ROPA: o que é o registro das operações de tratamento

ROPA é a sigla para Records of Processing Activities, ou Registro das Operações de Tratamento. A LGPD prevê esse registro no art. 37: controladores e operadores devem manter documentadas as operações de tratamento de dados pessoais que realizam, e a ANPD pode solicitá-lo.

Na prática, é um inventário vivo. Ele descreve cada atividade da empresa que envolve dados pessoais — folha de pagamento, cadastro de clientes, campanhas de marketing, câmeras, recrutamento — com o detalhe necessário para que alguém de fora entenda o que acontece ali.

• A atividade e a área responsável;
• As categorias de titulares (clientes, colaboradores, candidatos...);
• As categorias de dados, com destaque para dados sensíveis e de menores;
• A finalidade e a base legal de cada tratamento;
• Os sistemas envolvidos e onde os dados ficam armazenados;
• Com quem os dados são compartilhados, incluindo operadores e transferências internacionais;
• O prazo de retenção e o que acontece no descarte;
• As medidas de segurança aplicadas.

O caminho que dá certo é por entrevistas curtas e objetivas com cada área, não por formulário enviado em massa. Ninguém preenche planilha de 40 colunas no meio do expediente. Conversamos com RH, financeiro, comercial, TI e operação, transcrevemos o que ouvimos e devolvemos para validação.

Depois disso, o ROPA precisa de dono. Se nenhum processo o atualiza quando um sistema novo entra ou um fornecedor muda, em seis meses ele vira ficção. Por isso vinculamos a atualização a gatilhos: novo fornecedor, novo sistema, novo produto.

O ROPA alimenta a avaliação de risco e o RIPD, sustenta a resposta a solicitações de titulares, orienta a política de retenção e é a primeira coisa pedida quando há um incidente ou uma fiscalização. Sem ele, todo o restante do programa é chute.