- Controlador e operador devem manter registro das operações de tratamento (art. 37); agentes de pequeno porte podem usar um registro simplificado
- A ANPD pode exigir um RIPD (art. 38), e vale elaborá-lo por iniciativa própria para tratamentos de maior risco
- Incidentes que possam acarretar risco ou dano relevante são comunicados à ANPD e aos titulares em 3 dias úteis; todos os incidentes ficam registrados por no mínimo cinco anos
- Transferências internacionais precisam de um mecanismo do art. 33, como as cláusulas-padrão da Resolução CD/ANPD nº 19/2024
- Em uma fiscalização, o que conta é a evidência: registro, avaliações, contratos, tabela de retenção e registro de incidentes
Registro das operações de tratamento
O art. 37 exige que controlador e operador mantenham registro das operações de tratamento de dados pessoais que realizarem. Na prática, o registro indica a finalidade de cada tratamento, a hipótese legal, as categorias de dados e de titulares, os terceiros com quem os dados são compartilhados e os prazos de retenção. É a base do programa de adequação e um dos documentos que podem ser solicitados pela ANPD em uma fiscalização. Agentes de tratamento de pequeno porte podem manter esse registro de forma simplificada, conforme a Resolução CD/ANPD nº 2/2022.
Sem o mapeamento, você não consegue saber quais hipóteses legais está usando, quais dados sensíveis trata e onde estão os maiores riscos. Empresas que já passaram por auditorias de GDPR para clientes europeus têm esse registro parcialmente pronto e podem aproveitar o trabalho feito.
Relatório de impacto à proteção de dados pessoais (RIPD)
O art. 38 permite que a ANPD determine ao controlador a elaboração de um relatório de impacto à proteção de dados pessoais (RIPD), inclusive de dados sensíveis, referente às suas operações de tratamento. O RIPD descreve os tipos de dados coletados, a metodologia usada para a coleta e para a garantia da segurança das informações e a análise do controlador sobre as medidas, salvaguardas e mecanismos de mitigação de risco adotados.
Tratamentos em larga escala, de dados sensíveis, de perfis comportamentais ou de monitoramento sistemático são casos em que vale elaborar o RIPD mesmo sem pedido da ANPD. Veja quando o RIPD é necessário em projetos de IA e as orientações da ANPD sobre o RIPD.
Comunicação de incidentes de segurança
O art. 48 obriga o controlador a comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. Nem todo incidente precisa ser comunicado. Pela Resolução CD/ANPD nº 15/2024, o incidente pode acarretar risco ou dano relevante quando puder afetar significativamente interesses e direitos fundamentais dos titulares e envolver pelo menos um destes critérios: dados sensíveis; dados de crianças, adolescentes ou idosos; dados financeiros; dados de autenticação em sistemas; dados protegidos por sigilo legal, judicial ou profissional; ou dados em larga escala.
Avalie e documente essa análise de risco para cada incidente. Quando a comunicação for necessária, o prazo é de 3 dias úteis, contado a partir do conhecimento de que o incidente afetou dados pessoais. Agentes de pequeno porte têm prazo em dobro, e informações complementares podem ser enviadas em até 20 dias úteis. Independentemente da comunicação, o controlador deve manter um registro de todos os incidentes, inclusive dos que não foram comunicados, por no mínimo cinco anos. Regras setoriais podem exigir comunicações adicionais, por exemplo ao Banco Central no caso de instituições financeiras.
A comunicação deve conter, entre outras informações: a natureza e as categorias dos dados pessoais afetados; o número de titulares afetados, quando conhecido; as medidas técnicas e de segurança adotadas; os riscos relacionados ao incidente; as medidas tomadas para reverter ou mitigar os efeitos; e, se a comunicação não tiver sido imediata, as razões da demora. Para comparar com outros países, veja os prazos de notificação de incidentes por país.
Transferências internacionais de dados
Enviar dados pessoais para fora do Brasil é uma transferência internacional. Isso costuma incluir serviços em nuvem com dados hospedados no exterior e o compartilhamento com empresas do mesmo grupo em outros países. O art. 33 só permite a transferência nas hipóteses que lista, entre elas: países ou organismos internacionais com grau de proteção adequado reconhecido pela ANPD; cláusulas-padrão contratuais, normas corporativas globais ou cláusulas contratuais específicas; consentimento específico e em destaque do titular; e situações como cooperação jurídica internacional e proteção da vida. Os arts. 34 a 36 tratam da avaliação do nível de proteção e das garantias.
A Resolução CD/ANPD nº 19/2024 regulamentou as transferências e aprovou as cláusulas-padrão contratuais da ANPD, com prazo até agosto de 2025 para incorporá-las aos contratos que usam esse mecanismo. Liste os fornecedores e as empresas do grupo que recebem dados no exterior, registre o mecanismo usado em cada transferência e confira se os contratos têm as cláusulas exigidas. Veja também o que a adequação entre a UE e o Brasil pode mudar para transferências com a Europa.
Retenção e eliminação de dados
O art. 15 define quando o tratamento termina: quando a finalidade foi alcançada ou os dados deixaram de ser necessários, ao fim do período de tratamento, por comunicação do titular (inclusive pela revogação do consentimento) ou por determinação da ANPD. O art. 16 manda eliminar os dados após o término do tratamento e autoriza a conservação apenas para cumprir obrigação legal ou regulatória, para estudo por órgão de pesquisa, para transferência a terceiro nos termos da lei ou para uso exclusivo do controlador, sem acesso por terceiro e com os dados anonimizados.
A política de retenção precisa alcançar os lugares onde os dados ficam depois do uso principal: backups, arquivos e caixas de e-mail antigas, registros de funcionários desligados e as cópias mantidas por fornecedores. Defina um prazo para cada categoria de dado, justifique o prazo pela finalidade ou pela obrigação legal e, no fim de cada contrato, confirme que o fornecedor eliminou ou devolveu os dados.
Fornecedores e operadores
Boa parte do tratamento acontece em fornecedores: folha de pagamento, CRM, nuvem, atendimento, marketing. Para cada um, defina o papel (operador ou controlador independente) e registre no contrato as instruções de tratamento, as medidas de segurança exigidas, o prazo para avisar sobre incidentes, as regras para suboperadores e para transferência internacional e o destino dos dados no fim do contrato. Revise periodicamente os fornecedores mais críticos, com questionários ou com evidências como certificações e relatórios de auditoria.
Dados de crianças e adolescentes
O art. 14 exige que o tratamento de dados de crianças e adolescentes seja feito no seu melhor interesse. Para dados de crianças, o § 1º pede consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal, com exceções como a coleta para contatar os responsáveis ou para a proteção da criança (§ 3º). O Enunciado CD/ANPD nº 1/2023 esclareceu que esse tratamento também pode se apoiar nas hipóteses dos arts. 7º e 11, desde que prevaleça o melhor interesse. Jogos, aplicativos e outras atividades não podem condicionar a participação ao fornecimento de dados além dos estritamente necessários (§ 4º). Empresas de tecnologia com público jovem devem acompanhar também o ECA Digital (Lei 15.211/2025).
Requisitos e evidências
Em uma fiscalização, a pergunta prática é o que você consegue mostrar. A tabela abaixo liga cada requisito à evidência que costuma demonstrá-lo.
| Requisito | Onde está na lei | Evidência |
|---|---|---|
| Hipótese legal para cada tratamento | arts. 7º e 11 | Registro com a hipótese de cada atividade; avaliação de legítimo interesse, quando usado |
| Registro das operações | art. 37 | Inventário atualizado, com responsável e data da última revisão |
| Transparência | arts. 6º, VI e 9º | Aviso de privacidade publicado e revisado |
| Direitos dos titulares | arts. 18 e 19 | Canal publicado, procedimento interno e registro dos pedidos com as datas de resposta |
| Encarregado ou canal de atendimento | art. 41; Res. 2/2022 e 18/2024 | Ato de indicação e contato publicado, ou canal de comunicação no caso de agente de pequeno porte dispensado |
| Segurança | art. 46 | Política de segurança, controles de acesso e backups testados |
| Incidentes | art. 48; Res. 15/2024 | Procedimento de resposta, avaliações de risco e registro de incidentes |
| RIPD | arts. 10, § 3º e 38 | Relatórios para os tratamentos de maior risco |
| Fornecedores | arts. 39 e 42 | Lista de operadores e contratos com cláusulas de proteção de dados |
| Transferência internacional | arts. 33 a 36; Res. 19/2024 | Mapa de transferências e mecanismo usado em cada uma |
| Retenção | arts. 15 e 16 | Tabela de retenção e registros de eliminação |
| Crianças e adolescentes | art. 14 | Avaliação de melhor interesse e, quando exigido, registro do consentimento dos pais |
Mantenha também a governança em dia: um responsável pelo programa, revisão periódica do registro, decisões sobre riscos documentadas e um calendário de revisão das políticas. O art. 50 incentiva programas de governança em privacidade, e esses documentos mostram que o programa funciona fora do papel.
Para o escopo da lei, as hipóteses legais, os direitos dos titulares, o encarregado e as sanções, veja o guia de conformidade com a LGPD. Se você precisa de apoio para montar essas rotinas, conheça nosso trabalho em auditorias e conformidade.