RoPA para pequena empresa: o modelo simplificado da ANPD

8 de agosto de 2026LGPD de Todos11 min de leitura

Se a sua empresa é de pequeno porte, você pode fazer o registro das operações de tratamento de forma simplificada, e a ANPD publicou um modelo oficial para isso. São oito blocos, e o preenchimento de um processo cabe em poucos minutos. O que a simplificação não faz é dispensar: o registro continua obrigatório, e a diferença está no tamanho do formulário, não na existência dele.

Três nomes para a mesma coisa, e vale saber os três porque cada um aparece em um lugar: a lei chama de registro das operações de tratamento, o mercado chama de RoPA, do inglês record of processing activities, e os questionários de cliente costumam pedir por registro de atividades de tratamento.

RoPA é a sigla que o mercado adotou para o registro das operações de tratamento de dados pessoais. Ela vem do inglês, e talvez seja a primeira coisa a atrapalhar: um nome estrangeiro de três letras faz uma planilha parecer um projeto. Quem vende consultoria não tem pressa de desfazer essa impressão, e é comum receber uma proposta com uma matriz de trinta colunas para descrever cinco processos que ela conhece de cabeça.

1. Quem é obrigado, e o que a lei pede

O Art. 37 da LGPD manda o controlador e o operador manterem registro das operações de tratamento que realizam. Não existe faixa de faturamento que dispense, não existe porte que escape, e não existe a figura do "só tenho cadastro de cliente, então não preciso". Cadastro de cliente é operação de tratamento.

A confusão comum é achar que o registro serve para a ANPD. Ele serve primeiro para a empresa. Uma empresa que não sabe listar o que trata também não sabe responder um pedido de titular, não sabe avaliar o impacto de um vazamento e não consegue dizer a um cliente quais dados dele estão onde. O registro é o mapa, e quase todo o resto da adequação depende de ele existir.

2. O que a simplificação muda de verdade

O Art. 9º da Resolução CD/ANPD nº 2/2022 permite ao agente de tratamento de pequeno porte cumprir a obrigação do Art. 37 de forma simplificada, e o parágrafo único diz que a ANPD fornecerá o modelo. Ela forneceu. O arquivo está na central de conteúdo da Autoridade, em Excel e em PDF, com uma aba de instruções de preenchimento.

Vale reparar no verbo. A resolução diz que o agente pode cumprir de forma simplificada, e não que ele está dispensado. A obrigação continua sendo a do Art. 37; o que muda é a forma aceitável de cumpri-la. Quem lê rápido às vezes conta essa história como se pequeno porte não precisasse de registro, e isso é falso. E há uma consequência prática para o resto dos documentos: com o registro preenchido, escrever a política deixa de depender de achar um bom modelo de política de privacidade, porque o conteúdo já está levantado.

Também vale dizer quem não pode usar a simplificação. Pelo Art. 3º do mesmo regulamento, fica de fora quem realiza tratamento de alto risco, quem passa do limite de receita bruta e quem pertence a grupo econômico que passa desse limite. O critério de alto risco é cumulativo e está explicado no nosso texto sobre o que a LGPD pede da pequena empresa.

3. Os oito blocos do modelo, um a um

O modelo oficial pede oito coisas, e sete delas a empresa já sabe de cabeça. A oitava, a hipótese legal, costuma ser a única que dá trabalho, e é justamente a que não se resolve copiando de modelo pronto.

Repare no que não está na lista: risco residual, matriz de probabilidade, dono do dado, classificação em quatro níveis, ciclo de vida desenhado. Nada disso é errado, e tudo isso aparece em proposta de consultoria. Só não é o que a Autoridade pede de uma empresa pequena.

4. Uma linha por processo, e três exemplos oficiais

O registro se organiza por processo, e não por sistema nem por setor. É o que o modelo pede no bloco de processo, finalidade e hipótese legal, e é o que os exemplos dele mostram.

Os três exemplos abaixo são os do próprio modelo da ANPD, com a hipótese legal que ela usou em cada um. Lá eles aparecem com o nome completo do processo: coleta de dados pessoais de candidatos, cadastro de clientes e registro de funcionários. Servem bem como ponto de partida porque quase toda empresa tem os três.

A organização por processo incomoda no começo, porque a empresa enxerga a própria operação por sistema: o que está no e-mail, o que está na planilha, o que está no sistema de vendas. Só que "planilha do financeiro" não responde para que aqueles dados servem, e é essa a pergunta que a lei faz. Um mesmo sistema costuma atender três processos, e um mesmo processo costuma passar por três sistemas.

Sobre o prazo de guarda, o modelo dá um exemplo simples: dados de candidatos mantidos por um ano. O valor não vem da lei, vem da sua realidade e do que justifique a finalidade. O que não funciona é deixar o campo em branco ou escrever "indeterminado", porque aí a pergunta seguinte de qualquer avaliador é por que a empresa guarda para sempre um dado que usou uma vez.

5. Tipo de dado, nunca o valor

As instruções do modelo oficial dizem, com todas as letras, para marcar ou especificar apenas os tipos de dados, e não os valores numéricos, como números de CPF e RG, nem a descrição deles. É a linha mais importante do documento inteiro, e a que menos gente lê.

O erro acontece assim: alguém entende que o RoPA precisa mostrar quais dados a empresa tem, abre a planilha de clientes ao lado e começa a copiar. Em uma tarde o registro tem nome, CPF e telefone de várias pessoas reais. O documento criado para provar que a empresa cuida de dados pessoais passa a ser mais um lugar onde eles moram, e um lugar ruim: planilha de conformidade circula por e-mail, vai anexada em resposta a cliente e costuma ficar sem controle de acesso, porque ninguém pensa nela como base de dados.

O registro correto diz categoria. Que a empresa trata nome, CPF e telefone de clientes, para vender, com aquela hipótese legal, guardando por tanto tempo. Quem lê entende a operação sem ver um único dado de pessoa real, que é exatamente o objetivo.

6. Como saber que o seu está desatualizado

Um registro envelhece por evento, e não por calendário. Quem revisa "uma vez por ano" costuma revisar um documento que já estava errado havia dez meses, e quem espera o calendário deixa passar a mudança que importava.

Os quatro eventos que quase sempre desatualizam um registro:

• entrou sistema novo, ou saiu um antigo que ainda guarda dados
• entrou fornecedor que acessa dados pessoais em nome da empresa
• a finalidade mudou, mesmo que os dados sejam os mesmos, e é aqui que mora o risco maior, porque usar para uma coisa o que foi coletado para outra é problema de base legal e não de formulário
• o prazo de guarda mudou, ou a empresa começou a guardar o que antes descartava

Se algum desses aconteceu desde a última revisão e o registro não mudou, ele está desatualizado, e não adianta a data no rodapé dizer o contrário. Registrar a data de cada revisão junto com o que mudou é o que separa um documento de uma evidência, assunto do texto sobre como comprovar que a sua empresa está se adequando.

7. Perguntas frequentes

Pequena empresa é obrigada a ter RoPA?

É obrigada a ter o registro das operações de tratamento, que o Art. 37 da LGPD exige de controlador e de operador. O que a Resolução CD/ANPD nº 2/2022 permite, no Art. 9º, a quem está no regime diferenciado, é cumprir essa obrigação de forma simplificada, e a própria ANPD publicou o modelo. Simplificado não é dispensado: a diferença está no tamanho do formulário, não na existência dele.

Posso colocar o CPF dos meus clientes no RoPA?

Não, e as instruções do modelo oficial dizem isso com todas as letras: deve-se marcar ou especificar apenas os tipos de dados, e não os valores numéricos, como números de CPF e RG, nem a descrição deles. O registro descreve categorias, como nome, CPF e telefone. Uma planilha com dados reais de clientes deixa de ser prova de governança e vira um novo risco, concentrado em um arquivo que circula por e-mail.

Preciso usar exatamente o modelo da ANPD?

Não. O Art. 9º diz que a ANPD fornecerá modelo para o registro simplificado, e não que ele é de uso obrigatório. Usar o modelo oficial tem uma vantagem prática: quando a ANPD pede o registro, ela recebe o documento no formato que ela mesma desenhou para a fiscalização, e ninguém precisa discutir formato. Um registro próprio serve, desde que cubra o que o Art. 37 exige.

Uma linha por processo ou uma linha por sistema?

Uma por processo. O modelo pede o nome do processo interno, a finalidade e a hipótese legal, e os exemplos dele são processos: coleta de dados de candidatos, cadastro de clientes, registro de funcionários. Organizar por sistema parece prático porque é assim que a empresa enxerga a própria operação, mas quebra na hora de responder para que servem aqueles dados, que é a pergunta que a lei faz.

Com que frequência o RoPA precisa ser revisto?

A LGPD não fixa prazo. O que importa é que ele corresponda à realidade, então a revisão é por evento e não por calendário: entrou sistema novo, entrou fornecedor que acessa dados, mudou finalidade, mudou prazo de guarda. Uma revisão anual sem nenhum fato no meio é um carimbo. Registrar a data de cada revisão e o que mudou é o que transforma o documento em evidência.

O que é o RoPA na LGPD?

É o registro das operações de tratamento de dados pessoais que o Art. 37 obriga controlador e operador a manter, e a sigla vem do nome em inglês. É uma lista, por processo, do que a empresa faz com dado pessoal: cadastro de clientes, folha de pagamento, câmera, envio de promoção. Para cada processo, os dados, a finalidade, a hipótese legal, com quem compartilha, por quanto tempo guarda e como protege. Para agente de pequeno porte, a ANPD publicou um modelo simplificado com oito blocos. É o documento que alimenta todos os outros: sem ele não dá para escrever o aviso, responder um titular nem avaliar risco.

Fontes: Lei nº 13.709/2018 (LGPD), Arts. 7º, 11 e 37 · Resolução CD/ANPD nº 2/2022, Arts. 3º e 9º, no texto vigente com a alteração da Resolução nº 15/2024 · Modelo de registro das operações de tratamento para agentes de pequeno porte, com as instruções de preenchimento, revisto em janeiro de 2025 · Guia Orientativo sobre Segurança da Informação para agentes de tratamento de pequeno porte

Publicado por LGPD de Todos, projeto da EFAR Consultoria em TI. Veja como produzimos os nossos textos.