Anderson Oliveira
Especialista em Tecnologia da Informação, Proteção de Dados e LGPD

O aniversário de 8 anos da Lei Geral de Proteção de Dados – LGPD é mais do que uma data para comemorar. É uma chance de avaliar nosso progresso na criação de uma cultura de privacidade e proteção de dados, no Brasil, e ver como podemos melhorar ainda mais.

Recentemente, tive a oportunidade de participar de um encontro para celebrar os 8 anos da LGPD, organizado pela APDADOS. Foi um momento para compartilhar experiências e reflexões sobre como podemos criar um programa de adequação à LGPD que realmente funcione. E acredito que tudo começa com um inventário de dados pessoais bem-feito.

Minha apresentação se concentrou na ENGENHARIA DO ROPA[1], uma abordagem que desenvolvi para tornar o processo de criar o Registro das Operações de Tratamento mais organizado e conectado à realidade das organizações.

O ROPA[2] não deve ser apenas uma planilha

Com o passar dos anos, o mercado tem evoluído em relação à LGPD. No entanto, ainda vemos projetos que tratam o inventário de operações de tratamento como apenas uma obrigação burocrática.

Criam-se planilhas, fazem-se algumas perguntas, registram-se dados pessoais, finalidades e bases legais, e pronto. Mas o problema é que um ROPA incompleto ou superficial pode comprometer todo o trabalho que vem depois.

Se não identificamos uma operação de tratamento, não podemos avaliar seus riscos.

Se não sabemos quais dados estão sendo tratados, fica difícil saber se estão sendo usados de forma adequada ou se há excesso de dados.

Se não identificamos corretamente os titulares dos dados, podemos criar processos inadequados para exercer seus direitos.

E se não conhecemos os operadores, compartilhamentos, sistemas e locais de armazenamento envolvidos no tratamento, criamos pontos cegos que podem esconder riscos importantes.

Por isso, prefiro ver o ROPA como uma espécie de mapa do programa de privacidade, e não apenas como um documento isolado.

A Engenharia do ROPA

Foi essa necessidade de tornar o levantamento mais estruturado que me levou a desenvolver a ENGENHARIA DO ROPA.

A ideia é dividir cada operação de tratamento em perguntas simples, mas poderosas, usando a lógica do 5W2H[3] aplicada à privacidade. Isso nos ajuda a entender melhor como os dados estão sendo tratados e a identificar possíveis riscos.

[1] Engenharia do ROPA é um método estruturado de mapeamento e documentação das atividades de tratamento de dados pessoais, desenvolvido a partir da aplicação do modelo 5W2H ao Registro das Operações de Tratamento (ROPA). O método organiza o levantamento de informações sobre o que é tratado, por que, por quem, onde, quando e como o tratamento ocorre, complementando-o com elementos de governança, como bases legais, compartilhamentos, operadores, medidas de segurança e riscos. Seu objetivo é transformar o inventário de dados em uma representação sistemática e operacional dos processos de tratamento, servindo de base para a gestão da privacidade e para a implementação de um programa de conformidade com a LGPD.

Pilar	Pergunta-chave	Aplicação no ROPA	O que deve ser identificado
WHAT	O que é tratado?	Identificar os dados pessoais utilizados na operação e suas finalidades.	Dados pessoais, dados pessoais sensíveis e finalidade de utilização de cada dado.
WHY	Por que tratamos?	Compreender a necessidade e a finalidade do tratamento.	Necessidade, propósito, contexto da operação, justificativa e posteriormente a base legal aplicável.
WHO	Quem está envolvido?	Identificar as pessoas relacionadas à operação de tratamento.	Categorias de titulares, áreas internas, agentes de tratamento e demais envolvidos.
WHERE	Onde os dados estão?	Mapear os locais pelos quais os dados passam durante o ciclo de vida.	Local de armazenamento, arquivos físicos, ambientes digitais e demais repositórios.
WHEN	Quando ocorre o tratamento?	Identificar em quais momentos do processo os dados são tratados.	Momento da coleta, utilização, atualização, compartilhamento, arquivamento e encerramento do tratamento.
HOW	Como o tratamento acontece?	Compreender os meios utilizados para realizar a operação.	Procedimentos, processos, documentos, sistemas, formulários, integrações, transmissões e demais meios utilizados.
HOW LONG	Por quanto tempo?	Determinar o período de permanência dos dados na organização.	Prazo de retenção, critérios de conservação, arquivamento, anonimização e descarte ou eliminação dos dados.

[3] 5W2H é uma ferramenta de gestão utilizada para estruturar e compreender atividades, processos ou planos de ação por meio de sete perguntas fundamentais: What (o quê), Why (por quê), Who (quem), Where (onde), When (quando), How (como) e How Much (quanto). Sua aplicação permite organizar informações de forma objetiva e sistemática, facilitando o entendimento do processo, a definição de responsabilidades e a identificação de como cada atividade é executada. No contexto do mapeamento de dados pessoais, o 5W2H pode ser adaptado para descrever detalhadamente as operações de tratamento e contribuir para a construção do ROPA.

Quando essas perguntas são respondidas de forma organizada, deixamos de simplesmente preencher um ROPA e começamos a compreender o que está acontecendo com os dados pessoais.

Essa diferença é muito importante. Antes de pensar na base legal, é essencial entender o que está sendo feito com os dados.

Um dos erros que vejo em projetos de adequação é começar perguntando: “Qual é a base legal?”

Essa pergunta é importante, mas pode estar sendo feita muito cedo. Antes disso, é necessário entender o que está acontecendo com os dados. Quais dados são coletados? Para quê? De quem? Por quem? Onde ficam? Com quem são compartilhados? Como são usados? Por quanto tempo? Só depois de entender bem o que está acontecendo é possível avaliar com mais segurança a base legal.

A tecnologia pode ajudar muito nesse processo. Sistemas podem organizar informações, gerar relatórios, identificar inconsistências e até usar inteligência artificial para apoiar análises.

Mas há uma regra que continua válida: nenhuma tecnologia consegue transformar um inventário ruim em um bom programa de privacidade. Se a informação de entrada estiver errada, incompleta ou superficial, tudo o que vier depois pode estar comprometido.

O inventário é a base do programa LGPD

Um inventário bem-feito deixa de ser apenas uma obrigação e se torna uma ferramenta de inteligência para o programa de privacidade.

A partir dele, é possível identificar dados pessoais tratados sem necessidade aparente, tratamentos que precisam de revisão, operadores e terceiros que devem ser avaliados, contratos que demandam ajustes, sistemas que armazenam informações pessoais, compartilhamentos internos e externos, transferências de dados, períodos de retenção que não combinam com a finalidade, riscos associados às operações, necessidades de políticas e procedimentos, medidas técnicas e administrativas que devem ser feitas e processos que devem suportar o atendimento aos direitos dos titulares.

Nesse momento, o ROPA deixa de ser apenas um documento e se torna um dos principais instrumentos do programa.

O titular[4] precisa aparecer no mapa

Há outro ponto importante: durante um inventário, não basta olhar apenas para as atividades de tratamento. É necessário olhar para as pessoas por trás dos dados. Funcionários, candidatos, clientes, fornecedores, visitantes, pacientes, alunos e outras categorias de titulares precisam estar relacionados às operações em que seus dados são tratados.

Esse exercício muda a visão. A organização deixa de perguntar apenas: “Quais dados temos?” e começa a perguntar: “De quem são esses dados, por que precisamos deles e o que fazemos com eles durante todo o ciclo de vida?” Essa mudança é essencial para transformar a conformidade em uma verdadeira governança de dados.

O ROPA não pode ser apenas uma fotografia

Outro ponto importante é que o inventário não deve ser visto como algo feito apenas no início do programa de adequação.

As organizações mudam. Novos sistemas são implantados. Processos são alterados. Fornecedores mudam. Novos produtos são lançados. Dados passam a ser usados para novas finalidades. A inteligência artificial entra em processos que antes eram feitos apenas por pessoas.

Com isso, o mapa das operações também muda. Por isso, o ROPA precisa estar vivo. Mais do que criar um inventário, é necessário ter mecanismos para atualizar e revisar o ROPA com frequência.

[4] Titular de dados pessoais é a pessoa natural a quem se referem os dados pessoais que são objeto de tratamento, conforme definição da Lei Geral de Proteção de Dados Pessoais (LGPD). É, portanto, o indivíduo relacionado às informações coletadas, utilizadas, armazenadas, compartilhadas ou submetidas a qualquer outra operação de tratamento, como empregados, clientes, fornecedores, candidatos, pacientes ou usuários de serviços.

É essa capacidade de acompanhar a evolução da organização que transforma um projeto pontual em um programa real de governança. Oito anos depois, precisamos ir além.

O aniversário de oito anos da LGPD nos convida a refletir sobre a maturidade. A primeira fase do mercado brasileiro foi compreender a lei. Depois vieram os projetos de adequação, políticas, avisos de privacidade, contratos, banners de cookies e treinamentos.

Agora, é hora de avançar. É preciso transformar conformidade em gestão de dados. Isso exige entender melhor os tratamentos, estabelecer responsabilidades, produzir evidências, monitorar riscos, revisar controles e integrar a proteção de dados à rotina das organizações. E para isso, é essencial saber onde se está. É aí que entra o inventário.

A qualidade do programa começa com a qualidade do ROPA

Minha participação no encontro da APDADOS reforçou uma convicção baseada na experiência prática: não existe programa LGPD sólido construído sobre um inventário fraco.

O ROPA é mais do que uma tabela. Quando bem estruturado, permite compreender a organização sob a perspectiva dos dados, identificar pontos fracos, orientar decisões e estabelecer prioridades.

Por isso, defendo a Engenharia do ROPA: não como uma ferramenta para produzir mais documentos, mas como um método para entender profundamente as operações de tratamento antes de decidir como protegê-las.

Depois de oito anos de LGPD, talvez a pergunta mais importante para organizações, gestores de privacidade e encarregados seja esta: Nós realmente conhecemos os tratamentos de dados pessoais da nossa organização ou apenas temos uma planilha dizendo que conhecemos?

Essa diferença pode definir o sucesso ou o fracasso de todo o programa de privacidade.

Anderson Oliveira é especialista em Tecnologia da Informação, Privacidade, Proteção de Dados e Governança, com mais de 30 anos de experiência em tecnologia. É pós-graduado em Gestão Estratégica da Informação pela UFMG e em Direito da Proteção e Uso de Dados pela PUC Minas, com formação como DPO pela FGV, DPO Forense pela TI Exames, Perito Forense pelo IAPA e Gestor de Privacidade pela ASSESPRO-MG. É criador do ecossistema LGPDLITE e idealizador do método Engenharia do ROPA e do MGI, Modelo de Gestão Integrada. Está Vice-Presidente de Cibersegurança e Compliance da ASSESPRO-MG, além de membro da APDADOS.