Relatório de impacto (RIPD) para verificação biométrica: roteiro prático

Um fluxo de verificação de identidade com selfie e documento trata dado biométrico, que a Lei 13.709/2018, a LGPD, classifica como dado pessoal sensível no artigo 5º, inciso II. Tratamento sensível em escala, com decisão automatizada na saída, é o retrato do caso em que a pergunta "e se der errado?" precisa estar respondida por escrito antes de dar errado. O documento onde essa resposta mora é o relatório de impacto à proteção de dados pessoais, o RIPD.

Este artigo junta o que a lei efetivamente diz sobre o RIPD, quando é prudente elaborá-lo sem esperar exigência da autoridade, e um roteiro de seis blocos para o caso específico da verificação biométrica.

O que a LGPD diz, exatamente

O artigo 5º, inciso XVII, define o RIPD: documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como as medidas, salvaguardas e mecanismos de mitigação de risco.

O artigo 38 dá o mecanismo: a Autoridade Nacional de Proteção de Dados, a ANPD, pode determinar ao controlador que elabore o relatório, e o parágrafo único fixa o conteúdo mínimo: a descrição dos tipos de dados coletados, a metodologia utilizada para a coleta e para a garantia da segurança das informações, e a análise do controlador sobre as medidas, salvaguardas e mecanismos de mitigação adotados. Já o artigo 10, parágrafo 3º, permite à autoridade solicitar o relatório quando o tratamento se apoia no legítimo interesse.

O ponto honesto que muito material de mercado omite: a LGPD não traz uma lista fechada de situações em que o RIPD é obrigatório por força automática de lei. O desenho brasileiro deixou a exigência concreta nas mãos da autoridade. A ANPD publica guias orientativos sobre a aplicação da lei, e acompanhá-los é parte permanente da lição de casa de quem trata dado sensível.

Quando fazer sem esperar pedido

A referência internacional ajuda a calibrar. No regulamento europeu, o RGPD (Regulamento UE 2016/679), o artigo 35 torna a avaliação de impacto obrigatória quando o tratamento é suscetível de gerar alto risco, e cita expressamente o tratamento em larga escala de categorias especiais de dados, das quais a biometria faz parte. A LGPD não copiou essa lista, mas o critério é uma bússola sólida: verificação biométrica em escala reúne dado sensível, decisão automatizada (artigo 20 da LGPD) e titulares que não têm alternativa real ao fluxo quando querem o serviço.

A conta de padeiro também decide: elaborar o RIPD antes de qualquer exigência custa dias de trabalho estruturado; reconstruir a justificativa de um sistema já em produção, sob fiscalização e prazo, custa outra ordem de grandeza, com o risco de descobrir tarde um desenho indefensável.

O roteiro em seis blocos

1. Mapa do fluxo de dados: o que entra (selfie, prova de vida, imagem do documento, dados digitados), onde cada item é armazenado, por quanto tempo, quem acessa e quais operadores participam. Fornecedor de verificação é operador e entra nomeado no mapa. A forma de integração muda o trajeto da mídia: a escolha entre widget ou API pura define o que passa ou não pelos seus servidores.
2. Base legal por operação: cada operação de tratamento com a sua hipótese dos artigos 7º e 11, escrita e datada. Para dado sensível tratado em cumprimento de obrigação regulatória, a hipótese do artigo 11, inciso II, alínea "a". Os direitos do titular decorrentes de cada base entram aqui, porque a resposta a um pedido de eliminação depende da base usada.
3. Necessidade e proporcionalidade: por que biometria, e não um meio menos invasivo, atende à finalidade declarada; é o princípio da necessidade do artigo 6º, inciso III. Este bloco também justifica o que NÃO se coleta.
4. Riscos nomeados: vazamento de mídia biométrica (dano de longo prazo: rosto não se troca como senha), uso secundário fora da finalidade, erro desigual entre grupos de pessoas, decisão automatizada incorreta, retenção além do necessário. Risco genérico como "acesso indevido" não orienta salvaguarda nenhuma; risco nomeado orienta.
5. Salvaguardas correspondentes: para cada risco do bloco 4, a medida concreta: criptografia em repouso e em trânsito, minimização da coleta, prazo curto para mídia bruta com expurgo registrado, controle de acesso com trilha de auditoria, revisão humana disponível para decisões contestadas, testes recorrentes do desempenho do sistema. A segurança já é dever do artigo 46 independentemente de relatório; no RIPD ela é demonstrada, risco a risco.
6. Ciclo de vida do documento: responsável nomeado, data, versão e gatilhos de revisão: novo módulo no fluxo, troca de modelo ou de fornecedor, incidente, mudança de finalidade. RIPD sem versão é uma foto velha do sistema.

Erros que se repetem

O primeiro é copiar um modelo genérico e trocar o logotipo: o relatório vale pelo que descreve do seu fluxo real, e a fiscalização compara o papel com o sistema. O segundo é confundir RIPD com política de privacidade: um é análise interna de risco, o outro é comunicação ao titular; um não substitui o outro. O terceiro é omitir operadores e subcontratados do mapa. O quarto é tratar o relatório como peça única e eterna, sem dono e sem revisão.

Na UNIFOKAL, por exemplo, a documentação técnica descreve o trajeto de cada categoria de dado dentro do fluxo de verificação, e é exatamente esse tipo de material que um controlador deve exigir de qualquer operador na hora de preencher o bloco 1 sem fazer engenharia reversa.

Fontes citadas

• Lei 13.709/2018, LGPD, artigos 5º, 6º, 7º, 10, 11, 20, 38 e 46, disponível no portal do Planalto: planalto.gov.br
• Regulamento (UE) 2016/679, RGPD, artigo 35, sobre a avaliação de impacto sobre a proteção de dados: eur-lex.europa.eu
• ANPD, Autoridade Nacional de Proteção de Dados, guias orientativos sobre a aplicação da LGPD