A LGPD - Lei Geral de Proteção de Dados trouxe consigo várias siglas e termos específicos. Muitos deles importados de outros países e legislações. Um deles é o ROPA (Record Of Processing Activities), adaptado no Brasil para Registros das Atividades de Tratamento. Um documento essencial para qualquer DPO, Encarregado de Dados.

Se você trabalha na área ou está em processo de adequação da sua empresa, esse artigo foi feito para te ajudar a entender melhor esse documento.

O ROPA (Record Of Processing Activities), nada mais é do que um documento que organiza as provas oficiais da empresa sobre:

• Como é feita a coleta de dados, seus processos e atividades;
• O que é feito com o dado, se há algum tratamento ou compartilhamento;
• Como o dado é excluído, se for o caso.

Ou seja, as perguntas e respostas essenciais em caso de consulta da ANPD - Autoridade Nacional de Proteção de Dados, à sua empresa. Abaixo falaremos melhor de cada um destes pontos.

Vale destacar que todos os documentos e processos mapeados pelo Encarregado de Dados da empresa são "vivos", em constante atualização e mudança. Um processo novo criado no departamento X pode alterar o ROPA, a Política de Privacidade e tantos outros controles.

Assim, independente do tamanho da sua empresa, os documentos devem sempre refletir a realidade e serem constantemente atualizados.

Pode ser que empresas menores não sintam tanto a necessidade ou complexidade de manter esse "Mapeamento dos fluxos" atualizados, afinal tudo é menor e com menos pessoas envolvidas. Agora, para uma empresa maior, já existem softwares que ajudam nesse controle de maneira mais automatizada, como a LGPDNOW, por exemplo.

ROPA (Record Of Processing Activities), traduzido pelo mercado brasileiro para Registros das Atividades de Tratamento, é um documento oficial das empresas, gerado por um sistema ou não, que registra todos os fluxos, processamentos e atividades envolvendo dados pessoais.

Nele, lista-se principalmente todas as finalidades e razões pela qual a empresa precisa daquele(s) dado para sua operação, embasamento jurídico (Base Legal), critérios de segurança, período de armazenamento/retenção do dado.

A resposta fácil é: depende.

O Data Mapping ou Inventário de Dados funciona como um mapa visual do fluxo de dados pessoais dentro do Agente de Tratamento, trazendo muito mais do que o ROPA, como mapas de sistema e transferências internacionais, parâmetros de adequação à ISO, NIST entre outros.

Já o ROPA foca nas atividades onde haja tratamento de dados. Ou seja, em uma empresa mais estruturada, pode acontecer de um Data Mapping conter alguns ROPAs como parte dele.

De qualquer maneira, o registro das atividades é parte essencial de ambos os documentos. A ótica e metodologia aplicada em cada um pode ser o seu diferencial.

De acordo com a ICO (Information Commissioner’s Office) um ROPA deve ter no mínimo:

• Nome e dados de contato de sua organização, seja ela um controlador ou um operador (e onde aplicável, o controlador conjunto, seu representante e o DPO);
• Os objetivos do processamento;
• Uma descrição das categorias de indivíduos e dos dados pessoais;
• As categorias de destinatários dos dados pessoais;
• Os detalhes das transferências para países terceiros, incluindo um registro das salvaguardas do mecanismo de transferência em vigor;
• Os horários de retenção / armazenamento;
• Uma descrição das medidas de segurança técnica e organizacional em vigor.
• Se você tem um registro interno de todas as atividades de processamento realizadas por qualquer processador em nome de sua organização.

• Você já considerou a eficácia de suas medidas de responsabilização?
• O pessoal diria que você tem processos eficazes para manter o registro atualizado, preciso e garantir que os dados sejam minimizados?
• O pessoal poderia explicar suas responsabilidades e como as executam na prática?

Ainda, de acordo com a ICO (Information Commissioner’s Office) O ROPA também inclui, ou faz links para, a documentação que cobre:

• Informações necessárias para os avisos de privacidade, tais como a base legal para o processamento e a fonte dos dados pessoais;
• Registros de consentimento;
• Contratos do controlador-processador;
• A localização dos dados pessoais;
• Relatórios da DPIA;
• Registros de violações de dados pessoais;
• Informações necessárias para o processamento de dados de categoria especial ou dados de condenações penais e infrações nos termos da Lei de Proteção de Dados de 2018 (DPA 2018); e
• Documentos de política de retenção e exclusão.

• Você já considerou a eficácia de suas medidas de responsabilização?
• O pessoal entende como acessar outros documentos relevantes vinculados ao ROPA?
• É fácil para o pessoal acessar a documentação relevante da ROPA?
• O pessoal poderia explicar este processo e como ele impacta a sua função?

Um bom exemplo para quem está começando, ou tem uma empresa menor é utilizar planilhas para esse controle e organização.

Além disso, no site do gov.br existem diversos guias e templates para te ajudar na adequação à LGPD.

Para empresas maiores que precisam estruturar melhor esses processos uma plataforma de gerenciamento da privacidade e mapeamento de dados pode ajudar muito!

Por isso indicamos que você marque com o pessoal da LGPDNOW para uma conversa, sem compromisso, e ver como eles podem te ajudar no desenvolvimento do seu ROPA para LGPD.

Pois, templates e modelos importados de outras empresas ajuda muito. Mas, é essencial que você consiga traduzir exatamente a realidade da sua empresa com clareza e objetividade.

Todas as vezes que nos deparamos com a complexidade de justificar e embasar um a coleta de um dado, re-pensarmos a sua real necessidade. Afinal, devemos sempre prezar pela privacidade ao longo de todos os processos, como nos ensina o Privacy by Design

Conforme as recomendações da ICO listadas acima a Plataforma para LGPD da AdOpt te ajuda a mapear e organizar:

• Banner de Cookies dentro dos padrões da ICO, LGPD, GDPR, CCPA.
• Registros de todos os consentimentos por escrito; (organizado por usuário com data, hora e detalhes de cada consentimento.)
• API de Integração com suas demais plataformas para enriquecer os dados coletados com as informações de consentimento registradas.
• Entre outros, a depender do tamanho da sua empresa.

Estamos aqui para te ajudar!

Então, neste link a nossa agenda aberta para discutirmos os seus desafios de adequação do seu negócio.