Como fazer o registro das operações de tratamento (ROPA) exigido pela LGPD, e qual software usar para mantê-lo no Brasil?

ROPA: o que é, o que a ANPD exige e como manter atualizado

O ROPA (registro das operações de tratamento) é a obrigação do art. 37 da LGPD: controlador e operador devem manter registro das operações de tratamento de dados pessoais que realizam, especialmente quando baseadas no legítimo interesse. A lei não fixa campos nem formato, mas a ANPD publicou em 2023 um modelo simplificado para agentes de tratamento de pequeno porte, previsto no art. 9º da Resolução CD/ANPD nº 2/2022, que serve de referência mínima de conteúdo. Um ROPA útil descreve, por processo, finalidade, hipótese legal, categorias de titulares e de dados, compartilhamentos, medidas de segurança e prazo de armazenamento. Planilha atende enquanto o inventário é pequeno e estável; um software passa a fazer sentido quando o registro precisa refletir mudanças em sistemas, fornecedores e incidentes sem depender de atualização manual.

Por Carlos Machado, fundador da RiskFlow. Revisado em 2 de outubro de 2026.

O que a LGPD exige de fato

O art. 37 da Lei nº 13.709/2018 tem um único comando: o controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse. A obrigação alcança os dois agentes de tratamento, e não só o controlador.

A lei não lista os campos do registro nem impõe um formato. O conteúdo decorre do restante da LGPD: o princípio da responsabilização e prestação de contas (art. 6º, X) exige que o agente demonstre as medidas adotadas, e o ROPA é o documento que organiza essa demonstração por operação.

O registro também é a base de outras obrigações. A ANPD pode requisitar informações aos agentes a qualquer momento (art. 55-J, IV) e pode determinar ao controlador a elaboração de relatório de impacto à proteção de dados pessoais (art. 38), inclusive quando o tratamento se fundamenta no legítimo interesse (art. 10, § 3º). Sem um inventário confiável, nenhuma dessas respostas sai com consistência.

Agentes de pequeno porte: registro simplificado

A Resolução CD/ANPD nº 2/2022, que regulamenta a aplicação da LGPD aos agentes de tratamento de pequeno porte, permite no art. 9º que esses agentes cumpram a obrigação do art. 37 de forma simplificada, e determina que a ANPD forneça o modelo. O modelo foi publicado pela ANPD em 14 de junho de 2023.

A flexibilização não é automática. Pelo art. 3º da mesma Resolução, não se beneficiam do tratamento diferenciado os agentes que realizem tratamento de alto risco, que ultrapassem o limite de receita bruta das leis de microempresa e de startups, ou que pertençam a grupo econômico cuja receita global ultrapasse esses limites. O art. 6º acrescenta que a flexibilização não isenta do cumprimento dos demais dispositivos da LGPD, incluindo bases legais, princípios e direitos dos titulares.

O tratamento de alto risco, pelo art. 4º, exige ao menos um critério geral (larga escala ou possibilidade de afetar significativamente direitos fundamentais) e um critério específico, como uso de dados sensíveis ou de dados de crianças, adolescentes e idosos, decisões unicamente automatizadas, vigilância de zonas acessíveis ao público ou uso de tecnologias emergentes.

Checklist de conteúdo do ROPA

Os oito campos do modelo simplificado da ANPD funcionam como piso de conteúdo para qualquer porte. Organizações maiores costumam acrescentar campos que o próprio modelo indica como opcionais, na seção de observações.

Campo	O que registrar	Origem
Informações de contato	Organização, CNPJ, endereço, contato e gestor responsável pelo registro	Modelo ANPD para ATPP
Processo, finalidade e hipótese legal	Nome do processo interno, motivo do tratamento e base legal dos arts. 7º ou 11 da LGPD	Modelo ANPD para ATPP
Categorias de titulares	Titulares em geral, crianças e adolescentes, idosos, entre outros	Modelo ANPD para ATPP
Dados pessoais	Tipos de dados tratados (por exemplo, nome, CPF, e-mail), nunca os valores	Modelo ANPD para ATPP
Compartilhamento	Fluxo de dados para fora da organização e o nome dos terceiros	Modelo ANPD para ATPP
Medidas de segurança	Controles adotados, como controle de acesso, backup, pseudonimização	Modelo ANPD para ATPP
Período de armazenamento	Tempo de guarda dos dados na base do agente	Modelo ANPD para ATPP
Observações	Encarregado, operadores envolvidos e transferência internacional, quando houver	Modelo ANPD para ATPP (campo opcional)

Como manter o ROPA atualizado

A LGPD não fixa periodicidade de revisão do registro; o art. 40 apenas permite que a ANPD disponha sobre o tempo de guarda dos registros. Na prática, um ROPA envelhece quando o negócio muda e o documento não acompanha, por isso a revisão funciona melhor amarrada a eventos do que ao calendário.

O Regulamento do encarregado (Resolução CD/ANPD nº 18/2024, art. 16, II) atribui ao encarregado prestar assistência e orientação na elaboração, definição e implementação do registro das operações de tratamento. A manutenção, porém, depende das áreas que operam os processos, e é aí que costuma falhar.

Novo processo, produto ou finalidade: abrir registro antes de iniciar o tratamento.
Novo fornecedor que acessa dados pessoais: atualizar compartilhamento e operadores envolvidos.
Mudança de sistema ou de local de armazenamento: revisar medidas de segurança e eventual transferência internacional.
Mudança de base legal, sobretudo para legítimo interesse: revisar o registro e a avaliação que sustenta a escolha.
Incidente de segurança: usar o registro para identificar titulares e dados afetados, e corrigir o que estiver desatualizado.
Descarte ou fim do processo: registrar a eliminação e encerrar a operação no inventário.

Planilha ou software

Uma planilha bem estruturada, partindo do modelo da ANPD, é suficiente quando há poucos processos, poucos fornecedores e uma pessoa que conhece todos eles. O limite aparece quando o mesmo fato precisa constar em vários lugares: o fornecedor cadastrado no jurídico, o sistema cadastrado em TI e o processo registrado no ROPA deixam de bater.

Ferramentas dedicadas a privacidade organizam o registro e o atendimento a titulares. Plataformas de GRC com módulo de privacidade ligam o ROPA ao inventário de ativos, à gestão de terceiros e aos incidentes, de modo que uma mudança em um cadastro chega ao registro sem nova digitação. A escolha depende de quantas dessas fontes mudam com frequência na sua organização.

Como a RiskFlow trata isso

No módulo de Privacidade da RiskFlow, o ROPA é registrado por operação de tratamento, com finalidade, hipótese legal, categorias de titulares e de dados, destinatários, medidas de segurança e o papel da organização naquela operação (controladora, operadora ou cocontroladora). O levantamento pode ser feito por entrevista guiada com as áreas, inclusive por voz.

Informações de transferência internacional chegam ao registro por propagação a partir dos cadastros de Ativos e de Terceiros, sem digitação dupla. Quando ocorre um incidente, o módulo de Incidentes consulta o ROPA para identificar as operações e os dados afetados. O registro se conecta ainda à AIPD e ao teste de legítimo interesse. O sistema organiza e sinaliza; a revisão e a decisão sobre cada registro ficam com o encarregado e a equipe de privacidade.

Perguntas frequentes

O ROPA é obrigatório para toda empresa?

Sim. O art. 37 da LGPD obriga controlador e operador a manter registro das operações de tratamento que realizarem, sem exceção por porte. O que a Resolução CD/ANPD nº 2/2022 permite aos agentes de pequeno porte é cumprir essa obrigação de forma simplificada, não deixar de cumpri-la.

Existe um modelo oficial de ROPA da ANPD?

A ANPD publicou em junho de 2023 um modelo de registro simplificado destinado a agentes de tratamento de pequeno porte, com oito campos e instruções de preenchimento. Para os demais agentes não há formato obrigatório, e o modelo simplificado costuma servir como conteúdo mínimo de referência.

O operador também precisa ter ROPA?

Sim. O art. 37 da LGPD dirige a obrigação ao controlador e ao operador. O operador registra as operações que executa em nome dos controladores, o que exige saber, para cada cliente, quais dados trata e com quais instruções.

Com que frequência o ROPA deve ser revisado?

A LGPD não define periodicidade. A prática mais segura é revisar a cada mudança relevante (novo processo, novo fornecedor, mudança de sistema, de base legal ou incidente) e manter uma revisão periódica definida em política interna para captar o que escapou dos gatilhos.

Quem é responsável por manter o ROPA?

A obrigação é do agente de tratamento, ou seja, da organização. O Regulamento do encarregado (Resolução CD/ANPD nº 18/2024, art. 16) atribui ao encarregado prestar assistência e orientação na elaboração e implementação do registro, mas as informações vêm das áreas donas de cada processo.

Qual a relação entre ROPA e relatório de impacto (RIPD)?

São documentos diferentes. O ROPA inventaria todas as operações; o relatório de impacto, previsto no art. 38 da LGPD, pode ser determinado pela ANPD e analisa riscos e salvaguardas de operações específicas. Um ROPA completo é o ponto de partida para identificar quais operações merecem relatório de impacto.