Registro de Atividades de Tratamento de Dados Pessoais

Do que se trata o Registro de Atividades de Tratamento de Dados Pessoais?

O Registro de Atividades de Tratamento de Dados Pessoais (ROPA) é um registro obrigatório para empresas e instituições que tratam dados pessoais, conforme a Lei n.º13.709/2018 (Lei Geral de Proteção de Dados — LGPD). 

O objetivo do ROPA é documentar e controlar todas as atividades de tratamento de dados pessoais realizadas pela empresa, incluindo a coleta, armazenamento, uso, compartilhamento e exclusão de informações pessoais. O ROPA deve ser mantido atualizado, com a finalidade de garantir que a organização esteja cumprindo com as obrigações de proteção de dados previstas na LGPD.

O registro de atividades de tratamento de dados pessoais é uma obrigação da LGPD. Além disso, a realização do inventário pode trazer vantagens como a organização das atividades que envolvem dados pessoais, a identificação de possíveis melhorias e a adequação à legislação. Com o registro, a empresa poderá estabelecer as bases legais para o tratamento de dados pessoais e determinar quais atividades precisarão do consentimento dos titulares de dados.

Qual o fundamento do ROPA na LGPD?

O fundamento do ROPA na LGPD está disposto no artigo 37, ao dispor: 

          Art. 37. O controlador e ooperador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse.

A lei exige que as empresas mantenham um registro das operações de tratamento de dados pessoais, incluindo informações sobre a finalidade, as categorias de dados envolvidas e as medidas de segurança implementadas. O objetivo é aumentar a transparência e a responsabilidade das empresas na manipulação de dados pessoais.

Qual é a relação do ROPA e a Autoridade Nacional de Proteção de Dados?

O ROPA e a Autoridade Nacional de Proteção de Dados (ANPD) estão relacionados na medida em que a ANPD é a autoridade responsável por fiscalizar e aplicar as regras da LGPD, incluindo o registro de operações de tratamento de dados pessoais.

A ANPD pode solicitar das empresas o ROPA a qualquer momento, a fim de verificar se a empresa está cumprindo as obrigações exigidas pela LGPD. Além disso, a ANPD pode usar o ROPA para identificar possíveis riscos e vulnerabilidades no tratamento de dados pessoais, e para fiscalizar a conformidade da empresa com as regras da LGPD.

Em caso de descumprimento da LGPD, a ANPD pode impor sanções à empresa, incluindo multas e a obrigação de corrigir as irregularidades identificadas. Por isso, é importante que a empresa mantenha o ROPA atualizado e à disposição da ANPD.

Qual a importância da elaboração do ROPA?

A elaboração do ROPA (Registro de Operações de Tratamento de Dados Pessoais) é importante porque:

• Demonstra transparência: O registro ajuda a mostrar às pessoas cujos dados são tratados que a empresa está seguindo as regras estabelecidas pela LGPD (Lei Geral de Proteção de Dados Pessoais).
• Melhora a governança de dados: O registro ajuda a garantir que a empresa tenha um controle efetivo sobre como está tratando os dados pessoais de seus clientes, parceiros e funcionários.
• Facilita a conformidade: O registro pode ser usado como referência para verificar se a empresa está cumprindo as obrigações exigidas pela LGPD e pode ser apresentado às autoridades responsáveis pela fiscalização da lei
• Identifica riscos: O registro pode ajudar a identificar potenciais riscos na forma como a empresa está tratando dados pessoais, permitindo que medidas sejam tomadas para corrigir esses riscos.

Em resumo, a elaboração do ROPA é importante porque ajuda a garantir a conformidade com a LGPD e melhora a governança e segurança dos dados pessoais tratados pela empresa.

Como deve ser um ROPA?

De acordo com a recomendação do Governo Federal, o registro do ROPA deve conter pelo menos as seguintes informações essenciais:

• Identificação dos agentes de tratamento e do encarregado; 
• Objetivo do tratamento de dados pessoais; 
• Fundamento legal, incluindo as hipóteses previstas nos artigos 7º e 11 da LGPD; 
• Tipos de dados pessoais tratados e categorias de titulares; 
• Período de retenção dos dados; 
• Instituições com as quais os dados são compartilhados; 
• Transferência internacional de dados, conforme previsto no artigo 33 da LGPD;
• Medidas de segurança atualmente implementadas.

Trata-se de informações mínimas que deverão constar, sem prejuízo de informações adicionais conforme o caso.

Conclusão

A elaboração do Registro de Atividades de Processamento de Dados Pessoais é crucial para assegurar a aderência à Lei Geral de Proteção de Dados e melhorar a gestão e proteção dos dados pessoais tratados pela empresa.

Para garantir a conformidade com a LGPD, é importante manter um registro atualizado das atividades de tratamento de dados pessoais, independentemente do tamanho da empresa. 

Algumas empresas podem optar por fazer esse registro manualmente, enquanto outras podem investir em automação para tornar o processo mais eficiente. O importante é lembrar que o registro é um documento dinâmico e precisa ser atualizado constantemente, à medida que a empresa evolui e suas atividades de tratamento de dados mudam.

Conclui-se que é recomendável contratar uma assessoria jurídica especializada em consultoria para adequação à LGPD e auxílio na elaboração do ROPA. 

Ao contar com uma assessoria jurídica, a empresa pode se assegurar de que está atuando de acordo com as normas e regulamentos exigidos pela legislação, minimizando riscos legais e protegendo a privacidade dos titulares dos dados.