O registro das operações de tratamento é o inventário de tudo o que uma empresa faz com dado pessoal: o quê, para quê, com que base, com quem e por quanto tempo. A Lei Geral de Proteção de Dados (LGPD) exige esse registro numa frase só, sem lista de campos, e por isso é fácil confundi-lo com a política de privacidade ou com o relatório de impacto. A resposta curta: o art. 37 obriga o controlador e o operador a manter o registro, os campos saem de outros artigos da própria lei, e o agente de tratamento de pequeno porte pode cumprir a obrigação de forma simplificada, conforme a Resolução CD/ANPD 2/2022.
Em resumo
- O art. 37 obriga controlador e operador, "especialmente quando baseado no legítimo interesse".
- A lei não lista campos; eles saem dos arts. 9º (o que se informa ao titular), 16 (conservação) e 38 (relatório de impacto).
- A ANPD diz no guia de agentes que controlador e operador "partilham obrigações" de manter o registro.
- O agente de pequeno porte pode fazer o registro de forma simplificada (Resolução CD/ANPD 2/2022, art. 9º).
O que o art. 37 diz, e o que ele não diz
O controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse.
Três coisas saem dessa frase. Primeiro, o dever é dos dois agentes, não só de quem decide. Segundo, o objeto são as "operações de tratamento", e tratamento na LGPD é quase tudo: coletar, armazenar, consultar, compartilhar, eliminar. Terceiro, o legítimo interesse aparece como o caso em que o registro pesa mais, porque é a base em que o controlador decide sozinho e precisa mostrar por quê.
O que a frase não diz é o formato. Não há modelo na lei, nem lista de colunas. O registro é um instrumento de prestação de contas, o princípio do art. 6º, X, que pede ao agente "demonstração ... da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas". Um registro que não ajuda a demonstrar nada não cumpre a função.
Os campos, e de onde cada um sai na lei
Como a lei não traz lista, o caminho seguro é derivar os campos do que a própria LGPD obriga a saber e a informar. A tabela abaixo é a leitura da casa, com o dispositivo de cada campo.
| Campo do registro | Por que ele existe | Dispositivo |
|---|---|---|
| Operação e finalidade específica | O titular tem direito a saber a "finalidade específica do tratamento" | Art. 9º, I; art. 6º, I |
| Base legal | Sem base do art. 7º ou do art. 11 não há tratamento | Arts. 7º e 11 |
| Categorias de dado e de titular | O relatório de impacto descreve "os tipos de dados coletados" | Art. 38, parágrafo único |
| Forma e duração do tratamento | Informação obrigatória ao titular | Art. 9º, II |
| Compartilhamento e com quem | "uso compartilhado de dados pelo controlador e a finalidade" | Art. 9º, V |
| Operadores e responsabilidades | "responsabilidades dos agentes que realizarão o tratamento" | Art. 9º, VI |
| Prazo de guarda e motivo da conservação | Eliminar ao fim, salvo as hipóteses de conservação | Art. 16 |
| Medidas de segurança | "metodologia utilizada ... para a garantia da segurança das informações" | Art. 38, parágrafo único; art. 46 |
| Teste de balanceamento, quando a base é legítimo interesse | A ANPD pode pedir o relatório de impacto nesse caso | Art. 10, § 3º; art. 37 |
Com esses campos preenchidos, três perguntas da fiscalização têm resposta pronta: o que você faz com o dado, com que fundamento e por quanto tempo. É também a base de que o relatório de impacto parte, e o relatório para biometria está em RIPD para verificação biométrica.
Controlador e operador: cada um registra o seu
O guia orientativo da Agência Nacional de Proteção de Dados (ANPD) sobre agentes de tratamento resolve a dúvida de quem registra. No item 61, o guia diz que, "muito embora o controlador tenha a principal responsabilidade e o operador deva atuar em nome dele, o art. 37 da LGPD determina que ambos partilham obrigações e, consequentemente, a responsabilidade de manter o registro das operações de tratamento".
Na prática, a empresa que contrata um fornecedor de verificação de identidade registra a operação inteira: por que verifica, com que base, por quanto tempo guarda o resultado. O fornecedor, como operador, registra o que ele faz por conta do controlador: a captura, a análise, a guarda da mídia, os subprocessadores. Os dois registros conversam, e o contrato entre eles diz quem faz o quê. As cláusulas que esse contrato precisa ter estão em contrato controlador-operador.
O exemplo trabalhado: um fluxo de verificação de identidade
Um fluxo de abertura de conta com documento, selfie e prova de vida tem, no mínimo, quatro operações diferentes. Registrá-las como uma só esconde a base e o prazo de cada uma.
| Operação | Finalidade | Base legal | Prazo de guarda | Operador |
|---|---|---|---|---|
| Leitura do documento | Identificar o cliente (Circular BCB 3.978/2020, art. 16) | Obrigação legal (art. 7º, II) | O da norma de PLD que a empresa segue | Fornecedor de verificação |
| Selfie e comparação com o documento | Confirmar que o titular está presente | Prevenção à fraude na identificação (art. 11, II, "g") | O prazo definido no contrato e informado | Fornecedor de verificação |
| Consulta de situação do CPF | Validar o dado declarado | Obrigação legal (art. 7º, II) | O da norma de PLD | Fornecedor de consulta |
| Registro de auditoria da decisão | Demonstrar o que foi decidido e por quê | Obrigação legal e exercício regular de direitos (art. 7º, II e VI) | O da norma de PLD | Próprio controlador |
O exemplo mostra o que o registro ganha ao separar operações: a biometria tem base e prazo próprios, e o resultado da decisão sobrevive à mídia. Na UNIFOKAL, a página de segurança e LGPD publica o que fica com a casa, onde e por quanto tempo, por categoria de dado, que é a parte do operador nesse inventário.
O agente de pequeno porte e o registro simplificado
Os agentes de tratamento de pequeno porte podem cumprir a obrigação de elaboração e manutenção de registro das operações de tratamento de dados pessoais, constante do art. 37 da LGPD, de forma simplificada.
O parágrafo único do mesmo artigo diz que a ANPD "fornecerá modelo para o registro simplificado". Simplificado não quer dizer dispensado: a obrigação continua, com menos detalhe. E o enquadramento como pequeno porte tem condições e exceções, entre elas o tratamento de alto risco, que podem tirar a empresa da regra. Quem se enquadra e o que faz perder o enquadramento está em agente de pequeno porte na LGPD.
Nota
Um registro desatualizado é pior do que nenhum na hora de explicar um incidente, porque mostra que a empresa sabia o que deveria registrar e parou. Amarrar a revisão do registro ao lançamento de cada fluxo novo é o jeito simples de mantê-lo vivo.
Fontes citadas
- Lei 13.709/2018, Lei Geral de Proteção de Dados Pessoais, arts. 6º, 7º, 9º, 10, 11, 16, 37, 38 e 46, texto compilado no Planalto
- Resolução CD/ANPD 2/2022, regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte, art. 9º, no Diário Oficial da União
- Autoridade Nacional de Proteção de Dados, Guia orientativo para definições dos agentes de tratamento de dados pessoais e do encarregado, versão 2.0, item 61, em gov.br/anpd
- Banco Central do Brasil, Circular BCB 3.978/2020, versão consolidada, art. 16, em normativos.bcb.gov.br