ROPA: o que é, o que a LGPD exige e como montar o Registro das Atividades de Tratamento

Antes de qualquer política, aviso de privacidade ou resposta a um titular, existe uma pergunta que a sua organização precisa saber responder: quais dados pessoais nós tratamos, para quê, com qual amparo legal e por quanto tempo? O documento que responde a isso é o ROPA, o Registro das Atividades de Tratamento (também chamado de Registro das Operações de Tratamento de Dados Pessoais). Ele é o ponto de partida de um programa de privacidade que se sustenta, e é a primeira coisa que a ANPD pede quando olha para uma empresa.

Este artigo explica o que é o ROPA, o que a LGPD exige, o que ele precisa conter, como montar o seu na prática e por que, sem ele, as outras obrigações de proteção de dados ficam no ar.

O que é o ROPA

O ROPA é o inventário dos tratamentos de dados pessoais da organização. Para cada atividade em que a empresa coleta, usa, armazena, compartilha ou descarta dados pessoais, o registro documenta o essencial: a finalidade, a base legal, as categorias de dados e de titulares, com quem esses dados são compartilhados, para onde vão, por quanto tempo ficam e como são protegidos.

A sigla vem do inglês Records of Processing Activities, consagrada pelo Art. 30 do GDPR europeu. No Brasil, a LGPD trata do mesmo instrumento no Art. 37, e a ANPD já publicou orientações e um modelo simplificado para agentes de pequeno porte. Na prática, ROPA e "registro das operações de tratamento" são a mesma coisa.

Pense no ROPA como o mapa da sua operação sob a ótica dos dados pessoais. Sem esse mapa, a empresa não consegue dizer o que faz com os dados que coleta, e todo o resto do programa passa a andar no escuro.

O que a LGPD exige

A base está no Art. 37 da LGPD:

> O controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse.

Três pontos importam aqui:

1. A obrigação é do controlador e também do operador. Quem decide sobre o tratamento (controlador) e quem trata dados em nome de outra empresa (operador, Art. 39) têm, cada um, o dever de manter o seu registro.
2. O legítimo interesse tem destaque. A lei frisa o registro "especialmente quando baseado no legítimo interesse", porque é a base legal que mais exige demonstração de que o tratamento é necessário e proporcional.
3. O registro é a prova da accountability. A LGPD cobra que a organização demonstre a adoção de medidas efetivas de proteção (Art. 6, X). O ROPA é a evidência primária dessa demonstração. Sem ele, não há como provar o que a empresa faz nem como responder a uma fiscalização.

A ausência de ROPA não é um detalhe formal. Ela significa que a organização não sabe quais dados trata, para qual finalidade ou sob qual base legal, o que inviabiliza responder a pedidos de titulares, avaliar o impacto de um incidente e sustentar qualquer conformidade diante da ANPD.

O que o ROPA precisa conter

Um ROPA útil vai além de uma lista de sistemas. Ele descreve cada atividade de tratamento com informação suficiente para a decisão e para a prova. Por tratamento, o registro deve trazer:

• Finalidade: para que aquele dado é tratado, de forma específica. "Marketing" é vago; "envio de newsletter a quem assinou no site" é uma finalidade.
• Base legal: o fundamento do Art. 7 (dados comuns) ou do Art. 11 (dados sensíveis) que autoriza o tratamento, com a justificativa que o sustenta.
• Categorias de dados pessoais: quais dados são tratados (cadastrais, financeiros, de navegação, sensíveis, de crianças e adolescentes).
• Categorias de titulares: de quem são os dados (clientes, colaboradores, candidatos, fornecedores).
• Compartilhamentos e destinatários: com quem os dados são compartilhados e com qual finalidade.
• Operadores: quem trata os dados em nome da organização (fornecedores de nuvem, folha, e-mail marketing), e se há contrato com cláusulas de proteção de dados.
• Transferência internacional: se os dados vão para fora do país e sob qual salvaguarda do Art. 33.
• Prazo de retenção: por quanto tempo o dado é mantido e o que acontece no fim do prazo.
• Medidas de segurança: os controles técnicos e organizacionais aplicados àquele tratamento.

Quanto mais o registro detalha esses campos, mais ele serve ao que vem depois: responder a um titular, decidir sobre um incidente, iniciar um RIPD, revisar um contrato com operador.

ROPA do controlador e ROPA do operador

A LGPD distingue dois papéis, e o ROPA reflete essa diferença.

• Controlador é quem toma as decisões sobre o tratamento (o porquê e o como). O ROPA do controlador cobre todas as finalidades próprias da organização.
• Operador é quem trata dados pessoais em nome do controlador, seguindo as instruções dele (Art. 39). O ROPA do operador registra os tratamentos que ele executa para cada cliente controlador.

Uma mesma empresa costuma ser as duas coisas ao mesmo tempo: controladora dos dados dos próprios colaboradores e clientes, e operadora quando presta um serviço que trata dados de terceiros. O registro precisa separar esses papéis com clareza, porque as responsabilidades e as instruções aplicáveis mudam.

Como montar o seu ROPA, na prática

Montar o ROPA é um trabalho de levantamento, não de preenchimento de planilha. O caminho que funciona:

1. Mapeie as áreas e os processos. Comece por RH, comercial, financeiro, marketing, atendimento e TI. Cada área tem tratamentos próprios.
2. Converse com os donos de processo. Quem opera sabe quais dados entram, de onde vêm, para onde vão e onde ficam guardados. O ROPA nasce dessas conversas, não de suposições.
3. Siga o fluxo do dado. Para cada tratamento, acompanhe o ciclo de vida: coleta, uso, armazenamento, compartilhamento e descarte. É aqui que aparecem os pontos cegos, como dados que trafegam entre sistemas e APIs sem ninguém ter mapeado.
4. Defina a base legal de cada tratamento. E registre a justificativa. Base legal sem justificativa documentada é difícil de defender perante a ANPD.
5. Estabeleça retenção e descarte. Nenhum dado deve ser mantido por tempo indeterminado. O princípio da necessidade (Art. 6, III) cobra prazos.
6. Registre operadores, compartilhamentos e transferências. Inclusive os internacionais, com a salvaguarda do Art. 33.
7. Atribua um responsável por tratamento. Sem dono, o registro envelhece sem que ninguém perceba.

Os erros mais comuns

• Tratar o ROPA como projeto de uma vez só. Um ROPA desatualizado é pior do que não ter ROPA, porque dá a falsa sensação de controle enquanto existem operações invisíveis acumulando risco.
• Esquecer os compartilhamentos internos. Dados que fluem entre departamentos também são tratamentos e precisam de base legal e finalidade.
• Ignorar integrações e APIs. Sistemas conectados trocam dados pessoais que, se não entram no registro, viram pontos cegos que só aparecem em um incidente ou em uma auditoria profunda.
• Guardar o ROPA como documento morto. Ele precisa de revisão periódica, porque novos sistemas, novos parceiros e mudanças regulatórias alteram o cenário o tempo todo.

Por que o ROPA sustenta todo o resto do programa

O ROPA não é um documento que se faz para arquivar. Ele é a base da qual dependem as outras obrigações da LGPD:

• Direitos dos titulares (Arts. 17 a 22): quando alguém pede acesso, correção ou eliminação dos seus dados, a empresa só consegue responder se souber onde aquele dado é tratado. Essa resposta sai do ROPA.
• Resposta a incidentes: diante de um vazamento, o prazo para comunicar a ANPD é curto (a regulamentação aponta dois dias úteis). Avaliar a gravidade e decidir sobre a notificação exige saber, de imediato, quais dados e quais titulares estão envolvidos. De novo, ROPA.
• RIPD (Art. 38): o Relatório de Impacto à Proteção de Dados parte dos tratamentos de alto risco. Identificar quais são esses tratamentos pressupõe o inventário. O ROPA alimenta o RIPD, que será o tema do próximo artigo desta série.
• Demonstração de conformidade: diante de um cliente, de um auditor ou da ANPD, o ROPA é o que prova que a organização conhece e governa os seus tratamentos.

Em resumo: sem ROPA, responder a um titular vira investigação, avaliar um incidente vira adivinhação e demonstrar conformidade vira discurso.

Como manter o ROPA vivo

Um bom ROPA é um registro em movimento. Mantê-lo vivo exige:

• Revisão periódica com cadência definida, não "quando der".
• Um responsável por tratamento, para que cada registro tenha dono.
• Gatilhos de atualização: todo novo sistema, novo fornecedor ou nova finalidade deve entrar no registro antes de ir para produção, não depois.
• Ligação com a operação real, para que o registro reflita o que a empresa de fato faz, e não o que foi mapeado uma vez.

Como a GovSimplix ajuda

Na plataforma GovSimplix, o ROPA deixa de viver em planilhas soltas e passa a ser uma rotina governada dentro do domínio de Proteção e Privacidade de Dados. Você monta o seu registro, com os seus dados, e a plataforma dá a estrutura para isso: um campo de finalidade e base legal por tratamento, com a justificativa que a sustenta; o mapa de operadores, compartilhamentos e transferências internacionais; os prazos de retenção; e um responsável por cada tratamento.

Como o registro fica ligado aos demais domínios, ele alimenta diretamente a resposta aos direitos dos titulares, a avaliação de incidentes e o RIPD, com alertas do que precisa ser revisado. É o mesmo inventário sustentando todas as obrigações, em vez de documentos isolados que desatualizam cada um por conta própria.

Se você quer um primeiro retrato de onde a sua organização está em proteção de dados e nos demais domínios de governança, o Raio-X de Maturidade dá esse diagnóstico em poucos minutos. E se quiser ver o ROPA funcionando dentro do fluxo completo de adequação à LGPD, a página da solução mostra como as peças se conectam.

No próximo artigo, seguimos para o RIPD, o Relatório de Impacto à Proteção de Dados, o documento que parte dos tratamentos de alto risco mapeados aqui.

Perguntas frequentes

O ROPA é obrigatório?

Sim. O Art. 37 da LGPD determina que controlador e operador mantenham registro das operações de tratamento de dados pessoais. A ANPD pode requisitar esse registro a qualquer momento.

ROPA e RIPD são a mesma coisa?

Não. O ROPA é o inventário de todos os tratamentos. O RIPD é uma análise aprofundada, exigida para tratamentos de alto risco (Art. 38). O ROPA é a base: é a partir dele que se identificam quais tratamentos pedem um RIPD.

Com que frequência o ROPA deve ser atualizado?

Não há prazo fixo na lei, mas o registro precisa refletir a realidade. Na prática, isso significa revisão periódica com cadência definida e atualização sempre que entra um novo sistema, um novo fornecedor ou uma nova finalidade.

Minha empresa é pequena. Preciso de ROPA?

Sim. A obrigação não depende do porte. A ANPD disponibiliza um modelo simplificado para agentes de pequeno porte, mas o registro continua necessário.

Quem deve ser o responsável pelo ROPA?

A condução costuma caber ao Encarregado (DPO) em conjunto com os donos de cada processo, que conhecem os tratamentos na ponta. O Encarregado coordena; as áreas informam o que de fato acontece.

Sobre o autor

Julio César
Fundador e Arquiteto das Soluções, GovSimplix

Julio César é bacharel em Ciências da Computação pela USTJ e graduado em Análise e Desenvolvimento de Sistemas. É especialista pós-graduado em Cibersegurança e Governança de Dados pela PUC Minas e pós-graduado em Gestão Estratégica de Negócios pela Universidade Presbiteriana Mackenzie.

Possui certificação internacional de Lead Auditor para as normas ISO 27001 (Segurança da Informação), ISO 27701 (Privacidade da Informação) e ISO 42001 (Gestão de Inteligência Artificial), além da certificação Lean Six Sigma Black Belt, voltada para melhoria de processos e redução de variabilidade operacional.

Na GovSimplix, é o responsável pela concepção e evolução da arquitetura metodológica que estrutura os 11 domínios de governança empresarial da plataforma. Combina formação técnica, experiência em auditoria de sistemas de gestão e visão executiva para traduzir a complexidade da governança em estrutura operável para organizações de qualquer porte e setor.