Privacidade – Como cadastrar uma atividade de tratamento

Cadastrar uma atividade de tratamento é o trabalho mais detalhado do módulo de Privacidade, e o mais recompensador. A tela é explícita sobre a lógica: rascunhos podem ser salvos incompletos, e a ativação verifica todos os requisitos legais.

Essa frase resume a melhor característica do módulo. Você pode registrar aos poucos, e a plataforma não deixa uma atividade entrar no registro oficial com uma lacuna legal.

Comece pelo seu papel, porque ele muda o formulário

O primeiro campo consequente é Nosso papel, com duas opções:

Controlador. A sua empresa decide o que fazer com os dados. É o caso da folha de pagamento, do cadastro de clientes, do recrutamento.

Operador. A sua empresa trata dados em nome de outra empresa, seguindo as instruções dela. É o caso típico de quem presta serviço de tecnologia.

A escolha muda o que se pede de você:

O bloqueio para operadores costuma surpreender e está correto: a base legal pertence a quem decide o tratamento, ou seja, ao controlador. Como operador, você registra o tratamento que realiza; a fundamentação é declarada no registro do seu cliente.

Muitas empresas de tecnologia são as duas coisas: controladoras dos dados dos próprios colaboradores, operadoras dos dados dos clientes dos seus clientes. Nesse caso, cadastre atividades separadas, com papéis diferentes.

Finalidade e base legal

A finalidade é obrigatória. Escreva por que os dados são tratados e o que isso realiza, de forma concreta. “Melhorar a experiência” não é finalidade; “processar a folha de pagamento mensal dos colaboradores” é.

A base legal oferece as dez hipóteses da lei: consentimento, obrigação legal, políticas públicas, pesquisa, contrato, processo judicial, proteção da vida, tutela da saúde, legítimo interesse e proteção ao crédito.

Duas escolhas têm exigências adicionais, e vale conhecê-las antes:

Consentimento exige que você informe onde os registros de consentimento são mantidos e como o titular revoga. Faz todo sentido: consentimento sem registro não se comprova, e sem caminho de revogação não é livre.

Legítimo interesse exige um documento de avaliação de legítimo interesse anexado. A plataforma não ativa a atividade sem ele. É a trava mais importante do formulário, porque essa é a lacuna que mais aparece em fiscalização.

A plataforma também avisa que atividades em legítimo interesse são sinalizadas como relevantes para relatório de impacto ao serem ativadas.

Perfil de dados, e a regra mais rígida do módulo

Aqui você informa a origem da coleta, as categorias de dados pessoais, as categorias de titulares, e responde a duas perguntas com consequências.

Envolve dados pessoais sensíveis? Ao selecionar categorias, as que são sensíveis aparecem destacadas em vermelho, e selecionar uma delas sinaliza a atividade automaticamente.

Se houver dados sensíveis, você precisa de uma base legal específica para dados sensíveis, escolhida em uma lista mais curta: consentimento específico, obrigação legal, políticas públicas, pesquisa, exercício de direitos em processo judicial, proteção da vida, tutela da saúde e prevenção à fraude.

E aqui está a regra que mais gera dúvida: legítimo interesse não pode ser usado para dados sensíveis. A plataforma bloqueia, e explica o motivo: a lista de hipóteses para dados sensíveis é taxativa, ou seja, fechada. Não há como argumentar em torno dela.

Se você chegou até aqui querendo tratar dado sensível por legítimo interesse, a conclusão prática é dura e útil: ou existe uma das hipóteses da lista, ou o tratamento não deveria acontecer.

Envolve dados de crianças e adolescentes? Se sim, você precisa reconhecer expressamente as obrigações correspondentes, que incluem consentimento específico de pai ou responsável e aviso público sobre os dados coletados. O reconhecimento é uma caixa que você marca, e ela é exigida para ativar.

Retenção e término

Preencha o prazo de retenção, o método de descarte e os fundamentos da retenção.

O terceiro é o mais esquecido e o mais cobrado. Guardar dado exige justificativa, seja legal ou de negócio. “Cinco anos após o fim do contrato, por exigência da legislação trabalhista” é uma resposta. “Indefinidamente” não é.

Preencha também as medidas de segurança que protegem esses dados. É aqui que o seu trabalho de controles e evidências se conecta ao registro de privacidade.

Sistemas e operadores, e a trava de transferência internacional

Esta seção liga o registro à realidade da sua operação.

Sistemas são os ativos que armazenam os dados, escolhidos do seu inventário, com a possibilidade de indicar onde exatamente dentro do sistema. Se o inventário de ativos estiver em ordem, esta parte fica rápida, e é um bom motivo para cuidar dele antes.

Operadores e fornecedores são os destinatários dos dados, escolhidos do seu cadastro de fornecedores, com um campo de país.

Atenção ao campo de país, porque ele aciona uma trava:

• País vazio significa destinatário nacional.
• Qualquer país diferente do Brasil é tratado como transferência internacional, e passa a exigir um mecanismo de transferência naquele vínculo.

Os mecanismos disponíveis são: país com nível adequado, cláusulas contratuais padrão, consentimento específico, normas corporativas globais, selos e certificações, e outra hipótese prevista em lei.

Este é o ponto em que muita empresa brasileira descobre uma pendência real. Provedores de nuvem, ferramentas de atendimento e sistemas de marketing frequentemente ficam fora do país, e cada um desses vínculos precisa de um mecanismo formal. A cláusula contratual padrão é o caminho mais comum, e ele exige contrato, não boa vontade.

Ciclo de revisão

Defina a cada quantos meses o registro deve ser revisto. A contagem começa quando a atividade é ativada.

Escolha algo sustentável. Doze meses funciona para a maioria das atividades estáveis; períodos mais curtos fazem sentido para tratamentos que mudam com frequência ou envolvem dados sensíveis.

Salvar como rascunho ou ativar

Salvar como rascunho aceita qualquer estado de preenchimento, exigindo apenas o nome. Use livremente: é melhor registrar meia atividade hoje que uma atividade completa em uma data que nunca chega.

Salvar e ativar roda todas as verificações. Se algo faltar, a tela mostra um bloco listando exatamente o que resolver antes de ativar.

Os bloqueios possíveis, em linguagem direta:

Vale enxergar essa lista pelo que ela é: um resumo das exigências legais que mais geram autuação. Se a sua atividade ativa, ela está em bom estado.

Depois de ativar

A página da atividade reúne finalidade e base legal, perfil de dados, retenção, sistemas e operadores, sinalizadores, registros vinculados, ciclo de revisão e os controles evidenciados.

Os sinalizadores facilitam a leitura rápida: dados de crianças com o reconhecimento em ordem, e relevância para relatório de impacto.

Sobre esse último: o botão Gerar RIPD na página da atividade ainda não está disponível, e a plataforma indica isso. O relatório de impacto é criado a partir do módulo de Relatórios de Impacto, usando Novo relatório e escolhendo a atividade ali. O tutorial de RIPD detalha o caminho.

Problemas comuns

O nome da atividade é obrigatório. É o único campo exigido para salvar rascunho.

A ativação está bloqueada. O bloco no topo lista o que falta. Cada item corresponde a uma exigência legal.

Não consigo escolher legítimo interesse. Se a atividade envolve dados sensíveis, essa combinação é vedada por lei.

A base legal está desabilitada. Você marcou o papel de operador. É o comportamento correto.

Pede mecanismo de transferência e o fornecedor é brasileiro. Deixe o campo de país vazio para destinatários nacionais.

Não acho o sistema ou o fornecedor. Eles vêm do inventário de ativos e do cadastro de fornecedores. Cadastre lá primeiro.

⚠️ Este tutorial descreve o funcionamento da plataforma e não é orientação jurídica. A escolha de base legal, o enquadramento de dados sensíveis, os mecanismos de transferência internacional e os prazos de retenção devem ser definidos com assessoria jurídica qualificada.