O que é ROPA na LGPD? Guia completo para pequenas empresas
ROPA é uma das siglas mais citadas — e menos entendidas — da LGPD. Diferente da política de privacidade (que qualquer visitante do site pode ler), o ROPA é um documento de bastidor: você talvez nunca precise mostrá-lo a um cliente, mas é exatamente o que a ANPD pede numa fiscalização. Este guia explica o que ele é, o que precisa conter e como montar o seu.
1. O que é o ROPA
ROPA significa Registro das Operações de Tratamento de Dados Pessoais. É, na prática, um inventário: uma lista organizada de tudo o que a empresa faz com dados pessoais — de clientes, funcionários, fornecedores ou leads. Para cada tipo de dado tratado, o registro documenta o "quê, por quê, com base em quê, com quem e por quanto tempo".
É o instrumento central do princípio da prestação de contas (accountability) da LGPD: a empresa precisa conseguir demonstrar, documentalmente, que sabe o que faz com os dados que trata — não basta apenas seguir a lei "de boca", é preciso ter isso registrado.
2. Onde a lei exige (art. 37)
O art. 37 da Lei nº 13.709/2018 estabelece que o controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse. Na prática, a ANPD trata o ROPA como exigível de qualquer empresa que trate dados pessoais de forma relevante — não apenas nas hipóteses de legítimo interesse.
3. ROPA x Política de Privacidade: qual a diferença
| Política de Privacidade | ROPA |
|---|---|
| Documento público, publicado no site | Documento interno, apresentado à ANPD sob demanda |
| Escrito para o titular entender | Escrito para a empresa (e o regulador) controlar |
| Linguagem geral, sem detalhe operacional | Detalhado: sistemas, prazos, compartilhamentos |
| Um texto único | Uma lista/tabela por tipo de tratamento |
Os dois são complementares — nenhum substitui o outro. É comum ver empresas com política de privacidade publicada e nenhum ROPA por trás; isso significa ter a "vitrine" pronta sem o controle interno que a sustenta.
4. O que o ROPA precisa conter
Não existe um formulário oficial único, mas a prática de mercado e a orientação da ANPD convergem para estes campos, por tipo de tratamento:
- Categoria de titulares — clientes, funcionários, fornecedores, leads…;
- Categorias de dados tratados — nome, CPF, e-mail, dados de pagamento, dados de saúde (sensíveis), etc.;
- Finalidade do tratamento — para que a empresa usa esse dado;
- Base legal — consentimento, execução de contrato, obrigação legal, legítimo interesse, entre as demais do art. 7º da LGPD;
- Forma de coleta — formulário do site, WhatsApp, planilha, sistema de vendas…;
- Compartilhamento com terceiros — contador, gateway de pagamento, plataforma de e-mail marketing, transportadora…;
- Transferência internacional, se houver (ex.: servidor fora do Brasil);
- Prazo de retenção — por quanto tempo o dado é guardado antes do descarte;
- Medidas de segurança adotadas para proteger aquele dado.
5. ROPA para pequenas empresas: formato simplificado
A Resolução CD/ANPD nº 2/2022 (agentes de tratamento de pequeno porte — MEI, ME, EPP, startups) permite manter o ROPA em formato simplificado: menos burocracia, mas os mesmos campos essenciais. A obrigação não desaparece — o que muda é o nível de detalhamento exigido. Veja o comparativo completo de obrigações no nosso guia sobre multa LGPD.
6. Passo a passo para montar o seu
- Liste as áreas que lidam com dados: vendas, RH, financeiro, marketing;
- Para cada área, mapeie os dados coletados (peça para quem trabalha lá descrever, com as próprias palavras, o que pede aos clientes/funcionários);
- Para cada tipo de dado, defina a finalidade e a base legal;
- Identifique com quem esse dado é compartilhado — inclusive sistemas e fornecedores (contador, ERP, plataforma de e-commerce, e-mail marketing);
- Defina um prazo de retenção razoável e, quando vencer, descarte;
- Anote as medidas de segurança em uso (senha, backup, controle de acesso);
- Reavalie o registro periodicamente — sempre que a empresa passa a coletar um novo tipo de dado ou contratar um novo fornecedor, o ROPA precisa ser atualizado.
Gere o seu ROPA automaticamente
O vrisk transforma seu diagnóstico gratuito de LGPD em um ROPA pronto, já formatado para o seu tipo de empresa — sem precisar montar a planilha do zero.
Fazer meu diagnóstico grátis →7. Perguntas frequentes
O que é ROPA na LGPD?
É o Registro das Operações de Tratamento de Dados Pessoais, exigido pelo art. 37 da LGPD — um inventário do que a empresa trata, com qual finalidade, base legal e prazo de retenção.
O ROPA é obrigatório para pequenas empresas?
Sim, em formato simplificado para MEI/ME/EPP/startups (Resolução CD/ANPD nº 2/2022) — a obrigação em si não é dispensada.
Qual é a diferença entre ROPA e política de privacidade?
A política é pública, voltada ao titular. O ROPA é interno, voltado à prestação de contas e apresentado à ANPD quando solicitado.
O que o ROPA precisa conter?
Categorias de dados e titulares, finalidade, base legal, forma de coleta, compartilhamentos, transferência internacional (se houver), prazo de retenção e medidas de segurança.