Resposta rápida: a LGPD exige ROPA?
O Art. 37 exige que controlador e operador mantenham registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado em legítimo interesse. A lei não usa literalmente a sigla “ROPA”, mas o termo é amplamente utilizado para designar esse registro.
A LGPD não traz um rol universal de campos obrigatórios para todas as empresas. O conteúdo deve ser suficiente para demonstrar e governar as operações.
Principais conclusões
- Art. 37 alcança controladores e operadores.
- “Especialmente em legítimo interesse” não significa “somente legítimo interesse”.
- ROPA não é apenas cópia do GDPR Art. 30.
- A ANPD publicou modelo simplificado para agentes de pequeno porte elegíveis.
- Pequena empresa não é automaticamente elegível ao modelo simplificado.
- O ROPA deve conectar finalidade, base, papéis, fornecedores, transferências, retenção, direitos e risco.
O que o Art. 37 realmente exige
O texto legal determina manutenção de registro das operações de tratamento realizadas por controlador e operador, especialmente quando fundamentadas em legítimo interesse.
Isso oferece base clara para a organização manter inventário estruturado, ainda que o formato não seja prescrito para todos os agentes.
“ROPA” é termo oficial da LGPD?
Não no texto do Art. 37. A lei fala em registro das operações de tratamento de dados pessoais. ROPA vem de “Record of Processing Activities” e é útil como linguagem operacional.
Evite afirmar que a LGPD “tem Art. 30 igual ao GDPR”. O fundamento brasileiro é próprio.
Modelo simplificado da ANPD para agentes de pequeno porte
A Resolução 2/2022 permite que agentes de tratamento de pequeno porte elegíveis cumpram o Art. 37 de forma simplificada. A ANPD publicou modelo oficial.
Os oito grupos do modelo simplificado
- informações de contato;
- categorias de titulares;
- dados pessoais;
- compartilhamento de dados;
- medidas de segurança;
- período de armazenamento;
- processo, finalidade e base legal;
- observações.
A ANPD considera esses campos essenciais para permitir fiscalização de informações básicas.
Toda empresa pequena pode usar?
Não. A Resolução 2 exclui do tratamento diferenciado determinados agentes, inclusive quem realiza tratamento de alto risco, excede limites de receita ou integra grupo econômico acima dos critérios, conforme a regra aplicável.
O alto risco combina pelo menos um critério geral com um específico, incluindo elementos como larga escala, impacto significativo em direitos, tecnologias emergentes, vigilância de áreas públicas, decisões exclusivamente automatizadas/perfilamento e tratamento de sensíveis ou dados de crianças, adolescentes ou idosos.
O que um ROPA completo deve conter?
Uma estrutura operacional robusta pode incluir:
- nome da atividade;
- owner;
- finalidade;
- categorias de titulares;
- categorias de dados;
- dados sensíveis;
- origem;
- base legal;
- papel controlador/operador;
- destinatários internos;
- fornecedores e suboperadores;
- países;
- mecanismo de transferência;
- retenção;
- segurança relevante;
- direitos aplicáveis e identificador de busca;
- profiling/automação;
- risco/RIPD;
- data e gatilho de revisão.
Essa é uma estrutura operacional, não um rol estatutário universal.
Como construir um ROPA em 10 passos
1. Comece pelo mapa de dados
O ROPA deve refletir realidade descoberta em processos e sistemas.
2. Defina atividade no nível correto
“Dados de clientes” é amplo demais. Prefira “processamento de pedidos”, “suporte”, “marketing por e-mail” etc.
3. Registre titulares e categorias de dados
Inclua dados sensíveis quando existirem.
4. Escreva finalidade antes da base
A base é escolhida para uma finalidade; não o contrário.
5. Classifique controlador e operador
Papel por atividade, não por empresa inteira.
6. Conecte fornecedores, destinatários e transferências
Liste quem recebe, em qual país e com qual mecanismo quando aplicável.
7. Defina retenção e fim de vida
Use gatilho, prazo e destino final.
8. Conecte direitos e segurança
Como localizar dados e quais controles protegem a atividade?
9. Sinalize risco, profiling e necessidade de RIPD
Use flags para priorização.
10. Atribua owner e gatilho de revisão
Novo fornecedor, país, finalidade, produto ou tecnologia devem acionar atualização.
ROPA do controlador vs ROPA do operador
O operador não deve simplesmente copiar o ROPA do controlador. Seu registro deve refletir o tratamento que ele próprio executa: sistemas, subprocessadores, regiões, acessos, medidas e retenção sob sua responsabilidade.
Exemplo:
- controlador registra “suporte ao cliente” com fornecedor SaaS;
- operador registra o tratamento de suporte, cloud, logs, suboperadores, localização e exclusão dentro de sua operação.
Legítimo interesse e ROPA
O Art. 37 enfatiza legítimo interesse. Uma atividade com essa base deve ter conexão clara com o teste de balanceamento, finalidade, necessidade e salvaguardas.
Transferências internacionais
Inclua pelo menos país, exportador/importador, fornecedor e mecanismo do Art. 33. “Cloud global” é insuficiente.
Retenção
ROPA e cronograma de retenção devem conversar. Se o ROPA diz cinco anos e o sistema mantém indefinidamente, o documento está desconectado.
Direitos
Inclua identificador de busca e sistemas afetados. Isso ajuda a transformar o ROPA em ferramenta de execução.
Exemplo de entrada: SaaS dos EUA servindo usuários brasileiros
| Campo | Exemplo |
|---|---|
| Atividade | Hospedagem de conta de usuário |
| Titular | Usuário final do cliente |
| Dados | nome, e-mail, ID, conteúdo e logs |
| Finalidade | fornecer funcionalidade contratada |
| Papel | operador para conteúdo sob instrução |
| Fornecedores | cloud + observabilidade |
| Países | EUA e região de hosting |
| Transferência | mecanismo do Art. 33 documentado |
| Retenção | contrato + janela de exclusão |
| Busca | e-mail/account ID |
Erros comuns
“ROPA só é obrigatório para legítimo interesse.”
Não. O Art. 37 diz especialmente, não exclusivamente.
“Só controladores precisam.”
Errado. Operadores também.
“Copiamos template GDPR, então Brasil está coberto.”
Pode ajudar, mas precisa ser adaptado.
“Temos uma linha chamada Customer Data.”
Granularidade insuficiente.
“Listamos fornecedores, mas não países.”
Isso dificulta transferência internacional.
“Atualizamos uma vez por ano.”
Não há frequência universal; use gatilhos de mudança.
“Somos startup, então modelo simplificado é automático.”
Não.
Modelo de governança em três camadas
- Data map: descoberta e fluxo.
- ROPA: registro estruturado por atividade.
- Evidências associadas: base legal, LIA, DPA, transfer review, retention, security e RIPD.
Perguntas frequentes
Existe formulário obrigatório da ANPD para empresas grandes?
Não há um único formulário universal obrigatório publicado para todos os agentes.
Operador estrangeiro precisa registrar operações?
Se a LGPD se aplica à operação, Art. 37 deve ser analisado independentemente da sede.
Preciso revisar ROPA anualmente?
Não existe regra universal de anualidade. Revisões periódicas e gatilhos de mudança são práticas mais úteis.
Fontes oficiais
Transforme orientação em implementação
O Manual de Conformidade com a LGPD no Brasil — Edição 2026 reúne guia prático, auditoria de 100 pontos, 16 planilhas e modelos de implementação e um roteiro estruturado de 30 dias.
Obter o Manual de Conformidade com a LGPD no Brasil