Guias

Registro das operações de tratamento de dados (LGPD art. 37): o que incluir e quando fazer o RIPD

Pela Equipe NexoDocs · como fazemos e revisamos o conteúdo

O registro das operações de tratamento lista tudo o que uma organização faz com dados pessoais: para qual finalidade, de quais titulares, quais dados, com quem são compartilhados, se vão para outro país, por quanto tempo ficam guardados e como são protegidos. No Brasil, a LGPD exige no art. 37 que o controlador e o operador mantenham esse registro; na União Europeia (inclusive Portugal), o RGPD o exige no art. 30. O registro também é a base da ISO/IEC 27701 e do relatório de impacto à proteção de dados pessoais (RIPD), que a ANPD pode solicitar ao controlador. Este guia é apenas informativo e não é assessoria jurídica.

As colunas do registro do controlador

A LGPD não traz um formulário fixo, mas a prática (e o art. 30 do RGPD, para quem atua na Europa) indica o conteúdo mínimo. O formato mais prático é uma planilha com uma linha por operação de tratamento (por exemplo "folha de pagamento", "clientes da loja on-line", "CFTV") e estas colunas:

Vale acrescentar o sistema onde os dados estão, o responsável interno e uma coluna "RIPD necessário?": assim o mesmo registro ajuda a responder às solicitações dos titulares e a passar em auditorias.

O registro do operador

O art. 37 da LGPD vale também para o operador, isto é, quem trata dados em nome de clientes (um fornecedor SaaS ou uma empresa de folha de pagamento, por exemplo). O registro do operador deve indicar cada controlador para quem atua, as operações realizadas para cada um, as transferências internacionais e as medidas de segurança. Muitas empresas são controladoras (dos próprios empregados e clientes) e operadoras (dos dados dos clientes) e precisam dos dois registros.

O modelo, pronto para usar

Kit ISO 27701: a documentação do seu sistema de gestão da privacidade

40 documentos Word · 15 ferramentas Excel · 78 controles do Anexo A

Ver o kit ISO 27701 com modelos de registro e RIPD

Pequenas empresas têm regra simplificada?

Sim, no Brasil. A Resolução CD/ANPD nº 2/2022 permite que agentes de tratamento de pequeno porte mantenham o registro das operações de forma simplificada, mas não os dispensa de mantê-lo, e o benefício não vale para quem faz tratamento de alto risco. No RGPD, a exceção do art. 30(5) para organizações com menos de 250 pessoas é estreita: não cobre tratamentos habituais como folha de pagamento ou clientes.

Quando fazer o RIPD

A LGPD define o RIPD (art. 5º, XVII) como a documentação do controlador que descreve os processos de tratamento que podem gerar riscos às liberdades civis e aos direitos fundamentais, com as medidas para mitigá-los. A ANPD pode solicitá-lo (art. 38), inclusive quando o tratamento se baseia no legítimo interesse (art. 10, § 3º). É recomendável fazê-lo, entre outros casos, em:

• Tratamento de dados sensíveis ou de crianças e adolescentes em larga escala.
• Decisões automatizadas, inclusive perfilamento, que afetam os interesses dos titulares.
• Monitoramento sistemático de áreas de acesso público ou uso de tecnologias novas ou emergentes.

No RGPD, o equivalente é a avaliação de impacto sobre a proteção de dados (AIPD/DPIA) do art. 35, obrigatória quando o tratamento pode gerar risco elevado. A coluna "RIPD necessário?" do registro serve para identificar esses casos.

A ligação com a ISO 27701

A ISO/IEC 27701:2025 pede um sistema de gestão da privacidade da informação que identifique e documente os tratamentos de dados pessoais, avalie seus riscos e aplique controles para o papel de controlador e para o de operador. Um registro completo e um método de RIPD são as evidências centrais desse sistema e servem ao mesmo tempo à LGPD e ao RGPD.

• Manter um registro único, indicando em cada linha se a empresa atua como controladora ou operadora.
• Revisar o registro a cada mudança de sistema, fornecedor ou finalidade, e pelo menos uma vez por ano.
• Vincular cada linha à sua análise de riscos ou RIPD, aos contratos com operadores e ao aviso de privacidade.

Erros comuns

• Montar o registro por sistema ("o ERP", "o CRM") em vez de por finalidade: um sistema costuma servir a várias operações com prazos e bases legais diferentes.
• Escrever retenção "indeterminada" ou "pelo tempo necessário" sem critério.
• Esquecer provedores de nuvem no compartilhamento e suas transferências internacionais.
• Preencher uma vez e nunca atualizar: o registro deve refletir os tratamentos atuais.
• Não indicar os dados sensíveis, que mudam as bases legais possíveis e a necessidade de RIPD.

Próximo passo

Teste grátis ou vá direto à solução completa.

Kit ISO 27701: a documentação do seu sistema de gestão da privacidade

40 documentos Word · 15 ferramentas Excel · 78 controles do Anexo A

Ver o kit ISO 27701 com modelos de registro e RIPD

Amostra grátis

Baixe gratuitamente uma versão reduzida da matriz de riscos do kit (Excel, 10 cenários, mapa de calor; amostra em inglês). Veja como o nível e a categoria são calculados antes de decidir.

Baixar a amostra grátis (em inglês)

Perguntas frequentes

Guias relacionados

Atualizado: 2026-10-25