O Registro das Operações de Tratamento — o ROPA — costuma ser apresentado como uma planilha gigante que ninguém termina. Na prática, ele é a única peça do programa de privacidade que responde à pergunta que a ANPD faz primeiro: quais dados pessoais sua empresa trata, por quê, e com base em quê?
Comece pelos processos, não pelos sistemas
O erro mais comum é abrir o inventário pela lista de sistemas. Sistemas mudam; processos de negócio duram. Mapeie “contratação de funcionário”, “atendimento ao cliente”, “cobrança” — e só então associe os sistemas que sustentam cada um.
Um ROPA que ninguém atualiza é pior do que não ter ROPA: ele documenta um retrato falso.
O mínimo viável de campos
Resista à tentação de criar quarenta colunas. Oito bastam para o primeiro ciclo:
- Processo de negócio e área responsável
- Categorias de titulares e de dados
- Finalidade e base legal
- Compartilhamento e prazo de retenção
Atalho útil: entreviste uma área por semana, em sessões de 60 minutos. Em oito semanas, uma empresa de porte médio tem o inventário inteiro — sem congelar a operação.
Manter é o projeto de verdade
Defina desde o início quem revisa o ROPA e com que frequência. O modelo que funciona: revisão trimestral por área, com o DPO consolidando, e gatilho obrigação.