação e pela revisão periódica do documento. |
Uma PME que segue essa estrutura para o tratamento de maior risco identificado em seu diagnóstico produz um RIPD de três a cinco páginas — suficiente para demonstrar diligência em uma fiscalização, sem exigir meses de trabalho ou contratação de consultoria especializada de grande porte.
Como Fazer uma LIA Enxuta em Poucas Etapas
Apesar disso, a LIA segue uma estrutura ainda mais direta, dividida em três testes sequenciais que qualquer responsável pela conformidade pode aplicar.
| Teste | O que verifica |
|---|---|
| Teste da finalidade | Se o interesse que motiva o tratamento é legítimo, específico e real — não uma justificativa genérica para qualquer coleta de dados. |
| Teste da necessidade | Se o tratamento proposto é realmente necessário para alcançar essa finalidade, e se não existe alternativa menos invasiva à privacidade do titular que atenda ao mesmo objetivo. |
| Teste do balanceamento | Pondera o interesse da empresa contra o impacto sobre os direitos do titular, considerando a expectativa razoável do titular sobre aquele tratamento e as medidas de mitigação adotadas — como anonimização parcial, limitação do prazo de retenção, ou oferta de mecanismo simples de oposição. |
Ainda assim, a LIA precisa ser específica para cada finalidade de tratamento baseada em legítimo interesse — uma única LIA genérica que tenta cobrir todos os usos de legítimo interesse da empresa não sobrevive a uma análise mais detalhada, porque cada finalidade tem riscos e ponderações diferentes.
Erros Mais Comuns de PMEs ao Lidar com RIPD e LIA
Entretanto, o erro mais recorrente de pequenas e médias empresas não é a ausência de RIPD ou LIA — é a paralisia diante da percepção de que esses documentos exigem um projeto grande demais para os recursos disponíveis. Isso leva a dois comportamentos igualmente arriscados: adiar indefinidamente a elaboração de qualquer documento, deixando a empresa sem defesa documental para os tratamentos de maior risco; ou contratar um serviço de consultoria dimensionado para uma operação muito maior do que a da empresa, gastando recursos desproporcionais ao risco real do negócio.
O caminho intermediário — documentos enxutos, focados nos tratamentos de fato relevantes, elaborados internamente com um roteiro estruturado — é possível para a maioria das PMEs brasileiras, mas exige que a empresa primeiro identifique, no seu próprio diagnóstico de dados, quais tratamentos realmente demandam RIPD ou LIA, em vez de tentar aplicar os dois documentos a toda e qualquer atividade.
Conclusão: Proporcionalidade é o Princípio, Não a Desculpa
A LGPD não exige de uma pequena empresa o mesmo nível de formalização documental que exige de uma instituição financeira ou de uma healthtech de grande escala. Senão a PME reconhecer essa proporcionalidade, ela corre o risco de nunca começar — paralisada pela expectativa de um projeto que não corresponde à sua realidade — ou de gastar recursos desnecessários replicando estruturas pensadas para operações muito maiores.
O RIPD e a LIA, quando bem dimensionados, não são um projeto de compliance separado do negócio — são ferramentas de decisão que ajudam a própria empresa a entender onde estão seus riscos reais de privacidade, com o esforço proporcional ao que o porte da operação de fato exige.
Para compreender como identificar os tratamentos de maior risco que precisam de RIPD ou LIA, veja também: Do Diagnóstico ao Plano de Ação: Como Transformar um Questionário de Risco em Tarefas Executáveis. Para entender como estruturar o programa de conformidade de forma proporcional ao orçamento disponível, veja também: Como Conseguir Aprovação de Orçamento de LGPD Mais Rápido Dentro da Empresa — Argumentário para o “Campeão do Projeto”.
Perguntas frequentes (FAQ)
Suas dúvidas sobre RIPD e LIA para pequenas e médias empresas
1. Toda pequena empresa é obrigada a fazer RIPD pela LGPD?
Não. O RIPD é recomendado — e pode ser exigido pela ANPD em fiscalização específica — apenas quando o tratamento de dados envolve alto risco aos titulares: uso relevante de dados sensíveis, decisões automatizadas com impacto significativo, monitoramento sistemático em larga escala ou adoção de tecnologia cujos riscos ainda não são bem compreendidos. A maioria das operações rotineiras de uma pequena empresa — cadastro simples de clientes, envio de comunicações com consentimento, folha de pagamento de poucos colaboradores — não exige RIPD. O primeiro passo é identificar, no diagnóstico de dados da empresa, se algum tratamento específico se encaixa nesses critérios de risco elevado.
2. Qual é a diferença prática entre RIPD e LIA?
O RIPD avalia os riscos de um tratamento específico à privacidade dos titulares e descreve as medidas de mitigação adotadas — é exigido para tratamentos de alto risco, independentemente da base legal utilizada. A LIA é o documento que justifica especificamente o uso do legítimo interesse como base legal para um tratamento — é obrigatória sempre que essa base for escolhida, independentemente do nível de risco do tratamento. Uma empresa pode precisar de LIA sem precisar de RIPD (um tratamento de baixo risco baseado em legítimo interesse) ou de RIPD sem precisar de LIA (um tratamento de alto risco baseado em consentimento ou obrigação legal).
3. Uma pequena empresa pode elaborar o RIPD ou a LIA sem contratar uma consultoria especializada?
Sim, para a maioria dos casos. Um RIPD proporcional ao porte de uma PME pode ser elaborado internamente seguindo uma estrutura de seis elementos: descrição do tratamento, base legal, riscos identificados, necessidade e proporcionalidade, medidas de mitigação e responsável pela revisão. A LIA segue uma estrutura ainda mais direta, com três testes sequenciais — finalidade, necessidade e balanceamento. Consultoria especializada é recomendável para tratamentos de risco elevado e complexidade técnica alta — como modelos de inteligência artificial com impacto direto sobre direitos dos titulares —, mas não é pré-requisito para a maioria dos tratamentos de uma pequena ou média empresa.
4. Com que frequência o RIPD ou a LIA de uma PME precisam ser atualizados?
Não há periodicidade fixa definida pela LGPD. A prática recomendada para pequenas e médias empresas é revisar o documento sempre que o tratamento avaliado sofrer mudança relevante — novo fornecedor de tecnologia envolvido, ampliação do volume de dados tratados, nova finalidade adicionada ao mesmo tratamento — em vez de adotar um ciclo automático de revisão contínua, que faz mais sentido para operações de grande escala com dezenas de tratamentos simultâneos. Como referência geral, uma revisão anual dos documentos existentes, somada à revisão pontual sempre que houver mudança relevante no tratamento, é suficiente para a maioria das PMEs manterem a documentação atualizada.
