O ROPA — registro das operações de tratamento de dados pessoais — é o documento que transforma o princípio da responsabilização da LGPD em algo auditável. Ele alcança todo controlador e todo operador que trate dados pessoais no Brasil, de startups a órgãos públicos, e a ação prioritária é inventariar as operações que já existem, atribuir um responsável por linha e definir um ciclo de atualização. Sem esse inventário, o aviso de privacidade fica descolado da realidade, o relatório de impacto perde base factual e a resposta a um incidente de dados fica mais lenta, porque ninguém sabe ao certo quais dados existem, onde estão armazenados e com quem foram compartilhados.
O que a lei exige
O art. 37 da LGPD estabelece a obrigação do controlador e do operador, sem exceção de porte ou volume mínimo de dados, de manter registro das operações de tratamento que realizarem — especialmente as baseadas em legítimo interesse. O guia do Programa de Privacidade e Segurança da Informação do governo federal, publicado em julho de 2026, resume a leitura correta: a redação é deliberadamente ampla e a menção ao legítimo interesse funciona como reforço, não como delimitação. Não existe no Brasil uma regra que dispense empresas pequenas do registro; o que existe é uma forma simplificada para quem se enquadra como agente de tratamento de pequeno porte.
Na prática de fiscalização, o documento pesa desde o primeiro contato com a autoridade. O guia federal é direto ao apontar que o registro tende a ser um dos primeiros documentos requisitados em apurações da ANPD e que sua qualidade afeta o desenho da investigação. Ausência ou inconsistência pode constituir indício de inadequação do programa de privacidade, com reflexo na dosimetria de sanções administrativas. O registro também é insumo direto para o relatório de impacto, para os avisos de privacidade, para a comunicação de incidentes prevista no art. 48 da lei e para a gestão de contratos com operadores e transferências internacionais.
A lógica internacional é idêntica. Na União Europeia, o art. 30 do GDPR fixa dever equivalente para responsáveis e subcontratantes de tratamento, e a CNIL recomenda manter dois registros separados quando a organização atua simultaneamente como controlador e como operador: um para os tratamentos próprios e outro para os executados por conta de clientes, com o papel de cada parte identificado em cada linha. A autoridade francesa também lista o conteúdo mínimo de cada ficha: finalidade, categorias de dados e de destinatários, transferências, prazos de eliminação e uma descrição geral das medidas de segurança. Para o time de defesa, o recado é o mesmo nos dois lados do Atlântico: o registro é ferramenta de investigação, não burocracia de conformidade.
Campos mínimos do registro
O conteúdo mínimo do documento pode ser montado a partir de três referências convergentes: o guia federal do PPSI 2.0, o modelo simplificado da ANPD e a ficha recomendada pela CNIL para registro de atividades de tratamento. A tabela abaixo consolida os campos que aparecem nas três fontes e que, portanto, formam o piso defensável de qualquer ROPA — seja em planilha, formulário ou ferramenta de governança.
| Campo | O que registrar | Erro comum |
|---|---|---|
| Identificação | ID único da operação, produto ou serviço, área responsável, responsável pelo preenchimento e situação do registro | duplicar a mesma operação em duas linhas com identificadores diferentes |
| Titulares e dados | categorias de titulares (clientes, funcionários, candidatos), proteção reforçada (crianças, adolescentes, idosos) e tipos de dados, com marcação explícita de dados sensíveis | registrar valores ou exemplos com dados reais de pessoas |
| Finalidade e hipótese legal | finalidade do tratamento e hipótese legal dos arts. 7º ou 11 da LGPD | copiar a descrição do sistema de origem sem vincular a um processo de negócio |
| Compartilhamento | destinatários internos e externos, operadores contratados e transferências internacionais com a garantia utilizada | omitir fornecedores de infraestrutura e suporte técnico |
| Ciclo de vida | origem dos dados, local e meio de armazenamento, frequência do tratamento, período de retenção e forma de eliminação | retenção descrita sem prazo nem critério objetivo |
| Medidas de segurança | controle de acesso, criptografia, backup, pseudonimização e demais controles aplicáveis àquela operação | descrever medidas genéricas da empresa sem vínculo com a operação registrada |
Dois cuidados evitam retrabalho imediato. Primeiro, identificar o processamento pela finalidade e não pelo software: o mesmo sistema pode servir a duas operações com hipóteses legais diferentes, e o registro que copia nomes de sistemas fica desatualizado a cada troca de fornecedor. Segundo, versionar: identificador único, data da última atualização e histórico de alterações são o que separa um documento vivo de uma fotografia antiga. O guia federal dedica seções inteiras a versionamento e situação do registro exatamente por isso.
A coluna de titulares com proteção reforçada e a marcação de dados sensíveis merecem prioridade, porque concentram o risco regulatório e o impacto de um eventual vazamento. Dado sensível sem marcação explícita no registro tende a circular em sistemas de suporte e bases analíticas sem controle equivalente — e é esse tipo de divergência entre registro e realidade que a fiscalização explora primeiro.
Quando a operação se apoia em legítimo interesse, a coluna de hipótese legal precisa apontar para a análise que sustenta a escolha, como detalha nosso guia do teste de balanceamento do legítimo interesse na LGPD. Hipótese legal sem documento que a fundamente é achado de fiscalização esperando para acontecer.
Modelo simplificado da ANPD
Agentes de tratamento de pequeno porte têm um caminho menos custoso. Em junho de 2023, a ANPD publicou o modelo simplificado de registro previsto no art. 9º da Resolução CD/ANPD nº 2, com apenas oito campos considerados essenciais pela fiscalização: informações de contato, categorias de titulares, dados pessoais, compartilhamento, medidas de segurança, período de armazenamento, processo com finalidade e hipótese legal, e observações. O documento existe em versão para planilha e em PDF, com instruções de preenchimento campo a campo.
O modelo não é vinculante na forma — a própria nota técnica da autoridade o descreve como boa prática até que o tema seja regulamentado —, mas ele define o que a Coordenação-Geral de Fiscalização espera receber num primeiro momento. Para empresas que ainda não têm registro nenhum, preencher o modelo simplificado em uma tarde vale mais do que planejar um ROPA ideal por seis meses. O núcleo informacional é o mesmo do modelo completo: quem trata, quais dados, para quê, com quem, por quanto tempo e com quais controles.
O enquadramento como pequeno porte tem critérios próprios na resolução e não depende apenas do faturamento; quem não se enquadra segue o regime geral, com registro completo. Na União Europeia a dispensa existe para organizações com menos de 250 funcionários, mas cai sempre que o tratamento não é ocasional, envolve categorias especiais de dados ou oferece risco aos titulares — o que, na prática, mantém a maioria das empresas de tecnologia dentro da obrigação. Operar sob a suposição de dispensa, em qualquer jurisdição, é o erro mais caro do tema.
Como manter o registro vivo
Registro desatualizado vale menos que registro inexistente em uma apuração, porque cria contradição documental. O critério prático, alinhado à orientação da CNIL, é disparar atualização sempre que qualquer condição de tratamento mudar: novo dado coletado, novo destinatário, prazo de retenção estendido, hipótese legal revista ou fornecedor trocado. Um ciclo trimestral de revisão pela área dona de cada processo cobre o que os gatilhos por evento deixarem passar, e o histórico de versões preserva a linha do tempo que a fiscalização costuma pedir.
O registro também encurta a resposta a incidentes de dados. Quando um vazamento acontece, as perguntas que definem a comunicação à ANPD e aos titulares — quais dados, quantas pessoas afetadas, qual risco — saem direto do ROPA se ele estiver correto. Vincule cada operação a uma classificação de sensibilidade e mantenha o mapeamento de sistemas de armazenamento atualizado. Quando a evidência do incidente precisar circular entre equipes, aplique as técnicas que anonimizam dados de incidente sem destruir a evidência antes de qualquer compartilhamento interno amplo.
Prioridades para os próximos 30 dias:
- P1 — inventariar as operações com dados pessoais e nomear um responsável por linha do registro;
- P1 — marcar dados sensíveis e titulares com proteção reforçada primeiro, porque concentram o risco;
- P2 — revisar as hipóteses legais de legítimo interesse e vincular cada uma ao respectivo teste de balanceamento;
- P2 — conectar o registro ao processo de resposta a incidentes, garantindo que dados, titulares e destinatários sejam consultáveis em minutos, não em dias.