A [LGPD - Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) trouxe consigo várias siglas e termos específicos. Muitos deles importados de outros países e legislações. Um deles é o ROPA (_Record Of Processing Activities_), adaptado no Brasil para Registros das Atividades de Tratamento. Um documento essencial para qualquer DPO, Encarregado de Dados.

Se você trabalha na área ou está em processo de adequação da sua empresa, esse artigo foi feito para te ajudar a entender melhor esse documento.
 
O ROPA (_Record Of Processing Activities_), nada mais é do que um documento que organiza as provas oficiais da empresa sobre:
- **Como é feita a coleta de dados**, seus processos e atividades; 
- **O que é feito com o dado**, se há algum tratamento ou compartilhamento;
- **Como o dado é excluído**, se for o caso.

Ou seja, as perguntas e respostas essenciais em caso de consulta da ANPD - Autoridade Nacional de Proteção de Dados, à sua empresa. Abaixo falaremos melhor de cada um destes pontos.

Vale destacar que todos os documentos e processos mapeados pelo Encarregado de Dados da empresa são "vivos", em constante atualização e mudança. Um processo novo criado no departamento X pode alterar o ROPA, a [Política de Privacidade](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/) e tantos outros controles.

Assim, independente do tamanho da sua empresa, os documentos devem sempre refletir a realidade e serem constantemente atualizados.

Pode ser que empresas menores não sintam tanto a necessidade ou complexidade de manter esse "Mapeamento dos fluxos" atualizados, afinal tudo é menor e com menos pessoas envolvidas. Agora, para uma empresa maior, já existem softwares que ajudam nesse controle de maneira mais automatizada, como a [LGPDNOW](http://lgpdnow.com.br/), por exemplo.

## O que é o ROPA?
 
ROPA (_Record Of Processing Activities_), traduzido pelo mercado brasileiro para Registros das Atividades de Tratamento, é um documento oficial das empresas, gerado por um sistema ou não, que registra todos os fluxos, processamentos e atividades envolvendo dados pessoais. 

Nele, lista-se principalmente todas as finalidades e razões pela qual a empresa precisa daquele(s) dado para sua operação, embasamento jurídico ([Base Legal](https://goadopt.io/blog/bases-legais-da-lgpd/)), critérios de segurança, período de armazenamento/retenção do dado.

## ROPA é a mesma coisa que Data Mapping?
 
A resposta fácil é: _depende_.

O [Data Mapping ou Inventário de Dados ](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)funciona como um mapa visual do fluxo de dados pessoais dentro do Agente de Tratamento, trazendo muito mais do que o ROPA, como mapas de sistema e transferências internacionais, parâmetros de adequação à ISO, NIST entre outros.

Já o ROPA foca nas atividades onde haja tratamento de dados. Ou seja, em uma empresa mais estruturada, pode acontecer de um Data Mapping conter alguns ROPAs como parte dele.

De qualquer maneira, o registro das atividades é parte essencial de ambos os documentos. A ótica e metodologia aplicada em cada um pode ser o seu diferencial.

## Como deve ser um ROPA?

De acordo com a [ICO (Information Commissioner’s Office) um ROPA deve ter no mínimo:](https://ico.org.uk/for-organisations/accountability-framework/records-of-processing-and-lawful-basis/#requirements)

- Nome e dados de contato de sua organização, seja ela um controlador ou um operador (e onde aplicável, o controlador conjunto, seu representante e o DPO);
- Os objetivos do processamento;
- Uma descrição das categorias de indivíduos e dos dados pessoais;
- As categorias de destinatários dos dados pessoais;
- Os detalhes das transferências para países terceiros, incluindo um registro das salvaguardas do mecanismo de transferência em vigor;
- Os horários de retenção / armazenamento;
- Uma descrição das medidas de segurança técnica e organizacional em vigor.
- Se você tem um registro interno de todas as atividades de processamento realizadas por qualquer processador em nome de sua organização.

**### Perguntas que o ROPA deverá responder:**

- Você já considerou a eficácia de suas medidas de responsabilização?
- O pessoal diria que você tem processos eficazes para manter o registro atualizado, preciso e garantir que os dados sejam minimizados?
- O pessoal poderia explicar suas responsabilidades e como as executam na prática?


## Boas práticas para um bom ROPA.

Ainda, de acordo com a [ICO (Information Commissioner’s Office)](https://ico.org.uk/for-organisations/accountability-framework/records-of-processing-and-lawful-basis/#requirements) O ROPA também inclui, ou faz links para, a documentação que cobre:

- Informações necessárias para os avisos de privacidade, tais como a base legal para o processamento e a fonte dos dados pessoais;
- Registros de consentimento;
- Contratos do controlador-processador;
- A localização dos dados pessoais;
- Relatórios da DPIA;
- Registros de violações de dados pessoais;
- Informações necessárias para o processamento de dados de categoria especial ou dados de condenações penais e infrações nos termos da Lei de Proteção de Dados de 2018 (DPA 2018); e
- Documentos de política de retenção e exclusão.

### **Questionamento para a criação do seu ROPA:**

- Você já considerou a eficácia de suas medidas de responsabilização?
- O pessoal entende como acessar outros documentos relevantes vinculados ao ROPA?
- É fácil para o pessoal acessar a documentação relevante da ROPA?
- O pessoal poderia explicar este processo e como ele impacta a sua função?


## Como fazer um ROPA para LGPD?
Um bom exemplo para quem está começando, ou tem uma empresa menor é utilizar planilhas para esse controle e organização.

Além disso, no site do [gov.br existem diversos guias e templates para te ajudar na adequação à LGPD.](https://www.gov.br/governodigital/pt-br/seguranca-e-protecao-de-dados/guias-operacionais-para-adequacao-a-lei-geral-de-protecao-de-dados-pessoais-lgpd)

Para empresas maiores que precisam estruturar melhor esses processos uma plataforma de gerenciamento da privacidade e mapeamento de dados pode ajudar muito! 

Por isso indicamos que você marque com o pessoal da [LGPDNOW](http://lgpdnow.com.br/) para uma conversa, sem compromisso, e ver como eles podem te ajudar no desenvolvimento do seu ROPA para LGPD.

Pois, templates e modelos importados de outras empresas ajuda muito. Mas, é essencial que você consiga traduzir exatamente a realidade da sua empresa com clareza e objetividade.

Todas as vezes que nos deparamos com a complexidade de justificar e embasar um a coleta de um dado, re-pensarmos a sua real necessidade. Afinal, devemos sempre prezar pela privacidade ao longo de todos os processos, como nos ensina o [Privacy by Design](https://goadopt.io/blog/o-que-e-privacy-by-design/)

## Como a AdOpt pode te ajudar no ROPA?
 
Conforme as recomendações da ICO listadas acima a Plataforma para LGPD da AdOpt te ajuda a mapear e organizar:

- [Banner de Cookies](https://goadopt.io/blog/banner-de-cookies/) dentro dos padrões da ICO, LGPD, GDPR, CCPA.
- Registros de todos os consentimentos por escrito; (organizado por usuário com data, hora e detalhes de cada consentimento.)
- API de Integração com suas demais plataformas para enriquecer os dados coletados com as informações de consentimento registradas.
- Entre outros, a depender do tamanho da sua empresa.

Estamos aqui para te ajudar!

Então, neste [link](https://calendly.com/valquiriaadopt) a nossa agenda aberta para discutirmos os seus desafios de adequação do seu negócio.

ROPA na LGPD? Conheça os Registros das Atividades de Tratamento