Art. 38 da Lei Geral de Proteção de Dados (Lei 13.709/2018)

Art. 38 A autoridade nacional poderá determinar ao controlador que elabore relatório de impacto à proteção de dados pessoais, inclusive de dados sensíveis, referente a suas operações de tratamento de dados, nos termos de regulamento, observados os segredos comercial e industrial. Parágrafo único. Observado o disposto no caput deste artigo, o relatório deverá conter, no mínimo, a descrição dos tipos de dados coletados, a metodologia utilizada para a coleta e para a garantia da segurança das informações e a análise do controlador com relação a medidas, salvaguardas e mecanismos de mitigação de risco adotados.

Texto conforme publicação oficial (Planalto). A Lei Geral de Proteção de Dados tem 64 artigos indexados no Lei na Mão.