Modelo de Registro de Operações de Tratamento de Dados
Entenda como organizar um registro de operações de tratamento de dados pessoais, quais informações incluir e quando ele é recomendado pela LGPD. Veja orientações de preenchimento, cuidados práticos e use o modelo editável desta página para documentar as atividades da organização.
Sumário
- 01 O que é o registro de operações de tratamento de dados
- 02 Para que serve esse documento na prática
- 03 Quando usar o modelo de registro de operações de tratamento de dados
- Situações comuns em pequenas empresas
- 04 Informações que não podem faltar no registro
- Finalidade, necessidade e base legal
- 05 Controlador, operador e demais envolvidos
- 06 Modelo de Modelo de Registro de Operações de Tratamento de Dados
- 07 Passo a passo para preencher o documento
- 08 Tipos e variações de registro
- Registro por processo
- Registro por sistema ou base de dados
- Registro simplificado e registro detalhado
- 09 Cuidados e erros comuns ao elaborar o registro
- 10 Como manter o registro atualizado e acessível
- 11 Perguntas frequentes
- O registro de operações de tratamento de dados é obrigatório para toda empresa?
- Preciso pedir consentimento para fazer o registro?
- O registro deve ser enviado à Autoridade Nacional de Proteção de Dados?
- Posso usar uma planilha em vez de documento formal?
- Por quanto tempo o registro deve ser guardado?
- O modelo substitui contrato com fornecedor que trata dados?
- 12 Referências
- 13 Vídeo explicativo
- 14 Aviso importante
O modelo de registro de operações de tratamento de dados é uma ferramenta de governança usada para documentar como uma pessoa física ou organização coleta, utiliza, armazena, compartilha, protege e elimina dados pessoais. Embora seja frequentemente associado a empresas de maior porte, ele também é útil para profissionais autônomos, microempresas e pequenas empresas que lidam com informações de clientes, fornecedores, empregados ou usuários.
Ao transformar rotinas internas em registros organizados, o documento facilita a identificação de riscos, a definição de responsabilidades e a adoção de medidas compatíveis com a Lei Geral de Proteção de Dados Pessoais. O modelo editável desta página pode ser adaptado à realidade de cada atividade, sem substituir a análise jurídica e técnica exigida em situações mais complexas.
O que é o registro de operações de tratamento de dados
O registro de operações de tratamento de dados é um documento interno que descreve as atividades nas quais dados pessoais são tratados. Em termos práticos, ele funciona como um inventário: informa quais dados são envolvidos, de quem são obtidos, para qual finalidade são utilizados, quem acessa as informações, por quanto tempo elas ficam guardadas e quais medidas de segurança são aplicadas.
A Lei nº 13.709/2018, conhecida como LGPD, prevê a manutenção de registro das operações de tratamento. O art. 37 determina que o controlador e o operador mantenham esse registro, especialmente quando realizado com base no legítimo interesse. O documento contribui para demonstrar organização e responsabilidade no tratamento de informações pessoais.
“O controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem.”
Lei nº 13.709/2018, art. 37
Não se trata, necessariamente, de um contrato assinado entre partes. É um instrumento de controle interno. Ainda assim, sua elaboração clara pode apoiar contratos com operadores, respostas a titulares de dados, auditorias, avaliações de fornecedores e decisões de segurança da informação.
Para que serve esse documento na prática
O principal objetivo é permitir que a organização conheça o fluxo de dados pessoais que administra. Sem esse mapeamento, é difícil verificar se uma coleta é necessária, se a finalidade foi informada de maneira adequada, se há excesso de dados ou se terceiros estão recebendo informações sem controle suficiente.
Um registro bem preenchido ajuda a:
- mapear cadastros físicos, digitais e sistemas que contenham dados pessoais;
- vincular cada operação a uma finalidade concreta e legítima;
- identificar o papel da organização como controlador, operador ou ambos, conforme a atividade;
- organizar informações sobre compartilhamentos com fornecedores, parceiros e órgãos públicos;
- avaliar prazos de retenção e descarte de documentos e arquivos;
- registrar medidas de segurança, controles de acesso e procedimentos de resposta a incidentes;
- dar suporte à prestação de contas prevista na LGPD.
Para compreender os conceitos de tratamento, controlador, operador, dado pessoal e dado pessoal sensível, consulte o texto da Lei Geral de Proteção de Dados Pessoais. A leitura da norma é importante porque a classificação correta de cada operação influencia o nível de cautela adotado.
Quando usar o modelo de registro de operações de tratamento de dados
O registro é indicado sempre que houver tratamento de dados pessoais, isto é, qualquer operação realizada com esses dados. A LGPD utiliza um conceito amplo de tratamento, que inclui coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, processamento, arquivamento, armazenamento, eliminação, avaliação, modificação, comunicação, transferência e extração.
Situações comuns em pequenas empresas
Uma loja que mantém cadastro de clientes para entrega, um consultório que agenda atendimentos, uma empresa que recebe currículos, um prestador de serviços que emite notas fiscais e um e-commerce que processa pedidos realizam operações que devem ser compreendidas e organizadas.
Também vale utilizar o documento quando a organização:
- implanta um novo sistema de vendas, relacionamento, folha de pagamento ou gestão financeira;
- contrata empresa de hospedagem, contabilidade, marketing, suporte técnico ou armazenamento em nuvem;
- cria campanhas de comunicação por e-mail, telefone ou aplicativos de mensagens;
- recebe dados de crianças e adolescentes;
- trata dados sensíveis, como informações de saúde, biometria, origem racial ou convicção religiosa;
- precisa revisar seus processos após um incidente de segurança ou uma reclamação de titular.
O registro deve ser atualizado quando o processo mudar. Não é suficiente preencher o documento uma única vez e deixá-lo arquivado enquanto novos sistemas, fornecedores e finalidades são incorporados à rotina.
Informações que não podem faltar no registro
Não existe uma única estrutura obrigatória aplicável a todos os contextos. O conteúdo deve refletir o fluxo real da atividade. Porém, alguns campos são essenciais para que o documento seja útil e coerente com a prestação de contas.
| Elemento | O que registrar | Exemplo prático |
|---|---|---|
| Atividade de tratamento | Nome claro do processo analisado | Cadastro de clientes para entrega |
| Titulares e dados | Quem são os titulares e quais dados são usados | Clientes: nome, CPF, telefone e endereço |
| Finalidade e base legal | Motivo do uso e hipótese legal aplicável | Executar pedido e emitir documento fiscal |
| Compartilhamento | Destinatários, operadores e justificativa | Transportadora para realizar a entrega |
| Retenção e descarte | Critério de guarda, revisão e eliminação | Guarda pelo prazo legal ou necessário à finalidade |
| Segurança | Controles técnicos e administrativos existentes | Acesso por senha e permissão por função |
Além desses elementos, é recomendável indicar a área responsável pelo processo, o canal de coleta, a localização do armazenamento, eventual transferência internacional, o contato do encarregado quando houver designação e a data da última revisão.
Finalidade, necessidade e base legal
A finalidade precisa ser específica e compatível com a operação. Expressões genéricas, como “uso interno” ou “melhorar serviços”, raramente são suficientes isoladamente. Prefira descrições objetivas, tais como “efetuar entrega contratada”, “processar pagamento”, “cumprir obrigação trabalhista” ou “responder solicitação do cliente”.
A base legal deve ser analisada para cada atividade. O consentimento é apenas uma das hipóteses previstas na LGPD e não deve ser usado de forma automática. Execução de contrato, cumprimento de obrigação legal ou regulatória, exercício regular de direitos e legítimo interesse são exemplos de hipóteses que podem ser pertinentes conforme os fatos concretos.
Controlador, operador e demais envolvidos
O documento deve deixar claro qual papel cada participante desempenha. Em regra, o controlador toma as principais decisões sobre o tratamento, incluindo finalidade e meios relevantes. O operador trata dados pessoais em nome do controlador e de acordo com suas instruções.
Uma pequena empresa, por exemplo, pode ser controladora dos dados de seus próprios clientes. Ao contratar uma plataforma para hospedar seu cadastro, a plataforma poderá atuar como operadora em relação àquela atividade, dependendo do contrato e da forma concreta de atuação. A definição não decorre somente do nome dado à parte, mas das decisões efetivamente tomadas.
O registro também pode mencionar destinatários que recebem dados sem atuar como operadores, como transportadoras, instituições financeiras e órgãos públicos. Cada compartilhamento deve ter uma razão documentada e observar a necessidade de transmitir apenas as informações adequadas ao objetivo.
Quando houver fornecedor com acesso a dados, é prudente avaliar cláusulas contratuais de confidencialidade, segurança, subcontratação, comunicação de incidentes, cooperação para atendimento aos titulares e devolução ou eliminação dos dados ao término da relação.
Modelo editável
Modelo Editável Aqui
Clique em “Editar documento” para preencher os campos entre colchetes. As alterações ficam salvas apenas neste navegador.
REGISTRO DE OPERAÇÕES DE TRATAMENTO DE DADOS PESSOAIS
O presente Registro de Operações de Tratamento de Dados Pessoais é elaborado por [NOME EMPRESARIAL OU NOME COMPLETO], inscrito(a) no CPF/CNPJ sob o nº [CPF OU CNPJ], com endereço em [ENDEREÇO COMPLETO], CEP [CEP], na cidade de [CIDADE], Estado de [UF], doravante denominado(a) CONTROLADOR(A), para fins de documentação, gestão e acompanhamento das atividades de tratamento de dados pessoais realizadas no âmbito de suas operações.
Quando aplicável, participa desta operação o(a) [NOME EMPRESARIAL OU NOME COMPLETO DO OPERADOR], inscrito(a) no CPF/CNPJ sob o nº [CPF OU CNPJ DO OPERADOR], com endereço em [ENDEREÇO COMPLETO DO OPERADOR], doravante denominado(a) OPERADOR(A), que realiza tratamento de dados pessoais em nome do(a) CONTROLADOR(A), conforme instruções documentadas, contrato aplicável e legislação vigente.
1. IDENTIFICAÇÃO DA OPERAÇÃO DE TRATAMENTO
1.1. Nome da atividade ou processo: [NOME DA OPERAÇÃO DE TRATAMENTO].
1.2. Área responsável pela atividade: [ÁREA, SETOR OU RESPONSÁVEL].
1.3. Descrição objetiva da operação: [DESCREVER COMO OS DADOS SÃO COLETADOS, CONSULTADOS, UTILIZADOS, ARMAZENADOS, COMPARTILHADOS E ELIMINADOS].
1.4. Data de início ou implantação da atividade: [DIA] de [MÊS] de [ANO].
1.5. Data da última revisão deste registro: [DIA] de [MÊS] de [ANO].
2. PAPÉIS E RESPONSABILIDADES
2.1. O(A) CONTROLADOR(A) declara ser responsável pelas decisões referentes à finalidade e aos meios relevantes do tratamento descrito neste registro, observadas as particularidades da operação.
2.2. O(A) OPERADOR(A), quando indicado neste documento, realizará o tratamento de dados pessoais exclusivamente para as finalidades autorizadas, adotará medidas de segurança compatíveis com a atividade e comunicará ao(à) CONTROLADOR(A) eventuais situações relevantes relacionadas aos dados tratados.
2.3. Responsável interno pelo acompanhamento da operação: [NOME COMPLETO], cargo ou função [CARGO OU FUNÇÃO], contato [E-MAIL E TELEFONE].
2.4. Encarregado pelo tratamento de dados pessoais, se houver designação: [NOME COMPLETO OU CANAL DE CONTATO].
3. TITULARES DOS DADOS
3.1. Categorias de titulares envolvidos nesta operação: [CLIENTES, POTENCIAIS CLIENTES, EMPREGADOS, CANDIDATOS A VAGAS, FORNECEDORES, REPRESENTANTES, USUÁRIOS, VISITANTES OU OUTROS].
3.2. Há tratamento de dados de crianças ou adolescentes? [SIM OU NÃO]. Em caso afirmativo, descrever as circunstâncias, a finalidade e as salvaguardas adotadas: [DESCRIÇÃO].
4. CATEGORIAS DE DADOS PESSOAIS TRATADOS
4.1. Dados pessoais comuns envolvidos: [EXEMPLOS: NOME, CPF, RG, DATA DE NASCIMENTO, E-MAIL, TELEFONE, ENDEREÇO, DADOS DE PAGAMENTO, DADOS PROFISSIONAIS].
4.2. Dados pessoais sensíveis envolvidos: [INFORMAR QUAIS OU DECLARAR “NÃO HÁ TRATAMENTO DE DADOS PESSOAIS SENSÍVEIS NESTA OPERAÇÃO”].
4.3. Dados financeiros, fiscais ou contratuais envolvidos: [DESCRIÇÃO OU “NÃO SE APLICA”].
4.4. O(A) responsável pela operação declara que os dados indicados são limitados ao mínimo necessário para a finalidade informada neste registro, devendo ser evitada a coleta de informações excessivas ou sem justificativa.
5. FINALIDADE DO TRATAMENTO
5.1. A finalidade específica da operação é: [DESCREVER DE FORMA CLARA E OBJETIVA, COMO “REALIZAR O CADASTRO E A ENTREGA DE PEDIDOS”, “PROCESSAR PAGAMENTOS”, “GERENCIAR CONTRATOS”, “CUMPRIR OBRIGAÇÕES TRABALHISTAS” OU OUTRA FINALIDADE CONCRETA].
5.2. Os dados pessoais não deverão ser utilizados para finalidade incompatível com a descrita neste item, salvo quando houver fundamento legal, informação adequada ao titular e demais requisitos aplicáveis.
6. BASE LEGAL E JUSTIFICATIVA
6.1. A hipótese legal indicada para esta operação é: [CONSENTIMENTO; CUMPRIMENTO DE OBRIGAÇÃO LEGAL OU REGULATÓRIA; EXECUÇÃO DE CONTRATO OU DE PROCEDIMENTOS PRELIMINARES RELACIONADOS A CONTRATO; EXERCÍCIO REGULAR DE DIREITOS; LEGÍTIMO INTERESSE; PROTEÇÃO DO CRÉDITO; OU OUTRA HIPÓTESE APLICÁVEL].
6.2. Justificativa para a hipótese legal indicada: [EXPLICAR A RELAÇÃO ENTRE A FINALIDADE, OS DADOS UTILIZADOS E A BASE LEGAL ESCOLHIDA].
6.3. Caso a operação tenha como fundamento o consentimento, registrar o meio de obtenção, a data, a versão do aviso apresentado e a forma de revogação: [DESCRIÇÃO OU “NÃO SE APLICA”].
7. COLETA, ACESSO E ARMAZENAMENTO
7.1. Canal ou fonte de coleta dos dados: [SITE, FORMULÁRIO, WHATSAPP, E-MAIL, CONTRATO, ATENDIMENTO PRESENCIAL, SISTEMA, TERCEIRO OU OUTRO].
7.2. Sistemas, arquivos ou locais de armazenamento: [NOME DO SISTEMA, PASTA FÍSICA, SERVIDOR, NUVEM, PLANILHA OU OUTRO].
7.3. Pessoas ou áreas internas autorizadas a acessar os dados: [CARGOS, SETORES OU FUNÇÕES].
7.4. O acesso será limitado às pessoas que necessitem dos dados para executar suas atribuições, conforme os controles internos definidos pelo(a) CONTROLADOR(A).
8. COMPARTILHAMENTO E DESTINATÁRIOS
8.1. Os dados poderão ser compartilhados com: [NOME OU CATEGORIA DO DESTINATÁRIO, COMO CONTABILIDADE, TRANSPORTADORA, PLATAFORMA DE PAGAMENTO, HOSPEDAGEM, SISTEMA DE GESTÃO, ÓRGÃO PÚBLICO OU OUTRO].
8.2. Finalidade de cada compartilhamento: [DESCREVER A NECESSIDADE DO COMPARTILHAMENTO].
8.3. Há transferência internacional de dados? [SIM OU NÃO]. Em caso afirmativo, indicar países, fornecedor envolvido e salvaguardas aplicáveis: [DESCRIÇÃO].
9. PRAZO DE RETENÇÃO E ELIMINAÇÃO
9.1. Os dados pessoais serão mantidos pelo prazo de [PRAZO OU CRITÉRIO DE DEFINIÇÃO], considerando a finalidade do tratamento, obrigações legais ou regulatórias, necessidade de defesa em procedimentos e demais hipóteses aplicáveis.
9.2. Ao término do prazo de retenção, os dados serão eliminados, anonimizados ou mantidos em outra hipótese legalmente admitida, conforme análise do(a) CONTROLADOR(A).
9.3. Método previsto de eliminação ou descarte: [EXCLUSÃO SEGURA EM SISTEMA, TRITURAÇÃO DE DOCUMENTOS, ANONIMIZAÇÃO, DESCARTE CERTIFICADO OU OUTRO].
10. MEDIDAS DE SEGURANÇA
10.1. Medidas administrativas adotadas: [TREINAMENTO, TERMO DE CONFIDENCIALIDADE, POLÍTICA INTERNA, RESTRIÇÃO DE ACESSO, PROCEDIMENTOS DE REVISÃO OU OUTRAS].
10.2. Medidas técnicas adotadas: [SENHAS, AUTENTICAÇÃO EM DOIS FATORES, CONTROLE DE PERMISSÕES, CRIPTOGRAFIA, BACKUP, ANTIVÍRUS, REGISTRO DE ACESSOS OU OUTRAS].
10.3. Procedimento em caso de incidente de segurança: [DESCREVER CANAL INTERNO, RESPONSÁVEL, PROVIDÊNCIAS INICIAIS E FORMA DE REGISTRO].
11. DIREITOS DOS TITULARES E CANAL DE CONTATO
11.1. Solicitações de titulares relacionadas à confirmação de tratamento, acesso, correção, anonimização, bloqueio, eliminação, informação sobre compartilhamento ou demais direitos aplicáveis deverão ser encaminhadas ao canal: [E-MAIL, TELEFONE OU ENDEREÇO DE ATENDIMENTO].
11.2. O(A) responsável pela operação deverá registrar a solicitação, verificar sua legitimidade e adotar as providências cabíveis dentro dos prazos e critérios aplicáveis.
12. REVISÃO E APROVAÇÃO
12.1. Este registro deverá ser revisado sempre que ocorrer alteração relevante na finalidade, nos dados tratados, nos sistemas utilizados, nos destinatários, na base legal, nas medidas de segurança ou em qualquer outro elemento da operação.
12.2. A próxima revisão programada ocorrerá até [DIA] de [MÊS] de [ANO], sem prejuízo de revisão antecipada quando necessária.
12.3. O presente documento integra os controles internos do(a) CONTROLADOR(A) e deverá ser mantido em ambiente seguro, com acesso restrito às pessoas autorizadas.
[CIDADE] – [UF], [DIA] de [MÊS] de [ANO].
________________________________________
[NOME DO RESPONSÁVEL PELO CONTROLADOR]
CPF/CNPJ: [CPF OU CNPJ]
Cargo/Função: [CARGO OU FUNÇÃO]
________________________________________
[NOME DO RESPONSÁVEL PELO OPERADOR, SE APLICÁVEL]
CPF/CNPJ: [CPF OU CNPJ]
Cargo/Função: [CARGO OU FUNÇÃO]
TESTEMUNHAS, SE APLICÁVEL
________________________________________
[NOME COMPLETO DA TESTEMUNHA 1]
CPF: [CPF]
________________________________________
[NOME COMPLETO DA TESTEMUNHA 2]
CPF: [CPF]
Passo a passo para preencher o documento
O preenchimento deve partir das operações reais, e não de textos genéricos copiados de outro negócio. Reúna responsáveis das áreas que conhecem o fluxo de atendimento, vendas, financeiro, recursos humanos, tecnologia e fornecedores.
- Liste os processos. Separe as atividades que usam dados pessoais, como cadastro de clientes, recrutamento, emissão de notas, folha de pagamento, atendimento e marketing.
- Defina uma operação por registro. Evite reunir processos sem relação direta. Se a mesma base de dados é usada para finalidades distintas, descreva cada finalidade com clareza.
- Identifique os titulares. Indique se os dados pertencem a clientes, empregados, candidatos a vagas, fornecedores, representantes, visitantes ou outras pessoas.
- Relacione os dados tratados. Especifique os campos utilizados e evite expressões vagas como “dados completos”. Diferencie dados comuns, dados sensíveis e dados de crianças ou adolescentes, quando existentes.
- Descreva a finalidade. Explique o resultado pretendido e a necessidade do uso das informações para alcançá-lo.
- Indique a base legal. Registre a hipótese da LGPD que sustenta a operação, observando o contexto e documentos relacionados.
- Mapeie compartilhamentos e armazenamento. Informe quais áreas internas e terceiros acessam os dados, onde os arquivos são guardados e quais sistemas participam do fluxo.
- Defina retenção e segurança. Estabeleça critérios de guarda, descarte, revisão e controles de acesso adequados ao risco.
- Nomeie o responsável e revise. Atribua responsabilidade pela atualização do registro e reveja o conteúdo periodicamente ou diante de mudanças relevantes.
O modelo editável desta página oferece uma estrutura inicial com campos para essas informações. Antes de finalizá-lo, confirme se cada declaração corresponde à prática efetiva da organização.
Tipos e variações de registro
O formato do registro pode variar conforme o porte, a atividade econômica, o volume de informações e os riscos envolvidos. Uma empresa não precisa usar uma estrutura excessivamente complexa se isso impedir a manutenção do documento. O ponto central é registrar dados suficientes para compreender e controlar cada operação.
Registro por processo
É a forma mais comum para pequenas empresas. Cada ficha ou seção trata de uma atividade: vendas, contratação de pessoal, atendimento, emissão de documentos fiscais ou suporte pós-venda. Favorece atualizações pontuais quando apenas um processo muda.
Registro por sistema ou base de dados
Nesse formato, o documento é organizado por ferramentas utilizadas, como sistema de gestão, plataforma de e-commerce, aplicativo de atendimento ou planilha de clientes. Pode ser útil quando os fluxos estão concentrados em poucos ambientes, mas exige cuidado para não misturar finalidades diferentes em uma única descrição.
Registro simplificado e registro detalhado
O registro simplificado atende operações rotineiras de baixo risco e menor complexidade. Já o detalhado pode incluir avaliação de risco, transferências internacionais, controles técnicos específicos, registros de aprovação e histórico de alterações. Operações com dados sensíveis, grande escala ou público vulnerável merecem análise mais aprofundada.
Cuidados e erros comuns ao elaborar o registro
Um registro apenas formal, desconectado da operação real, não resolve falhas de privacidade. Ele deve ser tratado como um instrumento vivo de gestão, acompanhado por práticas de segurança, treinamento e revisão de fornecedores.
- Copiar modelos sem adaptação: o texto precisa refletir sistemas, dados, pessoas e finalidades efetivamente existentes.
- Usar consentimento para tudo: a base legal deve ser escolhida conforme a operação, e não por conveniência.
- Omitir planilhas e documentos físicos: dados pessoais não estão somente em plataformas digitais.
- Esquecer fornecedores: empresas de contabilidade, armazenamento, marketing e tecnologia podem participar do tratamento.
- Não definir retenção: guardar dados indefinidamente aumenta exposição e dificulta a gestão.
- Descrever segurança de modo genérico: informe controles reais, como perfis de acesso, senhas, backups, autenticação e treinamento.
- Não registrar mudanças: nova campanha, novo aplicativo ou alteração no fluxo deve provocar revisão do documento.
- Confundir anonimização com simples remoção do nome: a análise depende da possibilidade de identificação da pessoa por outros meios.
A LGPD estabelece princípios como finalidade, adequação, necessidade, transparência, segurança, prevenção e responsabilização. Esses princípios servem de referência para avaliar a qualidade do registro e das práticas descritas nele.
Como manter o registro atualizado e acessível
Defina uma rotina de atualização compatível com a realidade do negócio. Uma revisão pode ocorrer, por exemplo, antes da contratação de um novo fornecedor que receberá dados, da abertura de novo canal de vendas, da implantação de sistema ou da criação de campanha que envolva coleta de contatos.
O documento deve ficar sob guarda segura, com acesso limitado às pessoas que precisam consultá-lo ou atualizá-lo. Embora o registro contenha normalmente informações sobre processos, ele pode revelar detalhes relevantes de segurança e fornecedores. Por isso, não é recomendável compartilhá-lo indiscriminadamente.
Também é importante manter evidências que sustentem suas informações, como contratos com fornecedores, políticas internas, avisos de privacidade, registros de consentimento quando aplicável, documentos de retenção e orientações de segurança. A página oficial da Receita Federal pode ser útil para a consulta de obrigações cadastrais e fiscais relacionadas às rotinas empresariais, mas não substitui a análise das exigências de proteção de dados aplicáveis ao caso.
Perguntas frequentes
O registro de operações de tratamento de dados é obrigatório para toda empresa?
A LGPD prevê que controlador e operador mantenham registro das operações que realizarem. A forma e o nível de detalhamento devem ser compatíveis com as atividades concretas, os riscos e eventuais orientações aplicáveis. Mesmo negócios pequenos se beneficiam de um mapeamento proporcional e atualizado.
Preciso pedir consentimento para fazer o registro?
Não. O registro é um documento interno sobre as operações de tratamento. A necessidade de consentimento deve ser analisada em relação à atividade que usa os dados, e não em razão da elaboração do próprio registro. Há outras bases legais previstas na LGPD que podem ser aplicáveis.
O registro deve ser enviado à Autoridade Nacional de Proteção de Dados?
O registro é mantido pela organização e não há, na regra geral do art. 37 da LGPD, determinação de envio automático. Contudo, ele deve estar organizado para demonstrar as operações realizadas e poderá ser relevante em fiscalizações, auditorias, questionamentos ou procedimentos internos.
Posso usar uma planilha em vez de documento formal?
Sim, desde que a planilha contenha informações claras, seja atualizada, tenha controle de acesso e permita compreender cada operação. O formato é menos importante do que a qualidade, consistência e disponibilidade das informações registradas.
Por quanto tempo o registro deve ser guardado?
A LGPD não fixa, no art. 37, um prazo único para conservar o registro. A organização deve manter o documento enquanto for necessário para gerir suas operações, demonstrar conformidade, atender obrigações aplicáveis e observar seus critérios de retenção.
O modelo substitui contrato com fornecedor que trata dados?
Não. O registro documenta a operação internamente. Quando um fornecedor tratar dados em nome da empresa, pode ser necessário estabelecer obrigações específicas em contrato ou aditivo, conforme a relação, os riscos e as instruções de tratamento.
Referências
Vídeo explicativo
Sobre o autor
Stefano Barcellos
Editor e curador de modelos de documentos
Stefano Barcellos é editor do MSG Center e responsável pela curadoria dos modelos de documentos publicados no portal, com foco em linguagem clara, estrutura organizada e atualização constante do conteúdo.
