Compliance e integridade

LGPD: encarregado, ROPA e relatório de impacto

Estrutura de prova da LGPD: encarregado com mandato real, registro das operações de tratamento atualizado e relatório de impacto onde ele é exigido.

Três documentos sustentam a conformidade quando alguém pergunta. O encarregado é a pessoa indicada para receber comunicações do titular e da autoridade nacional, com identidade divulgada publicamente. O registro das operações de tratamento, conhecido como ROPA, descreve cada tratamento realizado pelo controlador e pelo operador: finalidade, categorias de dados e de titulares, compartilhamentos, prazo de guarda e medidas de segurança adotadas. O relatório de impacto à proteção de dados descreve tratamentos que podem gerar risco às liberdades civis e às garantias fundamentais, com as medidas de mitigação. A autoridade nacional pode determinar a apresentação desse relatório ao agente de tratamento.

O que trava na prática é a manutenção. ROPA construído em planilha na fase de adequação envelhece em poucos meses, porque sistema novo entra, contrato muda e finalidade se expande sem ninguém registrar. Sem gatilho de atualização ligado ao processo de mudança de tecnologia e de contratação, o registro vira ficção documental. No encarregado, o erro é nomear alguém sem tempo, sem acesso e sem canal divulgado, ou nomear justamente quem decide sobre o tratamento e fica em conflito. No relatório de impacto, o erro é produzir texto descritivo sem avaliação de risco e sem decisão: o documento precisa concluir se o tratamento segue, com quais salvaguardas e quem aprovou.

A MERC estrutura os três com foco em manutenção. Define modelo de ROPA compatível com a realidade de sistemas do cliente, integra a atualização ao fluxo de mudanças e de contratação de fornecedor, e testa por amostra se o registro corresponde ao que os sistemas realmente fazem. Define o mandato do encarregado, o fluxo de atendimento ao titular com controle de prazo e o relato periódico à administração. Aplica critério objetivo para decidir quando o relatório de impacto é necessário e conduz a avaliação junto do negócio e da tecnologia. Entrega documentos prontos para exame externo. A firma avalia independência antes de assumir qualquer função em cliente de auditoria.

O que examinamos

• Indicação e divulgação pública do encarregado
• Mandato, acesso e independência de quem exerce a função
• ROPA completo e aderente aos sistemas reais
• Gatilho de atualização ligado a mudanças e contratos
• Critério para exigir relatório de impacto
• Controle de prazo no atendimento ao titular

Norma aplicável

Lei 13.709/2018, artigos 37, 38 e 41, quanto ao registro das operações de tratamento, ao relatório de impacto e ao encarregado. A regulamentação da ANPD trata de particularidades do agente de tratamento de pequeno porte, a confirmar na versão vigente.

Entregável

ROPA implantado com rotina de atualização, definição de mandato do encarregado e metodologia de relatório de impacto com critério de acionamento.