O inventário de dados pessoais é o registro das operações de tratamento exigido pelo art. 37 da LGPD. Para montá-lo, organize o trabalho por processo, entreviste as áreas, registre finalidade, hipótese legal, titulares, dados, compartilhamentos, retenção e medidas de segurança, valide com o encarregado e revise o documento sempre que um processo mudar.
Muitas organizações começaram a adequação à LGPD pela política de privacidade e pelo aviso de cookies. São peças visíveis, mas não respondem à primeira pergunta de qualquer fiscalização: quais dados pessoais a organização trata, por quê, com qual base legal e com quem compartilha.
Essa resposta está no inventário de dados pessoais, nome usado no dia a dia para o registro das operações de tratamento previsto no art. 37 da Lei 13.709/2018. Sem ele, fica difícil elaborar um relatório de impacto, atender um titular no prazo ou dizer, diante de um incidente, quem foi afetado.
O que a LGPD exige, na prática
O art. 37 determina que controlador e operador mantenham registro das operações de tratamento que realizarem, especialmente quando a base legal for o legítimo interesse. A lei não impõe um formato. Isso dá liberdade, mas também abre espaço para planilhas incompletas que ninguém atualiza.
A ANPD ajudou a dar forma ao documento. Em junho de 2023, publicou um modelo de registro simplificado para agentes de tratamento de pequeno porte, previsto na Resolução CD/ANPD nº 2/2022. No guia sobre a atuação do encarregado, de dezembro de 2024, a autoridade indica que esse modelo pode ser adaptado por outras organizações com o acréscimo de informações. A Resolução CD/ANPD nº 18/2024 também inclui o registro das operações entre as atividades em que o encarregado deve orientar o agente de tratamento.
Antes de começar: escopo e responsáveis
A unidade de análise deve ser o processo, não o sistema. “Folha de pagamento”, “recrutamento” e “atendimento ao cidadão” são operações de tratamento; o ERP é apenas o lugar onde parte delas acontece. Organizar por processo evita lacunas, como dados que circulam por e-mail, em papel ou em planilhas paralelas.
Defina também quem faz o quê. As áreas donas dos processos fornecem as informações. O encarregado orienta o preenchimento e esclarece dúvidas. A TI e a segurança da informação confirmam onde os dados ficam e quais controles existem. O jurídico apoia a definição das bases legais. E a alta direção precisa patrocinar o trabalho, porque ele exige tempo de todas as áreas.
- Definir o escopoListar macroprocessos e áreas, começando pelos que tratam dados sensíveis ou de crianças, adolescentes e idosos.
- Preparar o instrumentoPlanilha ou ferramenta com campos padronizados e listas de opções.
- Entrevistar as áreasConversas curtas com quem executa o processo, com evidências em mãos.
- Mapear o fluxoColeta, uso, armazenamento, compartilhamento e descarte de cada operação.
- FundamentarFinalidade, hipótese legal dos arts. 7º ou 11 e prazo de retenção.
- Validar e priorizarRevisão do encarregado, do jurídico e da segurança, com lacunas e riscos apontados.
- Publicar e manterVersão aprovada, responsáveis definidos e gatilhos de revisão.
Os campos que não podem faltar
O modelo simplificado da ANPD organiza o registro em oito blocos: informações de contato da organização, categorias de titulares, dados pessoais tratados, compartilhamento, medidas de segurança, período de armazenamento, processo com finalidade e hipótese legal, e observações. No campo de observações, a própria ANPD sugere incluir dados do encarregado, dos operadores e de eventuais transferências internacionais.
Para organizações de médio e grande porte, vale acrescentar sistemas e repositórios envolvidos, origem dos dados, fornecedores que atuam como operadores, volume aproximado de titulares e uma classificação de risco. Esses campos transformam o inventário em ferramenta de gestão, e não apenas em prova documental.
Como conduzir as entrevistas sem parar a operação
O levantamento costuma travar quando vira um questionário longo enviado por e-mail. Funciona melhor uma conversa objetiva com quem executa o processo, guiada por um instrumento já preenchido em parte. Peça para ver formulários, telas, contratos e relatórios: eles revelam dados que ninguém lembra de citar.
Algumas perguntas ajudam a chegar ao essencial: de onde vem o dado, quem acessa, para onde ele vai, por quanto tempo fica guardado e o que aconteceria se ele deixasse de ser coletado. A última pergunta é útil para testar a necessidade e cortar excessos.
Da planilha à gestão contínua
Um inventário bem feito alimenta quase todas as outras frentes do programa de privacidade. Ele indica quais operações pedem relatório de impacto (art. 38), acelera a resposta a pedidos de titulares e mostra quais contratos com fornecedores precisam de cláusulas de proteção de dados. Em um incidente, permite identificar rapidamente quais dados e titulares foram afetados, informação indispensável para cumprir o prazo de três dias úteis da Resolução CD/ANPD nº 15/2024.
Por isso, o inventário precisa de gatilhos de atualização: novo sistema, novo fornecedor, nova finalidade, mudança legal ou incidente. Além desses eventos, é boa prática fazer uma revisão geral periódica, com data registrada e responsável identificado.
- Cada operação tem um responsável de negócio identificado.
- Toda finalidade está ligada a uma hipótese legal dos arts. 7º ou 11.
- Dados sensíveis e de crianças, adolescentes e idosos estão sinalizados.
- Fornecedores que atuam como operadores aparecem vinculados ao contrato.
- Há prazo de retenção definido para cada operação.
- O documento tem versão, data da última revisão e gatilhos para a próxima.
Erros comuns que enfraquecem o inventário
- Inventariar sistemas em vez de processos: o resultado mostra onde os dados estão, mas não por que são tratados.
- Escolher o consentimento por padrão: muitas operações se apoiam em obrigação legal, execução de contrato ou execução de políticas públicas, e o consentimento mal aplicado gera fragilidade.
- Esquecer o papel: fichas, prontuários e documentos físicos também são tratamento de dados.
- Deixar o trabalho com uma única área: só a TI ou só o jurídico não conseguem enxergar o processo inteiro.
- Não versionar: sem histórico, não há como demonstrar a evolução do programa.
Próximos passos
Comece pelos processos de maior risco, como recursos humanos, atendimento e qualquer operação com dados de saúde ou de crianças. Teste o modelo com duas ou três áreas, ajuste os campos e só então expanda para o restante da organização. O objetivo é ter um documento vivo, que responda rápido às perguntas do titular, da auditoria e da ANPD.
A Midnal apoia órgãos públicos, empresas e organizações do terceiro setor na estruturação de programas de privacidade, do levantamento das operações de tratamento à rotina de atualização. Conheça a frente de governança, LGPD e compliance.
Perguntas frequentes
O inventário de dados pessoais é obrigatório?
Sim. O art. 37 da LGPD obriga controlador e operador a manter registro das operações de tratamento. Agentes de tratamento de pequeno porte podem usar o formato simplificado previsto na Resolução CD/ANPD nº 2/2022, com modelo publicado pela ANPD.
Inventário de dados e relatório de impacto são a mesma coisa?
Não. O inventário descreve todas as operações de tratamento. O relatório de impacto à proteção de dados (art. 38) aprofunda a análise de riscos das operações mais sensíveis e usa o inventário como ponto de partida.
Com que frequência o inventário deve ser atualizado?
Sempre que um processo, sistema, fornecedor ou finalidade mudar. Além disso, é boa prática fazer uma revisão geral periódica, com data e responsável registrados.
Quem deve preencher o inventário?
As áreas donas dos processos fornecem as informações, e o encarregado orienta o preenchimento. A ANPD sugere coletar os dados por entrevistas, formulários ou planilhas.
