Resposta rápida: o que é um mapa de dados para a LGPD?
A LGPD não exige literalmente um documento com o nome “mapa de dados”. O mapeamento é uma prática de descoberta e rastreamento que ajuda a organização a entender operações de tratamento e sustentar obrigações como registros do Art. 37, transparência, direitos, retenção, segurança, fornecedores, transferências e RIPD.
Um bom mapa responde: quais dados? de quem? de onde vêm? por quê? onde passam? quem acessa? com quem são compartilhados? em qual país? por quanto tempo? como são apagados?
Principais conclusões
- Data map e ROPA são relacionados, mas não idênticos.
- O mapa deve seguir processos e sistemas reais, não apenas políticas.
- Entrevistas com áreas são essenciais para descobrir shadow IT e planilhas.
- Direitos dos titulares exigem identificadores de busca.
- Transferências internacionais devem registrar países e cadeia de destinatários.
- O mapa deve ser vivo e atualizado por gatilhos de mudança.
Por que o mapeamento é a fundação
Sem mapa, a empresa pode publicar aviso incorreto, escolher base legal para tratamento que desconhece, esquecer fornecedor, não conseguir responder acesso/exclusão ou manter dados indefinidamente.
O mapa conecta jurídico, segurança, produto, marketing, RH, vendas, suporte e tecnologia.
O ciclo de vida que você precisa descobrir
Coleta → uso → armazenamento → acesso → compartilhamento → transferência → retenção → exclusão/anonimização
Data map vs ROPA
O data map é processo de descoberta e visualização do fluxo. O ROPA/registro de operações é registro estruturado das atividades de tratamento conforme Art. 37.
Você pode ter um diagrama de sistemas que não é ROPA e um ROPA sem diagrama visual. O melhor programa conecta ambos.
17 campos úteis para um mapa
- processo de negócio;
- sistema/aplicação;
- categoria de titulares;
- categorias de dados;
- origem;
- finalidade;
- base legal;
- papel controlador/operador;
- destinatários internos;
- fornecedores/suboperadores;
- país/localização;
- mecanismo de transferência internacional;
- retenção;
- medidas de segurança relevantes;
- identificador para busca de direitos;
- perfilamento/decisão automatizada;
- owner e nível de risco.
Essa lista é uma estrutura operacional, não um rol legal universal obrigatório de campos.
Método em 12 passos
1. Defina escopo
Comece por um produto, processo ou unidade. Evite tentar mapear a empresa inteira sem prioridade.
2. Liste processos de negócio
Marketing, vendas, contratação, folha, produto, suporte, pagamentos, segurança, logística etc.
3. Liste sistemas
CRM, ERP, SaaS, planilhas, e-mail, data warehouse, ferramentas internas, cloud, apps e arquivos físicos.
4. Entreviste pessoas que executam o trabalho
Políticas raramente revelam todos os fluxos. Pergunte “o que você faz depois que recebe esse dado?”.
5. Identifique titulares e categorias de dados
Clientes, leads, usuários, colaboradores, candidatos, fornecedores, crianças, parceiros etc.
6. Registre origem
Direto do titular? Cliente controlador? API? fornecedor? fonte pública? inferência?
7. Escreva finalidade real
Seja específico. “Analytics” pode significar performance técnica, medição de produto ou publicidade.
8. Classifique papéis e base legal
Faça depois de entender a atividade, não antes.
9. Mapeie terceiros e países
Inclua cloud, subprocessadores, afiliadas e equipes com acesso remoto.
10. Defina retenção e fim de vida
Quando começa a contagem? Evento de encerramento? Backups? Arquivos legais?
11. Conecte direitos e segurança
Como localizar registros de um titular? Quais controles protegem a atividade?
12. Atribua owner e gatilho de revisão
Produto novo, fornecedor, país, IA, incidente ou mudança regulatória devem disparar revisão.
Identificadores de busca para direitos
Um campo muito útil é “como encontrar esse titular?”. Exemplos:
- e-mail;
- CPF;
- telefone;
- account ID;
- customer ID;
- order ID;
- employee ID;
- device ID.
Isso transforma o mapa em ferramenta operacional para DSAR.
Exemplo: SaaS dos EUA atendendo Brasil
| Campo | Exemplo |
|---|---|
| Processo | Suporte ao cliente |
| Titular | Usuário do cliente brasileiro |
| Dados | nome, e-mail, ticket, logs, anexos |
| Origem | plataforma + usuário |
| Finalidade | resolver incidente de suporte |
| Papel | SaaS como operador em relação ao conteúdo do cliente |
| Fornecedor | helpdesk e cloud |
| Países | EUA + região de hosting |
| Retenção | período operacional + política definida |
| Busca de direitos | e-mail/account ID |
Transferências internacionais
Não registre apenas “AWS”. Registre:
- exportador;
- importador;
- país;
- finalidade;
- mecanismo do Art. 33;
- transferências posteriores;
- acesso remoto.
Retenção
O mapa deve conectar cada atividade a gatilho e período. “Enquanto necessário” sem cronograma interno não permite operação consistente.
Segurança e RIPD
O mapa ajuda a identificar tratamento de alto risco: sensíveis, menores, larga escala, vigilância, decisões automatizadas, tecnologia emergente. Esses sinais orientam prioridade de segurança e triagem para RIPD.
Workshop prático de mapeamento
Convide owners de produto, TI, segurança, marketing, RH, financeiro, vendas e suporte. Use uma atividade de cada vez e pergunte:
- o que inicia o processo?
- quais dados entram?
- de onde vêm?
- em qual sistema?
- quem acessa?
- para onde vai?
- qual fornecedor recebe?
- qual país?
- quanto tempo fica?
- como termina?
Erros comuns
“Nosso inventário de sistemas é o mapa.”
Não. Ele não explica finalidade, dados, destinatários e retenção.
“O ROPA substitui qualquer mapa visual.”
Pode documentar operações, mas o mapeamento é processo de descoberta e pode usar outras representações.
“Só mapeamos sistemas oficiais.”
Planilhas, exports e shadow SaaS são fontes comuns de risco.
“Mapeamos uma vez.”
Ambientes digitais mudam continuamente.
Checklist de qualidade do mapa
- todos os processos prioritários cobertos;
- sistemas internos e terceiros;
- dados sensíveis identificados;
- titulares definidos;
- finalidades específicas;
- papéis documentados;
- bases ligadas às finalidades;
- fornecedores e países;
- direitos pesquisáveis;
- retenção real;
- segurança e risco;
- owner e revisão.
Perguntas frequentes
A LGPD exige formalmente “data mapping”?
Não com esse nome. O mapeamento é prática que ajuda a cumprir obrigações substantivas, incluindo Art. 37.
Preciso usar software específico?
Não. Pode começar com planilha estruturada, desde que seja útil, controlada e atualizada.
Posso criar ROPA sem mapa?
É possível, mas normalmente aumenta risco de omissões. O mapa fornece dados de entrada para o ROPA.
Fontes oficiais
Transforme orientação em implementação
O Manual de Conformidade com a LGPD no Brasil — Edição 2026 reúne guia prático, auditoria de 100 pontos, 16 planilhas e modelos de implementação e um roteiro estruturado de 30 dias.
Obter o Manual de Conformidade com a LGPD no Brasil