Registro das operações de tratamento
Definição
Registro mantido pelo controlador e pelo operador das operações de tratamento de dados pessoais que realizam, com finalidades, categorias de dados, compartilhamentos e medidas de segurança.
O registro das operações de tratamento é a espinha dorsal da responsabilização: sem saber quais tratamentos existem, a organização não consegue demonstrar conformidade. A LGPD (art. 37) exige que controlador e operador mantenham registro das operações que realizam, especialmente quando baseadas no legítimo interesse. A ANPD publicou modelo de referência e simplificou a obrigação para agentes de tratamento de pequeno porte. O GDPR (art. 30) lista o conteúdo mínimo: finalidades, categorias de titulares e de dados, destinatários, transferências internacionais, prazos de retenção e medidas de segurança.
Um bom registro é mantido atualizado, ligado aos RIPDs, contratos e tabelas de temporalidade, e é o primeiro documento que auditores e autoridades pedem. Ele também orienta o atendimento às requisições de titulares, porque mostra onde cada dado está.
Na governança de IA, o registro conversa diretamente com o inventário de IA: cada sistema de IA que usa dados pessoais deve corresponder a uma ou mais operações registradas, com finalidade, base legal e retenção definidas.
Onde este termo é avaliado
Avaliado na Data Protection & AI Professional (DPAI), domínio 3: Ferramentas de accountability.
Também cobrem este termo: Responsible AI Auditor (AUDAI)
Fontes primárias
- GDPR Art. 30
- LGPD Art. 37