O que é o RoPA e por que ele é obrigatório pela LGPD

Governança · RoPA Agosto de 2026 7 min de leitura

Se você é DPO, gestor de TI ou responsável pela conformidade com a LGPD na sua empresa, com certeza já ouviu falar do RoPA — o Registro de Operações de Tratamento de Dados. Mas o que exatamente ele é, o que deve conter e como mantê-lo atualizado sem que vire uma planilha abandonada? Este artigo responde a essas perguntas de forma direta.

O que é o RoPA?

RoPA é a sigla em inglês para Records of Processing Activities — em português, Registro das Atividades de Tratamento. Trata-se de um documento (ou sistema) que descreve todas as operações de tratamento de dados pessoais que uma organização realiza.

Pense nele como um inventário vivo: cada linha representa uma atividade — "folha de pagamento", "atendimento ao cliente", "envio de newsletter" — e para cada atividade você registra quais dados são tratados, por qual motivo, com qual base legal, quem tem acesso e por quanto tempo ficam armazenados.

Referência legal: O art. 37 da LGPD determina que "o controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse." A ANPD pode solicitar esse registro a qualquer momento.

O que o RoPA deve conter?

A LGPD não especifica um formato rígido, mas uma boa prática — alinhada ao que o GDPR europeu (art. 30) e as orientações da ANPD indicam — prevê pelo menos os seguintes campos para cada operação:

Nome da atividade de tratamento (ex.: "Cadastro de clientes")
Finalidade — para que os dados são usados
Base legal — consentimento, legítimo interesse, contrato, obrigação legal etc.
Categorias de dados — dados de identificação, financeiros, de saúde, dados sensíveis
Categorias de titulares — clientes, colaboradores, visitantes
Destinatários — quem recebe os dados (internos e externos)
Transferências internacionais — se dados são enviados para fora do Brasil e com qual garantia
Prazo de retenção — por quanto tempo os dados ficam armazenados
Medidas de segurança — como os dados estão protegidos
Área responsável — qual departamento controla essa operação

Quem deve manter o RoPA?

Tanto o controlador (quem decide o que fazer com os dados) quanto o operador (quem trata os dados por conta do controlador) devem manter seus próprios registros. Na prática, isso significa que sua empresa — como controladora — precisa de um RoPA próprio. E se você contratar fornecedores que processam dados dos seus clientes, eles também têm obrigação de manter o deles.

A responsabilidade de coordenar e garantir que o RoPA existe e está atualizado costuma recair sobre o DPO (Encarregado de Dados), mas a alimentação do registro depende das áreas que realizam o tratamento — RH, TI, Marketing, Financeiro, Jurídico etc.

Por que o RoPA vai além de uma planilha

Muitas empresas começam com uma planilha Excel. Funciona no início, mas logo surgem os problemas:

Ninguém sabe qual é a versão mais recente
As áreas não atualizam quando lançam um novo serviço ou mudam um fornecedor
É impossível gerar relatórios ou cruzar informações
Não há histórico de alterações para fins de auditoria

Um RoPA mantido em uma plataforma especializada resolve esses pontos: cada área acessa o módulo correspondente, os dados ficam centralizados e versionados, e o DPO tem visibilidade total em tempo real.

Dica prática: Estabeleça um ciclo de revisão anual (ou semestral para operações de alto risco). Toda vez que um novo produto, sistema ou fornecedor for contratado, o RoPA deve ser atualizado antes de entrar em produção.

RoPA e Data Discovery: como a tecnologia acelera o processo

Um dos maiores desafios do RoPA é descobrir operações de tratamento que ninguém mapeou — dados pessoais guardados em planilhas locais, sistemas legados ou backups esquecidos. É aqui que o Data Discovery entra: ao varrer os sistemas automaticamente, ele revela onde há dados pessoais e alimenta o inventário (e, por consequência, o RoPA) com registros que de outra forma nunca apareceriam.

Veja como o PrivacyConsent gerencia o RoPA

Da descoberta automática ao registro estruturado, tudo em um só lugar.

Agendar demonstração

Conclusão

O RoPA não é um documento burocrático para constar. É a base de todo o programa de privacidade: sem saber o que você trata, não dá para avaliar riscos, responder titulares ou provar conformidade para a ANPD. Comece simples, mas comece — e invista em uma ferramenta que permita mantê-lo vivo conforme a empresa cresce.