A perspetiva da Cyber Academy
O ROPA é o inventário documentado das atividades de tratamento exigido pelo Artigo 30.º do GDPR. Os responsáveis pelo tratamento registam a finalidade, as categorias, os destinatários, a retenção e as transferências; os subcontratantes registam os responsáveis a quem prestam serviço, as categorias e as transferências. A maioria das organizações subestima o esforço de manutenção. A autoridade de supervisão solicita o ROPA em primeiro lugar quando abre uma investigação.
O que é realmente o ROPA (registo das atividades de tratamento)
O registo das atividades de tratamento é o mapa de tudo o que uma organização faz com dados pessoais. Não é uma política nem uma promessa; é um inventário, mantido atualizado, que permite responder a uma pergunta simples para qualquer operação de tratamento: que dados, com que finalidade, com que base jurídica, quem lhes acede, para onde vão e durante quanto tempo são conservados. O GDPR torna este registo uma obrigação ao abrigo do artigo 30.º e reparte o dever consoante o papel.
Um responsável pelo tratamento documenta as suas próprias atividades de tratamento; um subcontratante documenta as categorias de tratamento que realiza por conta dos responsáveis que serve. Os dois registos sobrepõem-se, mas não são iguais, e uma organização que atua simultaneamente como responsável e como subcontratante tem de manter ambos.
Na prática, o ROPA é o alicerce sobre o qual assenta o resto de um programa de privacidade. Não é possível conduzir uma AIPD significativa, responder a um pedido de acesso de um titular dos dados, delimitar uma violação ou negociar um contrato de subcontratação sem saber primeiro que o tratamento existe e onde residem os dados. É por isso que a autoridade de controlo pede o ROPA em primeiro lugar quando se abre uma investigação. É a forma mais rápida de um regulador avaliar se uma organização compreende realmente os seus próprios dados, e um registo pobre ou desatualizado sinaliza que o resto do programa provavelmente também o é.
O que contém: responsável face a subcontratante
As duas versões do registo contêm campos diferentes porque os dois papéis respondem a perguntas diferentes. Um responsável pelo tratamento decide porquê e como os dados são tratados, pelo que o seu registo tem de justificar cada finalidade. Um subcontratante apenas age sob instruções, pelo que o seu registo descreve o serviço que presta, não a lógica que lhe está subjacente.
| Elemento | Registo do responsável | Registo do subcontratante |
|---|---|---|
| Identidade e contacto | Responsável, eventuais responsáveis conjuntos, representante, DPO | Subcontratante, representante, DPO, e cada responsável servido |
| Finalidades | Finalidade de cada atividade de tratamento | Não exigida; o subcontratante age sob instruções |
| Titulares dos dados e categorias | Categorias de pessoas e de dados pessoais | Categorias de tratamento realizadas por cada responsável |
| Destinatários | A quem os dados são divulgados | Idem, quando relevante para o serviço |
| Transferências | Transferências para fora da UE e as garantias utilizadas | Transferências para fora da UE e as garantias utilizadas |
| Conservação | Prazos previstos para o apagamento sempre que possível | Não exigida separadamente |
| Segurança | Descrição geral das medidas técnicas e organizativas | Descrição geral das medidas técnicas e organizativas |
Os campos parecem administrativos, mas cada um suporta carga. Os prazos de conservação orientam os seus fluxos de eliminação. As listas de destinatários alimentam o seu inventário de subcontratantes e as suas avaliações de impacto das transferências. As categorias de dados assinalam onde um tratamento de categorias especiais desencadeia a obrigação de um DPO ou de uma AIPD. Preenchido com honestidade, o ROPA é uma ferramenta de diagnóstico operacional; preenchido como mero exercício de marcar caixas, é pior do que inútil, porque dá uma falsa garantia.
Quem tem de manter um e como se articula
O GDPR formula o dever do artigo 30.º com uma isenção para organizações com menos de 250 trabalhadores, mas a isenção é estreita o suficiente para que a maioria ainda precise de um registo. Cai assim que o tratamento não é ocasional, é suscetível de implicar um risco para as pessoas, ou envolve dados de categorias especiais ou relativos a infrações penais, o que abrange o tratamento corrente de quase todas as empresas em funcionamento. As autoridades de controlo, incluindo a CNIL, tratam o ROPA como uma prática esperada e não como uma obrigação rara, e a CNIL publica um modelo gratuito para baixar a barreira de entrada.
O registo não vive sozinho. É a espinha dorsal à qual se ligam a AIPD, a função de DPO e o processo de resposta a violações. O DPO usa-o para monitorizar a conformidade e aconselhar sobre o risco; uma AIPD começa por extrair a entrada pertinente; uma avaliação de violação usa-o para delimitar que dados e que pessoas estão em causa. As organizações que avançam para a ISO 27701 reconhecerão no ROPA, em essência, o sistema de gestão de informação de privacidade a pedir o mesmo inventário, razão pela qual as equipas maduras mantêm um único registo e o deixam servir vários regimes em vez de manter listas paralelas.
Perguntas frequentes
01Quem tem de manter um ROPA?
Tanto os responsáveis como os subcontratantes, cada um com a sua própria versão. A isenção para menos de 250 trabalhadores é estreita e raramente se aplica, porque desaparece assim que o tratamento é regular, arriscado ou envolve dados de categorias especiais, o que descreve quase todas as empresas ativas.
02Qual é a diferença entre o registo do responsável e o do subcontratante?
O registo do responsável documenta a finalidade e a base jurídica de cada atividade, uma vez que é o responsável que decide porque é que os dados são tratados. O registo do subcontratante descreve as categorias de tratamento que realiza para cada responsável que serve, porque um subcontratante age apenas sob instruções e não define a finalidade.
03Com que frequência deve o ROPA ser atualizado?
Sempre que o tratamento muda, e não segundo um calendário fixo. A abordagem fiável consiste em desencadear as atualizações a partir de eventos reais, como a integração de um novo fornecedor, o lançamento de uma funcionalidade ou a assinatura de um contrato de subcontratação, em vez de depender de uma revisão anual.
04Por que razão o regulador pede o ROPA em primeiro lugar?
Porque é a leitura mais rápida de se uma organização compreende os seus próprios dados. Um registo completo e atualizado mostra um programa em funcionamento; um pobre ou desatualizado sinaliza que a postura de conformidade mais ampla provavelmente também é fraca.
05O ROPA é a mesma coisa que uma AIPD?
Não. O ROPA é um inventário permanente de todas as atividades de tratamento. Uma AIPD é uma avaliação de risco mais aprofundada realizada para tratamentos específicos de elevado risco, e normalmente começa por extrair a entrada pertinente do ROPA.