O relatório de impacto à proteção de dados pessoais é a documentação do controlador na qual devem constar a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco.

Considera-se dado pessoal sensível toda informação relacionada a pessoa natural identificada ou identificável.

Considera-se anonimização toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.

Considera-se controlador pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do titular.

Considera-se autoridade nacional o órgão ou a entidade da administração pública direta ou indireta ou pessoa jurídica de direito privado sem fins lucrativos legalmente constituída sob as leis brasileiras, com sede e foro no País, que inclua em sua missão institucional ou em seu objetivo social ou estatutário a pesquisa básica ou aplicada de caráter histórico, científico, tecnológico ou estatístico.