O Relatório de Impacto à Proteção de Dados como Ato de Governança: da Formalidade Documental ao Dever Fiduciário de Deliberação

O Relatório de Impacto à Proteção de Dados como Ato de Governança: da Formalidade Documental ao Dever Fiduciário de Deliberação

Poucos institutos da Lei Geral de Proteção de Dados foram tão maltratados pela prática empresarial brasileira quanto o Relatório de Impacto à Proteção de Dados Pessoais. Nascido no artigo 38 como faculdade da autoridade nacional de requisição, o RIPD converteu-se, na cultura de conformidade que se instalou entre 2020 e 2025, em um produto padronizado, terceirizado a consultorias, arquivado em pastas digitais e revisitado apenas quando alguma exigência externa reaparece. Trata-se de um documento que existe para ser exibido, não para deliberar. A degradação do instituto acompanhou a lógica mais ampla do compliance ornamental, contra a qual já se advertiu em diversos campos regulatórios, e produziu um paradoxo instrutivo: quanto mais se elaboraram relatórios, menos se deliberou sobre riscos concretos ao titular.

O objetivo deste ensaio é sustentar que o RIPD, quando compreendido à luz do paradigma do direito civil constitucional e dos deveres laterais de conduta desenvolvidos por Judith Martins Costa, não é peça documental, mas ato de governança em sentido estrito. Dele deriva um dever fiduciário específico de deliberação informada, cuja violação enseja consequências que ultrapassam a esfera regulatória e atingem a responsabilidade civil dos administradores, o dever de lealdade societário e a boa-fé objetiva nas relações com titulares e stakeholders. A questão relevante, portanto, não é saber se o RIPD deve ser elaborado, mas identificar sob quais parâmetros dogmáticos sua ausência, insuficiência ou simulação configura ilícito de governança autonomamente sancionável no plano civil.

A obra de Judith Martins Costa oferece o ferramental preciso para essa reconstrução. A autora, ao desenvolver a boa-fé objetiva como fonte autônoma de deveres, distinguiu com rigor os deveres principais de prestação daqueles que gravitam ao seu redor sem se confundir com o núcleo obrigacional, entre os quais os deveres de proteção, de informação, de cooperação e de consideração aos interesses legítimos da contraparte. A elaboração dogmática desses deveres laterais permitiu compreender a relação obrigacional como um processo complexo, orientado a uma finalidade e submetido a exigências éticas de conduta que operam independentemente de estipulação expressa. O que me interessa é a extensão dessa arquitetura para as relações informacionais, particularmente aquelas que envolvem estruturas corporativas em que o titular de dados sequer tem meios de identificar quem, dentro da organização, decide sobre o tratamento de sua informação.

Nessas relações, o RIPD desempenha função equivalente à que a jurisprudência do Superior Tribunal de Justiça reconheceu, em outros contextos, aos protocolos de segurança e aos procedimentos internos de controle. É o instrumento pelo qual o controlador organiza sua própria deliberação, torna transparente o processo decisório interno e permite escrutínio externo sobre a razoabilidade das escolhas feitas quanto ao tratamento. Aqui reside a distinção que me parece dogmaticamente relevante e que a literatura brasileira ainda não estabilizou. Uma coisa é o dever de documentar, que se satisfaz com a existência de um texto minimamente estruturado sobre finalidades, bases legais, riscos e medidas de mitigação. Substancialmente diverso é o dever de deliberar, que exige que o processo decisório interno tenha efetivamente considerado alternativas, avaliado a proporcionalidade entre finalidade e intensidade do tratamento, ponderado riscos ao titular e adotado escolhas justificadas. O primeiro é dever de forma; o segundo é dever material, e é sobre este que Martins Costa fornece instrumental para se pensar em termos de deveres laterais estruturantes.

Sustento que o RIPD, sob a chave da boa-fé objetiva, deve ser compreendido como ato deliberativo fiduciário. Fiduciário porque o controlador, ao decidir sobre o tratamento de dados pessoais alheios, exerce poder sobre esfera existencial que não lhe pertence, poder que detém em razão de circunstâncias contratuais, negociais ou institucionais, e cujo exercício deve ser prestado a quem confiou a informação. Deliberativo porque a natureza desse poder impõe que sua atualização se dê mediante processo racional documentado, no qual as escolhas sejam justificáveis segundo padrões de proporcionalidade e adequação. Ato de governança porque essa deliberação não pertence à esfera operacional cotidiana, mas ao núcleo estratégico das decisões corporativas que devem envolver a alta administração e o encarregado.

Essa qualificação produz consequências dogmáticas relevantes. A ausência de RIPD, ou a existência de RIPD meramente ornamental, configura violação positiva de dever lateral de conduta, independentemente da ocorrência de qualquer dano concreto ao titular. A boa-fé objetiva, na leitura de Martins Costa, opera como fonte de deveres cuja violação é ilícito autônomo, sem necessidade de dano ou de resultado. O titular de dados, ou coletividades a ele equiparadas, tem interesse juridicamente reconhecível na correta deliberação interna do controlador, mesmo que dela não decorra vazamento, uso indevido ou tratamento excessivo. A segunda consequência é que o encarregado, no exercício da função descrita no artigo 41 da LGPD, deixa de ser figura administrativa e assume posição estruturalmente análoga à do compliance officer no direito societário, com deveres próprios de escrutínio, oposição documentada e comunicação vertical dentro da estrutura corporativa.

A prática brasileira consolidou, nos últimos anos, um modelo de encarregado que oscila entre a captura pela administração e a delegação a prestador externo sem inserção estrutural na governança. Ambos os modelos são disfuncionais quando confrontados com a tese aqui defendida. Se o encarregado é subordinado hierárquica e economicamente àqueles cujas decisões ele deveria escrutinar, o RIPD que elabora ou valida não pode ser considerado ato deliberativo autêntico, mas ratificação decorativa. Se é externo e desconhece a operação em profundidade, o relatório será tecnicamente adequado na forma e estruturalmente vazio no conteúdo.

O paralelo com a experiência do direito societário é iluminador. A discussão sobre independência de conselheiros, sobre o dever de diligência informada e sobre a business judgment rule fornece parâmetros que a doutrina de proteção de dados precisa incorporar. O administrador que aprova operação sem informação adequada viola o dever de diligência ainda que a operação seja bem-sucedida. Do mesmo modo, o controlador que aprova tratamento sem RIPD adequadamente deliberado viola dever fiduciário informacional ainda que nenhum incidente venha a ocorrer. A boa-fé objetiva, na sua função criadora de deveres, sustenta essa equiparação sem necessidade de importação analógica forçada, porque os pressupostos éticos são os mesmos: poder sobre esfera alheia, exigência de justificação, dever de consideração aos interesses legítimos afetados.

O que distingue, então, um RIPD adequadamente deliberado de um RIPD meramente documental? Proponho quatro critérios que, embora não exaustivos, permitem alguma objetividade na avaliação judicial ou regulatória. O primeiro é o critério da alternatividade documentada: o relatório deve registrar as alternativas de tratamento consideradas e as razões pelas quais foram descartadas em favor da escolhida. Onde não há alternativas registradas, presume-se que não houve deliberação. O segundo é o critério da proporcionalidade explícita, que exige demonstração de que a intensidade do tratamento é adequada à finalidade e que dados menos invasivos foram considerados. O terceiro é o critério da revisibilidade temporal, que impõe reavaliação periódica ancorada em gatilhos objetivos, tais como mudança de finalidade, alteração de base legal, incorporação de novas tecnologias ou reclamações reiteradas de titulares. O quarto, talvez o mais relevante sob a perspectiva da governança, é o critério da rastreabilidade decisória, pelo qual o relatório deve permitir identificar quem, dentro da organização, participou da deliberação, quais foram as posições divergentes e como foram resolvidas.

Esses critérios convertem o RIPD em documento suscetível de análise dogmática séria e de escrutínio judicial não meramente formal. A boa-fé objetiva opera aqui como padrão hermenêutico que permite ao juiz avaliar se o controlador se comportou como agente leal e cooperativo diante do titular, ou se apenas construiu aparato documental para blindar-se retrospectivamente. A distinção martins-costiana entre função integrativa e função de controle da boa-fé objetiva encontra, nesse ponto, aplicação particularmente fértil, porque o RIPD é simultaneamente integração de dever não expressamente tipificado e controle da forma como o controlador exerceu prerrogativa que a lei lhe conferiu.

A tese aqui sustentada produz consequências que ultrapassam o direito de proteção de dados em sentido estrito. No campo da responsabilidade civil, o RIPD deliberativamente insuficiente reforça presunções de culpa organizacional e desloca o ônus argumentativo do titular para o controlador em hipóteses de dano. No campo da responsabilidade dos administradores, a ausência ou inadequação do RIPD pode configurar violação do dever de diligência informada, autorizando, em tese, ações de responsabilidade societária por danos causados à companhia em razão de sanções regulatórias, condenações civis ou perda reputacional. No campo contratual, cláusulas de garantia informacional entre empresas passam a poder referir-se objetivamente à qualidade deliberativa dos RIPDs da contraparte, não apenas à sua existência formal.

O que emerge é a compreensão do RIPD como núcleo dogmático em torno do qual se articula uma teoria dos deveres fiduciários informacionais no direito privado brasileiro. Judith Martins Costa não escreveu sobre proteção de dados, mas a arquitetura conceitual que construiu para os deveres laterais é precisamente aquela que permite recuperar o instituto da degradação formal em que se encontra. O desafio da doutrina será evitar que essa recuperação se faça por vias meramente regulatórias, porque a regulação, isolada, tende a reproduzir a lógica documental que se pretende superar. A leitura civilista, ancorada na boa-fé objetiva como fonte autônoma de deveres e na compreensão da relação informacional como relação obrigacional complexa, oferece o instrumental para que o RIPD deixe de ser peça de arquivo e se torne aquilo que sempre deveria ter sido: ato de deliberação leal sobre poder exercido em esfera alheia.