Privacidade – Registro de atividades de tratamento (ROPA)
O registro de atividades de tratamento, conhecido como ROPA, é o documento central de qualquer programa de privacidade. Ele responde à pergunta que a autoridade faz primeiro: quais dados pessoais a sua empresa trata, para quê, com que fundamento e por quanto tempo.
A tela se apresenta como o registro que documenta todos os tratamentos de dados pessoais da organização, conforme o Art. 37 da LGPD.
Se você tiver que escolher uma única coisa para fazer bem no módulo de Privacidade, é este registro. Tudo o mais se apoia nele, inclusive o atendimento a pedidos de titulares e os relatórios de impacto.
O que a lista mostra
Cada atividade aparece com nome, departamento, base legal, categorias de dados, sistemas, operadores, status e o estado da revisão.
Os status são três:
| Status | Significado |
|---|---|
| Rascunho | Em elaboração, pode estar incompleto |
| Ativa | Registrada e válida, aprovada em todos os requisitos legais |
| Encerrada | O tratamento não acontece mais |
A distinção entre rascunho e ativa é a mais importante do módulo, e o tutorial Como cadastrar uma atividade de tratamento explica por quê: ativar uma atividade exige aprovação em todas as verificações legais, e é isso que dá valor ao registro.
Os quatro indicadores, e como lê-los
No topo aparecem quatro números que, juntos, dão o diagnóstico do seu programa:
Atividades ativas. O tamanho real do registro. Um número muito baixo em uma empresa que trata dados de clientes e colaboradores costuma significar registro incompleto, não empresa simples.
Envolvem dados sensíveis. Onde o rigor precisa ser maior. Dados sensíveis têm regras próprias e mais restritas.
Legítimo interesse sem LIA. É o indicador mais acionável da tela, e deveria ser zero.
Transferências internacionais. Quantas atividades enviam dados para fora do país. Cada uma exige um mecanismo de transferência formal.
O aviso de LIA merece atenção especial
Quando existem atividades baseadas em legítimo interesse sem documento de avaliação anexado, um aviso aparece de forma destacada, lembrando que a autoridade pode solicitar essa avaliação e que ela deve estar anexada a cada atividade.
Vale entender por que isso importa tanto. Legítimo interesse é a base legal mais usada e a mais frágil. Ela é atraente porque não exige consentimento, e o preço é ter a avaliação documentada demonstrando que o interesse da empresa não atropela os direitos do titular.
Uma empresa com dez atividades em legítimo interesse e nenhuma avaliação anexada está em situação pior do que se tivesse escolhido outra base. É a lacuna que mais aparece em fiscalização.
Filtros que viram rotina
É possível filtrar por base legal, departamento, status e por sinalizadores: dados sensíveis, dados de crianças, transferência internacional e sem LIA.
Quatro usos que valem virar hábito:
- Sem LIA, para zerar o indicador.
- Dados sensíveis, para revisar o que exige mais cuidado.
- Transferência internacional, para conferir se cada vínculo tem mecanismo.
- Por departamento, quando a conversa é com uma área específica.
Não comece de uma tela vazia
Existe Importar atividades iniciais, que traz um conjunto de atividades comuns como ponto de partida, informando quantas foram criadas e quantas foram ignoradas por já existirem.
Vale muito usar. Praticamente toda empresa trata folha de pagamento, cadastro de clientes, recrutamento e comunicação de marketing. Partir de uma lista pronta e ajustar é muito mais rápido, e mais completo, do que tentar lembrar tudo do zero.
Depois de importar, revise cada atividade: os textos iniciais descrevem o caso geral, e o seu caso tem particularidades.
O ciclo de revisão
Cada atividade tem uma periodicidade de revisão em meses, e o registro mostra se ela está revisada, com revisão a vencer, atrasada ou não agendada.
Este é o ponto que separa um ROPA vivo de um documento morto. Tratamentos mudam sem aviso: um sistema novo entra, um fornecedor sai, uma finalidade se amplia. Um registro que descreve a empresa de dois anos atrás é pior que inútil, porque afirma coisas erradas com aparência de formalidade.
Use Marcar como revisada quando conferir uma atividade. É o gesto que mantém o registro confiável.
Exportar o ROPA
Exportar ROPA (PDF) gera o registro completo. Duas características importantes:
O arquivo é salvo como documento versionado na sua biblioteca de Documentos, com nome e versão informados na confirmação. Isso significa que cada exportação fica registrada, com data, e você pode demonstrar qual versão do registro existia em determinado momento.
É esse arquivo que se apresenta a uma autoridade ou a um cliente que pede o registro. Ter versões arquivadas ao longo do tempo demonstra que o programa é contínuo.
O registro alimenta controles automaticamente
Manter o ROPA atualizado evidencia automaticamente controles de privacidade, conforme a própria plataforma informa na página de cada atividade.
Vale internalizar: o trabalho de manter o registro não é burocracia paralela ao trabalho de conformidade. Ele é o trabalho, e move os controles dos frameworks de privacidade que você habilitou.
Uma ordem que funciona
- Importe as atividades iniciais.
- Ajuste e ative as principais, começando por folha de pagamento, cadastro de clientes e recrutamento.
- Anexe as avaliações de legítimo interesse até o indicador chegar a zero.
- Confira as transferências internacionais e o mecanismo de cada uma.
- Defina a periodicidade de revisão de cada atividade.
- Exporte o ROPA e guarde a versão.
Problemas comuns
O registro está vazio. Use a importação de atividades iniciais em vez de começar da página branca.
Muitas atividades presas em rascunho. Alguma verificação legal está bloqueando a ativação. A tela de edição lista exatamente o que falta.
O indicador de LIA não zera. Cada atividade em legítimo interesse precisa do seu próprio documento de avaliação anexado.
Revisões atrasadas acumuladas. Ou a periodicidade está agressiva demais para a sua realidade, ou falta a rotina. Ajustar a periodicidade para algo sustentável é melhor que conviver com atraso permanente.
⚠️ Este tutorial descreve o funcionamento da plataforma e não é orientação jurídica. O enquadramento das suas atividades, a escolha de base legal e as obrigações aplicáveis devem ser definidos com assessoria jurídica qualificada.
Este artigo foi útil?