O Registro de Operações de Tratamento de Dados Pessoais (ROPA, na sigla em inglês)  funciona como um registro de responsabilidade sobre os dados pessoais que foram coletados por uma empresa. Esse documento é muito importante para garantir o cumprimento da Lei Geral de Proteção de Dados (LGPD).

Neste artigo, vamos explicar o que é ROPA, qual a diferença entre ele e o mapeamento de dados, por que é importante tê-lo na empresa, quais seus principais itens e como ele deve ser elaborado. Leia e entenda!

O que é o ROPA?

O ROPA é a sigla em inglês do termo Registro de Operações de Tratamento de Dados Pessoais (Record Of Processing Activities). Trata-se de um registro de responsabilidade do controlador, ou seja, daquele que detém e decide sobre os dados pessoais que foram coletados. Traduzido pelo mercado brasileiro para o termo Registros das Atividades de Tratamento, o ROPA é um documento oficial das empresas que registra todos os fluxos, processamentos e atividades envolvendo esses dados.

Esse documento permite à organização avaliar, identificar e compreender como os dados pessoais são coletados, utilizados, armazenados e descartados, além de fornecer informações sobre as medidas de segurança adotadas para protegê-los. Ele deve ser atualizado sempre que houver mudanças nas atividades de tratamento de dados.

Qual é a diferença entre ROPA e Mapeamento de Dados?

O Mapeamento de Dados (tambpem conhecido como Data Mapping) é uma das etapas de elaboração do ROPA. Trata-se de um processo que visa mostrar a entrada dos dados, quem os forneceu, por onde eles passam dentro da empresa, como são armazenados e onde são descartados.

A diferença é que, enquanto o mapeamento registra a trajetória completa dos dados, o ROPA também inclui informações sobre os responsáveis pelo tratamento e as medidas de segurança adotadas para reduzir o risco de vazamento.

Por que preciso ter o ROPA na minha empresa?

O ROPA é um importante documento em relação à Lei Geral de Proteção de Dados (LGPD). Pode ser necessário o envio deste registro à Autoridade Nacional de Proteção de Dados (ANPD).

Ele oferece vantagens em relação à organização empresarial, já que ajuda a mapear as atividades, identificar  e eliminar dados desnecessários.

Quais os principais itens de um ROPA?

Na elaboração de um ROPA, alguns elementos são muito importantes. Confira alguns dos principais:

• detalhes de contato de todas as partes envolvidas no tratamento de dados;
• especificação clara dos propósitos pelos quais os dados pessoais estão sendo processados;
• descrição detalhada de categorias e tipos de dados pessoais que estão sendo coletados e processados;
• detalhes sobre qualquer transferência de dados pessoais para fora do país e as medidas adotadas para garantir a segurança deles;
• período pelo qual os dados serão mantidos e informações sobre quando serão excluídos;
• descrição das medidas de segurança para prevenir violações.

Vale destacar que é muito importante manter todos os dados sempre atualizados. Isso significa que não há a finalização do ROPA, sendo necessário realizar atualizações periódicas.

Como deve ser elaborado um ROPA?

De acordo com a Information Commissioner’s Office (ICO), um ROPA deve ter no mínimo os elementos abaixo:

Dados da organização

Nome e dados de contato de sua organização.

Objetivos e descrição

É preciso explicitar os objetivos do processamento e fazer uma descrição das categorias de indivíduos e dos dados pessoais.

Detalhes

Registrar os detalhes das transferências para países terceiros, incluindo um registro das salvaguardas do mecanismo de transferência em vigor.

Temporalidade

Deixar claro no documento os períodos de armazenamento.

Segurança

É preciso que haja uma descrição das medidas de segurança técnica e organizacional em vigor.

Modelo de Registro de Operações de Tratamento de Dados Pessoais

Em junho de 2023, a ANPD publicou o modelo de registro simplificado das operações de tratamento de dados pessoais para Agentes de Tratamento de Pequeno Porte (ATPP).

Se enquadram nessa categoria microempresas, empresas de pequeno porte, startups e pessoas jurídicas de direito privado — inclusive sem fins lucrativos, nos termos da legislação vigente. Também estão inclusas como ATPP pessoas naturais e entes privados despersonalizados que realizam tratamento de dados pessoais, assumindo obrigações típicas de controlador ou de operador.

Você pode acessar o modelo neste link.

Neste artigo, explicamos o que é ROPA. Também abordamos a diferença para com o mapeamento de dados, por que é importante tê-lo na empresa, quais seus principais itens e elaboração.

Precisa de ajuda para criar um ROPA eficiente? Fale com a Ikhon e descubra como garantir a conformidade da sua empresa com a LGPD!