Texto da norma
O controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem (art. 37 da LGPD). Deve incluir: nome e dados de contato do controlador; finalidades do tratamento; descrição das categorias de titulares e dados; compartilhamentos; medidas de segurança; prazo de retenção. LGPD, cláusula 5.1 · texto integral oficial em ANPD — Autoridade Nacional de Proteção de Dados.
Guia do Benjamin · IA do facilita.ia
O que isso quer dizer na prática?
A LGPD exige que a empresa anote e organize tudo o que faz com dados de pessoas (clientes, funcionários, fornecedores). Não é só "guardar", é registrar por escrito: por que usamos esses dados, onde eles estão, quem pode acessar, quando apagamos e como protegemos. Imagine um "diário" detalhado das movimentações de dados — como um controle de estoque, mas para informações pessoais.
Como atender (passo a passo)
- Listar todos os lugares onde dados pessoais aparecem Ex: planilha de clientes do Comercial, sistema de folha do RH, cadastro de fornecedores no ERP, gravações de ligações da central de atendimento.
- Preencher um modelo padrão de ROPA (Registro de Operações) Para cada item da lista, responder:
- Qual o motivo? (Ex: "Enviar proposta comercial", "Pagar salário").
- Que tipos de dados? (Nome, CPF, e-mail, localização, etc.).
- Com quem compartilhamos? (Contabilidade, banco, software de e-mail marketing).
- Como protegemos? (Senhas, criptografia, backup).
- Quando deletamos? (Ex: "Após 5 anos da demissão" ou "6 meses após encerrar contrato").
- Atualizar sempre que algo mudar Novo sistema? Mudou o prazo de guarda? Adicionou um parceiro que recebe dados? Atualizar o ROPA na mesma hora.
- Guardar o registro em lugar seguro e acessível Pode ser uma planilha controlada, um sistema específico (ex: OneTrust, Privacidade LGPD) ou até um documento no SharePoint — desde que só pessoas autorizadas editem.
- Treinar quem mexe com dados Ensine as equipes (RH, TI, Atendimento) a:
- Reconhecer dados pessoais (até um "nome + telefone" em um e-mail conta).
- Avisar a Qualidade/Compliance se criarem uma nova planilha ou processo com dados.
O que auditor procura como evidência
- O ROPA preenchido e atualizado (mesmo que em rascunho, desde que completo).
- Comprovantes de que as medidas de segurança existem (ex: print de configuração de senha no sistema, contrato com empresa de backup).
- Registros de treinamentos (lista de presença, e-mail de convite para a palestra de LGPD).
- Provas de que dados antigos são apagados (ex: log de exclusão de cadastros após 1 ano de inatividade).
Erros comuns
- Acharem que "dados pessoais" são só CPF e RG: Endereço, placa do carro, foto, IP do computador e até "preferência de produto" (ex: "cliente vegano") contam.
- Esquecer de registrar compartilhamentos "invisíveis": Ex: quando o TI usa um software de suporte que acessa a tela do usuário, ou quando o Marketing exporta lista de e-mails para o Mailchimp.
- Deixar o ROPA engavetado: O registro deve ser vivo — se o Comercial começar a usar um novo CRM, o ROPA precisa refletir isso em até 48h.
Artefatos sugeridos para evidência auditável
Tipos de documento, processo, registro ou indicador que tipicamente sustentam essa cláusula em auditoria. Cada um é gerado e rastreado dentro do facilita.ia.
| Tipo | Artefato | Por quê |
|---|---|---|
| Document | Registro de Atividades de Tratamento de Dados Pessoais | Documenta as operações de tratamento conforme exigido pela LGPD. |
| Business Process | Fluxo de Tratamento de Dados Pessoais | Descreve as etapas e responsabilidades no tratamento de dados pessoais. |
| Risk Register | Registro de Riscos de Proteção de Dados | Identifica e gerencia riscos associados ao tratamento de dados pessoais. |
| Audit | Auditoria de Conformidade com a LGPD | Verifica a conformidade das operações de tratamento de dados com a LGPD. |
| Kpi | Indicadores de Conformidade com a LGPD | Monitora a eficácia das medidas de proteção de dados implementadas. |
Como o facilita.ia aplica essa cláusula ao contexto da sua empresa
O Benjamin contextualiza esta orientação para a sua operação, cruza a evidência com outras normas via Cross Intelligence e mantém o rastreamento auditável.
Diagnóstico gratuito Ver comparativos