Como montar o registro das operações de tratamento de dados

O que o art. 37 exige do controlador e do operador

O dispositivo determina que controlador e operador mantenham registro das operações de tratamento que realizarem, especialmente quando o tratamento se basear em legítimo interesse. A lei não fixa um formulário único; cabe à empresa organizar as informações de modo que permitam identificar, para cada operação, a finalidade, os dados envolvidos e a base legal aplicada.

Campos mínimos que o inventário deve reunir

• Identificação da atividade de tratamento (ex.: cadastro de clientes, folha de pagamento, envio de marketing);
• categorias de dados pessoais tratados, indicando se há dados sensíveis;
• finalidade específica de cada tratamento;
• base legal utilizada;
• prazo de retenção e critério de eliminação;
• terceiros com quem o dado é compartilhado, quando houver.

A versão simplificada para agente de pequeno porte

Existe respaldo legal para essa simplificação: o inciso XVIII do art. 55-J da LGPD autoriza a ANPD a editar procedimento diferenciado para pequenos negócios, e foi nesse espaço que o órgão regulamentou um modelo de registro mais enxuto para agentes enquadrados como pequeno porte, priorizando as informações essenciais sobre finalidade e base legal, sem exigir o mesmo nível de detalhamento técnico esperado de operações de grande escala.

Como manter o registro atualizado sem virar peso morto

O registro perde valor quando é feito uma única vez e nunca revisado. Vale associar a atualização a eventos concretos: contratação de novo fornecedor que acesse dados, lançamento de produto que colete informação nova, ou mudança na finalidade de um cadastro já existente. Revisão anual mínima, mesmo sem mudanças aparentes, evita que o documento fique desatualizado sem que ninguém perceba.

Um exemplo de inventário aplicado a um negócio de serviços

Uma agência de marketing digital listou, em seu registro, quatro operações: cadastro de leads captados por formulário do site, folha de pagamento de seis funcionários, envio de newsletter para clientes ativos e compartilhamento de métricas de campanha com plataformas de anúncio. Para cada uma, anotou a base legal usada, o prazo de guarda e se havia compartilhamento com terceiro — o que revelou, na prática, que a newsletter incluía contatos que nunca haviam autorizado recebimento, ponto corrigido logo após o mapeamento.

Quem dentro da empresa deve manter o documento

Não é preciso um departamento de compliance para isso: em negócios pequenos, costuma bastar que a pessoa responsável pela administração ou pelo financeiro mantenha o arquivo atualizado, com apoio pontual de quem cuida de tecnologia quando o tratamento envolve sistemas mais técnicos, como CRM ou ferramentas de automação de marketing. Delegar a tarefa a uma única pessoa, com data de revisão marcada no calendário da empresa, evita que o registro fique órfão quando alguém da equipe muda de função.