O registro das operações de tratamento é o inventário de dados pessoais da organização: para cada operação, a finalidade, a base legal, as categorias de dados e de titulares, os destinatários, as transferências internacionais, a retenção e as medidas de segurança. A LGPD exige o registro de controladores e operadores (Art. 37); no GDPR, o equivalente é o ROPA (Art. 30). É a base do RIPD, da resposta aos titulares e da fiscalização.
Como usar
- Informe a organização, o papel (controlador ou operador) e o canal do encarregado.
- Adicione uma linha por operação de tratamento, com finalidade, base legal e categorias de dados e titulares.
- Preencha destinatários, transferência internacional, retenção e medidas de segurança.
- Leia a conferência de completude e os avisos, e corrija o que falta.
- Exporte em CSV para manter a planilha ou em DOCX para circular e aprovar.
O que cada campo pede
| Campo | O que preencher |
|---|---|
| Organização | Nome do controlador ou do operador que mantém o registro. |
| Papel da organização | Controlador decide sobre o tratamento; operador trata em nome de outro. |
| Encarregado (DPO) e canal de contato | Cargo ou função e um canal, nunca dado pessoal desnecessário. |
| Operação | Ex.: matrícula de alunos |
| Finalidade | Ex.: matricular alunos e cobrar mensalidades |
| Base legal | |
| Categorias de dados | Ex.: nome, e-mail, dados de pagamento |
| Titulares | Ex.: alunos |
| Destinatários | Ex.: processador de pagamentos (operador) |
| Transferência internacional | |
| Retenção | Ex.: 5 anos após o fim do contrato |
| Medidas de segurança | Ex.: criptografia e acesso por perfil |
Exemplo
Uma escola de idiomas on-line fictícia registra três operações: matrícula de alunos (execução de contrato), envio de novidades por e-mail (consentimento) e análise de uso da plataforma (legítimo interesse). A ferramenta mostra 3 operações, 2 completas e completude de 67%. A análise de uso fica marcada porque falta a retenção, recebe o aviso para registrar o teste de balanceamento do legítimo interesse e o alerta de transferência internacional sem garantia definida.
Quando usar
- Ao começar o programa de privacidade, como primeiro inventário dos dados pessoais.
- Antes de um RIPD, para saber quais operações têm maior risco.
- Quando a ANPD, um cliente ou uma auditoria pede o registro das operações.
- Na revisão anual, ou quando um sistema, fornecedor ou finalidade muda.
Perguntas frequentes
O registro das operações é obrigatório na LGPD?
Sim. O Art. 37 da LGPD manda controlador e operador manterem registro das operações de tratamento, especialmente quando baseadas no legítimo interesse. O regulamento da ANPD para agentes de pequeno porte prevê uma forma simplificada; confira as regras vigentes.
O que o registro precisa conter?
A LGPD não traz uma lista fechada, então a prática segue o Art. 30 do GDPR: finalidades, categorias de titulares e de dados, destinatários, transferências internacionais e garantias, prazos de eliminação e descrição geral das medidas de segurança. A base legal de cada operação também costuma constar.
Qual a diferença entre registro de controlador e de operador?
O controlador registra as próprias operações e finalidades. O operador registra as categorias de tratamento que faz em nome de cada controlador atendido, com transferências e medidas de segurança. Uma organização pode ser as duas coisas e manter os dois registros.
Empresas pequenas estão dispensadas?
No GDPR, a exceção para menos de 250 empregados (Art. 30(5)) não vale quando o tratamento pode gerar risco, não é ocasional ou envolve dados sensíveis ou penais, o que na prática alcança quase todos. Na LGPD, agentes de pequeno porte têm regras simplificadas, não dispensa total.
Por que a ferramenta avisa sobre legítimo interesse?
O legítimo interesse exige um teste de balanceamento documentado (LIA) que mostre a finalidade, a necessidade e o equilíbrio com as expectativas do titular. A LGPD também pede registro reforçado nesses casos. O seletor de bases legais ajuda a montar esse teste.
O resultado substitui um parecer jurídico?
Não. É uma ferramenta educativa que organiza o registro e aponta lacunas. Revise o conteúdo com o encarregado e com a assessoria jurídica, e confira as regras vigentes antes de adotá-lo.
Qual certificação DPCert cobre o registro das operações?
A DPAI (Data Protection & AI Professional) avalia as ferramentas de accountability, entre elas o registro das operações de tratamento e o RIPD, além das bases legais e dos direitos dos titulares.