Um cadastro é criado.
Depois, alguém consulta.
Outra área recebe parte das informações.
Um sistema envia dados por uma integração.
Uma cópia permanece em um documento.
Meses depois, o processo muda.
É assim que registros começam a percorrer caminhos que nem sempre aparecem quando alguém olha apenas para a tela do sistema principal.
Conhecer esse percurso é uma das bases da governança de privacidade.
E é justamente aqui que entram mapeamento, ROPA e RIPD.
O ponto de partida deve ser o processo
Imagine uma matrícula escolar.
O responsável fornece informações próprias e da criança.
Parte entra no sistema da Educação.
Ao longo do ano, novos registros são produzidos.
Determinados dados podem aparecer em atividades relacionadas a transporte, alimentação ou outros serviços.
O tratamento não termina no momento do cadastro.
Ele acompanha o processo inteiro.
O mesmo raciocínio vale para um prontuário, benefício social, cadastro tributário, registro de servidor ou solicitação digital.
Mapear significa descobrir essas etapas.
Saber onde o dado está não basta
A localização é somente uma das informações necessárias.
Uma documentação útil precisa explicar o que acontece com aquele registro.
Qual dado está sendo utilizado?
É preciso identificar as categorias envolvidas.
Quem é o titular?
Cidadãos, servidores, pacientes, alunos e responsáveis são alguns exemplos.
Por que o tratamento acontece?
A finalidade explica a razão daquela utilização.
Qual hipótese legal se aplica?
Esse ponto conecta a operação à LGPD.
Quem possui acesso?
Permissões ajudam a entender responsabilidade e exposição.
Existe compartilhamento?
A informação pode circular entre áreas, órgãos e prestadores.
Existe um prazo de manutenção?
Retenção e descarte também fazem parte do ciclo.
ROPA organiza o registro das operações de tratamento
ROPA é a sigla utilizada para representar o registro das atividades ou operações de tratamento.
Ele permite organizar as informações identificadas durante o levantamento.
Em vez de registrar apenas que determinado setor “possui dados pessoais”, a administração passa a documentar finalidade, categorias, titulares, sistemas, compartilhamentos e outros elementos relacionados à operação.
A LGPD determina que controlador e operador mantenham registro das atividades de tratamento realizadas.
Consultar a Lei Geral de Proteção de Dados Pessoais
O registro precisa acompanhar as mudanças
Um ROPA pode estar tecnicamente completo e, meses depois, já não representar o processo.
Isso acontece porque a administração muda.
Um formulário recebe outro campo.
Uma integração começa a enviar mais informações.
Um fornecedor é substituído.
Uma rotina manual se transforma em serviço eletrônico.
Se a documentação continua igual, ela passa a contar uma história antiga.
Atualização faz parte do mapeamento.
RIPD entra quando o risco exige uma análise mais detalhada
O Relatório de Impacto à Proteção de Dados Pessoais possui outra finalidade.
Segundo a ANPD, o RIPD documenta processos capazes de gerar alto risco aos princípios de proteção de dados, às liberdades civis ou aos direitos fundamentais dos titulares.
O relatório também apresenta medidas, salvaguardas e mecanismos voltados à redução desses riscos.
A Autoridade recomenda sua elaboração em contextos de maior risco e, preferencialmente, antes do início da operação.
Consultar as orientações oficiais da ANPD sobre RIPD
Essa antecipação permite identificar problemas antes que o tratamento esteja incorporado à rotina.
Todo processo precisa de RIPD?
Não.
Essa diferenciação evita produção documental sem finalidade.
Uma operação simples possui características diferentes de um sistema que utiliza biometria, dados sensíveis em larga escala ou decisões automatizadas.
A análise depende do risco.
A ANPD considera fatores relacionados a larga escala, grupos vulneráveis, tecnologias emergentes e inovadoras, informações sensíveis e decisões exclusivamente automatizadas, conforme as características do tratamento.
O relatório precisa existir quando o caso justificar esse aprofundamento ou houver exigência específica da Autoridade.
Um bom RIPD deve permitir entender a decisão tomada
O documento pode reunir informações como:
- agentes envolvidos;
- sistemas utilizados;
- categorias de titulares;
- tipos de dados pessoais;
- presença de informações sensíveis;
- origem dos registros;
- finalidade;
- hipótese legal;
- compartilhamentos;
- armazenamento;
- riscos identificados;
- controles previstos.
O objetivo é conseguir compreender o tratamento e as razões que sustentaram determinadas escolhas.
Um formulário preenchido apenas para completar uma etapa administrativa dificilmente entrega o mesmo valor.
Então qual é a diferença entre mapeamento, ROPA e RIPD?
O mapeamento permite descobrir os fluxos.
O ROPA registra as atividades de tratamento identificadas.
O RIPD aprofunda situações em que o risco merece uma avaliação específica.
Eles se conectam, mas não têm a mesma função.
Essa organização transforma uma lista de sistemas em uma visão sobre como as informações percorrem a cidade.
A visão precisa ser ampla sem misturar processos diferentes
Saúde possui características próprias.
Educação também.
Assistência Social, RH, Tributos e serviços digitais utilizam informações de maneiras distintas.
Uma estrutura de LGPD precisa manter essas particularidades e, ao mesmo tempo, permitir uma leitura geral.
A solução do Grupo Assessor reúne Mapeamento de Processos e Diagnósticos, ROPA, RIPD, relatórios gerais e de consentimentos e Painel da Privacidade.
Conheça a solução para organizar mapeamentos, ROPA, RIPD e a gestão da LGPD
Com os registros concentrados, a administração consegue acompanhar diferentes áreas dentro do mesmo programa de governança.
Esse mapa passa a ser ainda mais valioso quando a cidade começa a usar IA
Uma aplicação de inteligência artificial gera novas perguntas.
Qual base será utilizada?
Há informações pessoais?
Existem dados sensíveis?
A finalidade é compatível?
A ferramenta toma alguma decisão?
Que impacto pode produzir?
Sem conhecer o tratamento anterior, essas questões ficam mais difíceis de responder.
Por isso, o mapeamento também prepara a administração para uma discussão que está crescendo rapidamente.
Leia também: A cidade começou a usar IA. Os dados estão prontos para isso?
Lei Geral de Proteção de Dados Pessoais, Lei nº 13.709/2018
Relatório de Impacto à Proteção de Dados Pessoais, ANPD
