Registro das operações de tratamento
O que a lei diz
A organização precisa manter um registro atualizado de todas as operações de tratamento de dados que realiza: o que coleta, onde guarda e com quem compartilha.
- Controlador e operador devem manter registro das operações de tratamento que realizam.
- O registro costuma reunir quais dados são tratados, de quem, para quê, com qual base legal, onde ficam, com quem são compartilhados e por quanto tempo.
- A lei destaca esse registro especialmente quando o tratamento se baseia no legítimo interesse.
Texto da lei
Como está publicado na Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais), texto compilado, sem as redações revogadas. Consultado em 29 de setembro de 2026.
Art. 37. O controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse.
Visões por perfil
Escolha um perfil para ver o que o artigo pede de quem ocupa esse papel:
Ao desenhar fluxos e personas, você é quem melhor sabe quais dados cada tela coleta. Essa informação alimenta o registro das operações de tratamento que a organização precisa manter: documente os dados pessoais de cada fluxo junto do protótipo e avise quando surgir um campo novo.
O que fazer
Mantenha, junto do protótipo, a lista de dados pessoais de cada fluxo.
Avise a equipe quando um novo campo com dado pessoal for incluído.
Documente a finalidade de cada dado no próprio material de design.
Peça a revisão do registro ao remover ou mudar fluxos.
Protótipo e registro
Um novo campo entra no cadastro.
Errado: Campo novo sem registro
Protótipo
Campo “Nome da mãe” adicionado ao cadastro, sem anotação de finalidade.
O registro fica desatualizado, e ninguém sabe por que o dado é pedido.
Certo: Dados anotados no próprio fluxo
Protótipo
Cadastro: nome (identificação), e-mail (comprovantes), CEP (cálculo da entrega). “Campo novo com dado pessoal? Avise o canal de privacidade.”
O design documenta dados e finalidades e alimenta o registro.
Ao criar e manter o sistema, o mapa técnico dos dados é a base do registro das operações: onde cada dado pessoal é armazenado, processado e para onde é enviado. Cada mudança no banco de dados ou nova integração precisa atualizar esse mapa.
O que fazer
Documente onde cada dado pessoal é armazenado, processado e para onde é enviado, incluindo APIs e terceiros.
Atualize o registro a cada mudança no banco de dados ou nova integração.
Identifique os serviços de nuvem e os fornecedores que recebem dados.
Use ferramentas de descoberta de dados para encontrar dados pessoais esquecidos.
Nova integração com uma ferramenta de marketing
O sistema passa a enviar eventos de compra para um fornecedor.
Errado: Integração invisível
fetch("https://api.ferramenta-x.com/eventos", { method: "POST", body: JSON.stringify(pedido), // inclui nome, e-mail e endereço });Dados pessoais vão para um terceiro que não aparece no registro.
Certo: Integração mínima e registrada
// registro: ferramenta-x recebe o id e o valor do pedido, sem dados pessoais enviarEvento("ferramenta-x", { pedidoId: pedido.id, valor: pedido.total });Só o necessário é enviado, e o fluxo consta no registro.
Ao definir a visão do produto e priorizar requisitos, trate o registro das operações como parte do produto, e não como burocracia: ele precisa estar sempre atualizado e pronto para ser apresentado à ANPD. Defina quem o mantém e inclua a atualização na definição de pronto.
O que fazer
Defina quem mantém o registro e com que frequência ele é revisado.
Inclua a atualização do registro na definição de pronto das funcionalidades com dados pessoais.
Use o registro para decidir onde fazer relatório de impacto (art. 38).
Tenha o registro pronto para apresentar à ANPD, se for pedido.
Quando o registro é atualizado
Como a equipe mantém o registro em dia.
Errado: Uma tarefa por ano
Processo
“O jurídico atualiza a planilha de dados uma vez por ano.”
Entre uma atualização e outra, o registro não reflete o sistema.
Certo: Na definição de pronto
Critério de pronto
“Uma história com dados pessoais só está pronta quando o registro foi atualizado e revisado pelo encarregado.”
O registro acompanha cada entrega.
Ao testar o sistema, compare o que ele faz de fato com o que está no registro: dados coletados, integrações com terceiros e prazos de retenção. Tudo o que o sistema faz e o registro não menciona é um defeito a relatar.
O que fazer
Compare os dados coletados nos fluxos com os listados no registro.
Verifique se as integrações com terceiros estão registradas.
Aponte dados que o sistema guarda e o registro não menciona.
Confira se os prazos de retenção registrados são os aplicados.
O sistema bate com o registro?
Inspeção das requisições da tela de pagamento.
Errado: Defeito: terceiro fora do registro
O que o teste encontrou
A tela de pagamento envia o e-mail da pessoa para um serviço de análise de fraude que não aparece no registro.
O tratamento existe, mas não está registrado.
Certo: Esperado: sistema e registro batem
Resultado esperado
Todos os domínios de terceiros encontrados nas requisições constam no registro, com a finalidade.
O registro descreve o que o sistema faz.
Ao estabelecer padrões para o conteúdo, use o registro das operações como fonte da verdade da política de privacidade. O que a política diz sobre dados, finalidades e compartilhamentos precisa bater com o registro, escrito de um jeito que o público entenda.
O que fazer
Use o registro para escrever a política de privacidade com informações corretas.
Mantenha a política alinhada a cada atualização do registro.
Escreva as finalidades de um jeito que também sirva ao público.
Descreva os terceiros de forma compreensível, como “empresa de envio de e-mails”.
Compartilhamento na política de privacidade
O trecho que explica com quem os dados são compartilhados.
Errado: Texto genérico
Texto na política
“Podemos compartilhar seus dados com parceiros comerciais.”
Não diz quais parceiros nem para quê, e pode nem corresponder ao que acontece.
Certo: Texto baseado no registro
Texto na política
“Compartilhamos seu endereço com a transportadora, só para entregar o pedido, e seu e-mail com a empresa que envia nossos e-mails.”
Cada compartilhamento com destinatário e finalidade.