Mapeamento de dados LGPD: passo a passo na empresa

Mapeamento de dados é o inventário de cada uso de dado pessoal na empresa: que dado entra, de quem, para quê, com qual base legal, onde fica, quem acessa, por quanto tempo e com quem é compartilhado. Ele é a base do registro das operações que a LGPD exige de controladores e operadores (art. 37). O caminho prático é levantar processo por processo em cada área, preencher uma planilha simples e, depois, usar o resultado para cortar excessos e corrigir contratos.

Por que começar pelo mapa

Sem mapa, cada outra tarefa de proteção de dados vira palpite. Não dá para escrever um aviso de privacidade fiel, responder a um titular no prazo, avaliar um vazamento ou negociar com um fornecedor sem saber quais dados existem e onde estão.

O mapa também é exigência direta. Controlador e operador devem manter registro das operações de tratamento, especialmente quando a base legal é o legítimo interesse (LGPD, art. 37). E é dele que sai o relatório de impacto quando a ANPD o pedir (art. 38).

Para quem é microempresa, empresa de pequeno porte ou startup, a ANPD permite cumprir o registro de forma simplificada e publicou um modelo para isso (Resolução CD/ANPD 2/2022, art. 9º). A flexibilização não vale para quem faz tratamento de alto risco ou ultrapassa os limites de receita do regulamento (art. 3º). Se esse é o seu caso, veja também LGPD em pequenas empresas: por onde começar.

Os conceitos que você vai usar

• Dado pessoal: qualquer informação ligada a uma pessoa natural identificada ou identificável, como nome, CPF, e-mail, placa do carro ou endereço IP (LGPD, art. 5º, I).
• Dado sensível: origem racial ou étnica, religião, opinião política, filiação sindical, saúde, vida sexual, dado genético ou biométrico (art. 5º, II). Tem regras mais estritas (art. 11).
• Tratamento: qualquer operação com o dado, da coleta à eliminação, passando por armazenar, consultar e compartilhar (art. 5º, X).
• Controlador e operador: o controlador decide sobre o tratamento; o operador trata em nome dele, como um sistema de folha ou uma agência de marketing (art. 5º, VI e VII).
• Finalidade e necessidade: o uso precisa ter propósito legítimo, específico e informado, e ficar limitado ao mínimo necessário (art. 6º, I e III).
• Base legal: a hipótese da lei que autoriza aquele uso, como execução de contrato, obrigação legal, legítimo interesse ou consentimento (art. 7º).

Passo a passo do mapeamento

1. Nomeie um responsável e um ponto focal por área. Quem coordena o projeto e, em cada setor, quem conhece a rotina. O mapeamento depende de quem faz o trabalho, não só da TI.
2. Liste os processos de cada área. Pense em atividades, não em sistemas: "admitir empregado", "emitir nota fiscal", "enviar newsletter", "atender chamado". Cada processo vira uma linha.
3. Entreviste os pontos focais com um roteiro curto. Que dados coletam, de quem, por qual canal, onde guardam, quem mais vê, para quem enviam e quando apagam. Peça para ver as telas e planilhas reais.
4. Preencha os campos do inventário. Use a tabela modelo abaixo. Registre tipos de dado, nunca os dados em si: escreva "CPF", não o número do CPF.
5. Defina a finalidade e a base legal de cada linha. Uma finalidade por linha. Se o mesmo dado serve a dois propósitos, faça duas linhas, porque a base legal pode ser diferente.
6. Marque os pontos de atenção. Dado sensível, dado de criança, adolescente ou idoso, compartilhamento com terceiros, armazenamento fora do país e uso de legítimo interesse.
7. Decida o que fazer com cada achado. Eliminar o que não tem finalidade, restringir acessos, ajustar contrato com o fornecedor, revisar o aviso de privacidade ou fazer avaliação de risco.
8. Valide com o jurídico e com a direção. A escolha da base legal e o tratamento dos riscos são decisões da empresa como controladora.
9. Mantenha o inventário vivo. Revise sempre que entrar um sistema novo, um produto novo ou um fornecedor novo, e faça uma revisão geral periódica.

Tabela modelo do inventário

O modelo da ANPD para pequenos usa campos semelhantes: contato da organização, categorias de titulares, dados, processo com finalidade e hipótese legal, compartilhamento, prazo de armazenamento e medidas de segurança. Comece por ele se a sua empresa se enquadrar.

Por onde olhar em cada área

Erros comuns

• Mapear sistemas em vez de processos. O mesmo sistema atende várias finalidades. Organize por atividade e anote os sistemas em cada linha.
• Colocar dados reais na planilha. O inventário passa a ser, ele próprio, um risco. Registre só os tipos de dado.
• Escolher consentimento para tudo. Consentimento pode ser revogado e precisa ser livre e informado. Para folha de pagamento ou nota fiscal, por exemplo, há bases mais adequadas, como obrigação legal e execução de contrato.
• Esquecer os fornecedores. Ferramentas de e-mail, nuvem, folha e atendimento são operadores, e o tratamento deve seguir as instruções do controlador (art. 39). Sem contrato que trate disso, a empresa perde controle.
• Não definir prazo de guarda. A lei manda eliminar o dado após o fim do tratamento, salvo exceções como obrigação legal (arts. 15 e 16). Sem prazo, o acúmulo vira risco em qualquer incidente.
• Fazer uma vez e arquivar. O mapa envelhece a cada sistema novo. Coloque a revisão no calendário. Ele também é a primeira consulta quando há um incidente de segurança.

Checklist

Perguntas frequentes

O que é mapeamento de dados na LGPD? É o levantamento organizado de todos os usos de dados pessoais na empresa, com finalidade, base legal, local de armazenamento, acessos, compartilhamentos e prazo de guarda. Ele sustenta o registro das operações previsto no art. 37 da LGPD.

Qual a diferença entre mapeamento de dados e registro das operações (ROPA)? Na prática, o mapeamento é o trabalho de levantar as informações, e o registro é o documento que resulta dele e precisa ser mantido. Muitas empresas usam a mesma planilha para os dois.

Empresa pequena precisa fazer mapeamento? Precisa saber quais dados trata e por quê, porque as bases legais, os princípios e os direitos dos titulares valem para todos (Resolução CD/ANPD 2/2022, art. 6º). O que muda é a forma: agentes de pequeno porte podem manter o registro simplificado, com modelo da ANPD.

Quanto tempo leva um mapeamento de dados? Depende do número de áreas, de sistemas e de processos. Em empresas pequenas, a primeira versão costuma sair em poucas semanas quando há pontos focais disponíveis. O ganho maior vem da revisão periódica.

Preciso de um software para mapear dados? Não necessariamente. Uma planilha bem estruturada atende muitas empresas. Ferramentas específicas ajudam quando há muitos processos, várias unidades ou mudanças frequentes.

Próximo passo

O guia LGPD na prática organiza as etapas de adequação, do mapeamento ao aviso de privacidade, e pode ser usado como roteiro interno. Se a empresa quiser apoio para conduzir o inventário e transformar os achados em contratos e documentos, o Dados em Conformidade reúne essas entregas com escopo e prazo definidos. Mais conteúdo em LGPD.

Fontes

• Lei 13.709/2018 (LGPD), arts. 5º, I, II, VI, VII e X; 6º, I e III; 7º; 11; 15; 16; 37; 38 e 39 (texto atualizado até a Lei 15.352/2026).
• Resolução CD/ANPD 2/2022, arts. 3º, 6º e 9º.
• ANPD, Modelo de Registro das Operações de Tratamento de Dados Pessoais para Agentes de Tratamento de Pequeno Porte (gov.br/anpd).

Conteúdo informativo. Não substitui consulta a um advogado.