O que é DPIA e quando sua empresa é obrigada a fazer

Risco · DPIA Agosto de 2026 8 min de leitura

Toda operação de tratamento de dados tem algum grau de risco para os titulares. Mas algumas operações — por envolver dados sensíveis, grandes volumes ou tecnologias intrusivas — têm potencial de causar danos significativos. Para essas situações, a LGPD prevê o DPIA: o Relatório de Impacto à Proteção de Dados Pessoais.

O que é o DPIA?

DPIA é a sigla em inglês para Data Protection Impact Assessment. Trata-se de uma análise sistemática que identifica, avalia e propõe medidas para mitigar os riscos que uma operação de tratamento pode representar para os direitos e liberdades dos titulares.

O DPIA não é uma formalidade. É uma ferramenta de gestão de risco: ao conduzi-lo antes de implantar um novo sistema ou iniciar uma nova operação, a empresa pode identificar problemas enquanto ainda é fácil corrigi-los — e não depois que o dano já aconteceu.

Referência legal: O art. 38 da LGPD determina que "a autoridade nacional poderá determinar ao controlador que elabore relatório de impacto à proteção de dados pessoais, inclusive de dados sensíveis, referente a suas operações de tratamento." A ANPD pode exigir o DPIA a qualquer momento, especialmente em operações de alto risco.

Quando o DPIA é obrigatório?

A LGPD não estabelece uma lista fechada de situações, mas orienta que o DPIA é necessário quando há risco elevado para os titulares. Como referência prática — alinhada às orientações da ANPD e à experiência do GDPR europeu —, considere realizar o DPIA quando a operação envolver:

Dados pessoais sensíveis (saúde, origem racial, religião, opinião política, dados biométricos etc.)
Monitoramento sistemático de comportamento em larga escala (rastreamento de localização, comportamento online)
Decisões automatizadas com efeito significativo sobre titulares (score de crédito, triagem de candidatos por IA)
Dados de crianças e adolescentes
Compartilhamento com terceiros em larga escala ou para finalidades novas
Transferência internacional de grandes volumes de dados
Novo sistema ou tecnologia que ainda não passou por avaliação de privacidade

Como conduzir um DPIA?

Não existe um modelo único obrigatório no Brasil, mas uma estrutura sólida passa pelas seguintes etapas:

1. Identificar e descrever o tratamento

Documente o que será feito: quais dados, de quem, para quê, por quanto tempo, quem terá acesso e com quem serão compartilhados. Essa etapa conversa diretamente com o RoPA — se o registro estiver atualizado, boa parte do trabalho já está feita.

2. Avaliar a necessidade e proporcionalidade

O tratamento é realmente necessário para atingir a finalidade declarada? Existe uma alternativa menos invasiva? O volume de dados é o mínimo indispensável (princípio da minimização)?

3. Identificar os riscos

Para cada dado tratado, avalie a probabilidade e o impacto de incidentes como: acesso não autorizado, uso indevido, discriminação, perda ou destruição de dados. Considere tanto riscos técnicos quanto organizacionais.

4. Propor medidas de mitigação

Para cada risco identificado, defina controles: criptografia, pseudonimização, restrição de acesso, contratos com cláusulas de proteção, treinamento de equipes, logs de auditoria etc.

5. Documentar e revisar

O DPIA deve ser documentado e aprovado pelo DPO (e, quando relevante, consultado com titulares ou representantes). Deve ser revisado sempre que a operação mudar de forma significativa.

Envolver o DPO é essencial: O DPO deve participar da avaliação e, nos casos de risco residual elevado (que não pode ser mitigado), a ANPD pode precisar ser consultada antes de o tratamento ser iniciado.

DPIA vs. avaliação de risco de TI

É comum confundir DPIA com uma análise de vulnerabilidades ou um pentest. São complementares, mas distintos. O pentest identifica falhas técnicas; o DPIA avalia os direitos dos titulares. Um sistema tecnicamente seguro pode ainda assim representar risco de privacidade — por exemplo, se coleta dados sem base legal ou retém dados por mais tempo do que o necessário.

Como a plataforma ajuda

Realizar e documentar DPIAs manualmente em Word ou planilha é arriscado: fica difícil versionar, consultar histórico ou provar para a ANPD que o processo foi seguido. O PrivacyConsent oferece um módulo de DPIA integrado ao inventário e ao RoPA — quando os dados de uma operação já estão mapeados, iniciar a avaliação de impacto é questão de minutos.

Realize DPIAs com rastreabilidade e histórico

Integrado ao inventário e ao RoPA — sem duplicar trabalho.

Ver demonstração

Conclusão

O DPIA é mais do que uma exigência legal: é uma oportunidade de revisar operações, reduzir riscos e construir confiança com clientes e colaboradores. Quanto antes for incorporado ao processo de desenvolvimento de produtos e sistemas, menor o custo de correção — e maior a proteção para todos.