ROPA bajo la LGPD: cómo crear un registro de operaciones de tratamiento

Respuesta rápida

El Art. 37 exige que controladores y operadores mantengan registro de las operaciones de tratamiento, especialmente cuando se basan en interés legítimo. 'ROPA' es una denominación práctica; la ley habla de registros de operaciones. ANPD publicó un modelo simplificado para agentes de pequeño porte que cumplan los criterios aplicables.

Puntos clave

Controlador y operador tienen obligación de registro.
El Art. 37 no enumera un único listado universal de campos.
El modelo simplificado de ANPD tiene ocho grupos de información.
Ser startup o pequeño no garantiza elegibilidad.
El ROPA debe reflejar la operación real.

Qué significa en la práctica

La forma más segura de aplicar este tema es separar tres capas: lo que exige la ley o la regulación, lo que la organización hace realmente y la evidencia que permite demostrar esa decisión. Una política o contrato que no coincide con los sistemas, proveedores y flujos reales crea una falsa sensación de cumplimiento.

Para empresas globales, el análisis también debe considerar dónde están los titulares, qué entidades toman decisiones, qué proveedores reciben datos y qué países participan. La LGPD se aplica a operaciones concretas; por eso un mismo grupo empresarial puede tener respuestas diferentes según producto, finalidad o unidad.

Cómo implementar este tema

Paso 1. Use el mapa de datos como fuente.
Paso 2. Defina una actividad por finalidad coherente.
Paso 3. Registre datos, titulares, base, proveedores, países y retención.
Paso 4. Asigne owner.
Paso 5. Actualice cuando cambie la actividad.

Después de completar los pasos iniciales, conecte el resultado con el ROPA, el mapa de datos, la matriz de proveedores y el plan de remediación. Si aparece un cambio material —nuevo proveedor, país, finalidad, IA, tipo de dato o incidente— revise nuevamente la decisión.

Errores comunes

ROPA solo del controlador.
Copiar la política de privacidad en una tabla.
Usar una fila para toda la empresa.
No registrar suboperadores o países.

Un error recurrente es tratar el cumplimiento como un documento estático. ANPD y la propia estructura de la LGPD apuntan a una gobernanza continua: registros, medidas, revisión de riesgo y capacidad de demostrar por qué una decisión era razonable en el contexto existente.

Qué debería documentar

#	Registro	Evidencia mínima
1	ROPA	Conserve owner, fecha, evidencia y criterio de revisión.
2	Data Map	Conserve owner, fecha, evidencia y criterio de revisión.
3	Legal-Basis Record	Conserve owner, fecha, evidencia y criterio de revisión.
4	Vendor Register	Conserve owner, fecha, evidencia y criterio de revisión.
5	Transfer Register	Conserve owner, fecha, evidencia y criterio de revisión.

Relación con otras obligaciones LGPD

Este tema rara vez existe de manera aislada. Revise su conexión con mapeo de datos, ROPA, bases legales, proveedores, seguridad y transferencias internacionales.

Preguntas frecuentes

¿Los operadores necesitan ROPA?

Sí. El Art. 37 menciona expresamente controladores y operadores.

¿Existe una lista legal única de campos?

No. ANPD ofrece un modelo simplificado para determinados agentes, pero no es una lista universal para todas las organizaciones.

¿Puede una pequeña empresa usar el modelo simplificado?

Solo si cumple los criterios y no está excluida del tratamiento diferenciado aplicable.

Fuentes oficiales principales

Para esta guía se priorizaron fuentes primarias. Consulte siempre la versión vigente antes de tomar decisiones de alto impacto.

Convierta esta guía en un proceso repetible

El Manual de Cumplimiento LGPD en Brasil — Edición 2026 incluye una auditoría de 100 puntos, 16 hojas de trabajo de implementación y una hoja de ruta estructurada de 30 días.

Obtener el Manual · $47

Nota editorial: recurso educativo independiente, no asesoramiento jurídico. Las fuentes primarias utilizadas en la edición original incluyen la LGPD compilada, regulaciones y materiales oficiales de ANPD. Verifique la norma vigente antes de tomar decisiones de alto impacto.