A fiscalização da ANPD começa pedindo o registro das operações de tratamento. Veja por que inventários congelados viram risco e como mantê-los vivos.

O inventário que envelheceu em silêncio

Toda organização que passou por um projeto de adequação à LGPD guarda, em algum diretório de rede, uma planilha monumental. Centenas de linhas descrevendo processos, dados coletados, finalidades, bases legais, sistemas e compartilhamentos. O mapeamento de dados foi, provavelmente, a etapa mais trabalhosa do projeto: semanas de entrevistas, reuniões com todas as áreas, idas e vindas de versões. Quando ficou pronto, houve alívio e comemoração.

Depois, a planilha congelou. O sistema de gestão foi trocado, uma ferramenta de inteligência artificial entrou na operação de atendimento, o marketing contratou nova plataforma de automação, dois fornecedores foram substituídos e um novo canal de vendas foi lançado. Nenhuma dessas mudanças passou pelo inventário. Três anos depois, o registro das operações descreve uma empresa que não existe mais.

O detalhe incômodo é que ninguém percebe o envelhecimento. O documento continua lá, formatado, aprovado, com logotipo na capa. A sensação de dever cumprido permanece intacta, porque a defasagem de um inventário não dispara alarme: ela se acumula em silêncio, mudança a mudança, até que alguém de fora peça para vê-lo.

E esse pedido ficou muito mais provável.

O risco invisível: por que um mapa velho é pior do que mapa nenhum

Manter o registro das operações de tratamento não é boa prática opcional: é obrigação legal. O art. 37 da LGPD determina que controlador e operador mantenham registro das operações de tratamento de dados pessoais que realizarem. A norma vale para organizações de todos os portes; mesmo os agentes de tratamento de pequeno porte, beneficiados pelo regime simplificado da Resolução CD/ANPD 2/2022, seguem obrigados a manter registro em formato reduzido.

O que mudou foi a capacidade de cobrança. Em fevereiro de 2026, a ANPD foi convertida em agência reguladora pela Lei 15.352/2026, com autonomia funcional, técnica, decisória, administrativa e financeira, nova estrutura em superintendências (Decreto 12.881/2026 e Resolução CD/ANPD 33/2026) e carreira própria com 200 cargos de Especialista em Regulação e Proteção de Dados. A agência concluiu recentemente o monitoramento de 56 agentes de tratamento para verificar obrigações elementares; 21 deles não responderam e foram encaminhados para avaliação de sanção. O Mapa de Temas Prioritários 2026-2027 prevê ao menos 75 ações fiscalizatórias no biênio, com os direitos dos titulares no topo da lista.

Análise recente publicada pelo Migalhas resume a nova fase: a fiscalização quer verificar se as medidas de governança efetivamente existem e funcionam na prática, e recomenda que as organizações verifiquem, em due diligence preventiva, quando os seus registros de tratamento, contratos com operadores e bases legais foram revisados pela última vez. Não por acaso: o registro das operações costuma ser o primeiro documento solicitado em uma fiscalização, porque é a partir dele que a autoridade entende o que a organização faz com dados pessoais.

E aqui está o ponto que poucos enxergam: um registro desatualizado pode ser pior do que registro nenhum. Ele é a versão oficial da sua operação. Se descreve fluxos que não existem mais e ignora tratamentos novos, cada divergência entre o documento e a realidade vira evidência de que a governança não acompanha a operação. O princípio da responsabilização e prestação de contas, previsto no art. 6º, inciso X, da LGPD, exige demonstração de medidas eficazes; um inventário defasado demonstra exatamente o contrário. Na dosimetria da Resolução CD/ANPD 4/2023, essa diferença pesa: boas práticas comprovadas atenuam sanções que podem chegar a 2% do faturamento, limitadas a R$ 50 milhões por infração, nos termos do art. 52.

Há ainda o efeito dominó. O registro alimenta tudo: avisos de privacidade, respostas a titulares, relatórios de impacto, cláusulas contratuais. Quando o mapa está errado, os documentos derivados também estão, e a organização passa a prestar informações incorretas em cadeia, sem saber.

Como o módulo Mapeamento de Dados do PROTEGON resolve

É para transformar essa fotografia envelhecida em inventário vivo que existe o Mapeamento de Dados, módulo do PROTEGON identificado como ROPA. Em vez de uma planilha estática que depende de heroísmo para ser atualizada, o mapeamento passa a operar como processo contínuo:

• Inventário estruturado por processo e por área: cada operação de tratamento registra dados coletados, finalidades, bases legais, sistemas, compartilhamentos com terceiros e prazos de retenção, em formato padronizado e pesquisável;
• Ciclos de revisão com dono e prazo: cada área recebe a incumbência periódica de confirmar ou atualizar seus fluxos, e as pendências ficam visíveis para o encarregado, sem depender de lembretes informais;
• Histórico e trilha de atualização: as alterações ficam registradas com data e responsável, permitindo comprovar à fiscalização que o inventário é mantido, revisado e não apenas arquivado;
• Relatórios prontos para autoridade: o registro exigido pelo art. 37 é extraído em minutos, no recorte necessário, em vez de reconstruído às pressas depois da notificação;
• Base para os documentos derivados: avisos de privacidade, avaliações de impacto e respostas a titulares partem de dados atuais da operação, eliminando as contradições em cadeia;
• Visão consolidada para grupos e filiais: operações de diferentes unidades ficam no mesmo padrão, comparáveis e auditáveis.

Dois módulos complementam esse ciclo. O Diagnóstico de Setores identifica, área por área, os processos que ainda não foram mapeados ou que mudaram; o LYNQ, ferramenta de modelagem BPMN da plataforma, desenha o fluxo de cada processo e revela por onde os dados realmente circulam.

Do retrato antigo ao inventário vivo

Organizações que tratam o mapeamento como processo, e não como entregável, mudam de posição diante da nova ANPD. Uma notificação deixa de abrir uma força-tarefa de semanas para redescobrir a própria operação e passa a ser respondida com relatórios extraídos do sistema, com data de última revisão e responsável por cada fluxo. Em programas maduros, é plausível estimar que mais da metade do esforço de resposta a uma fiscalização se resume a exportar o que já está registrado.

Internamente, os ganhos aparecem antes de qualquer fiscalização. O encarregado responde requisições de titulares com precisão, porque sabe onde cada dado está. Projetos novos nascem já mapeados, porque incluir o fluxo no inventário virou etapa do processo, e não favor. A diretoria enxerga, em painéis, quais áreas mantêm seus registros em dia e quais acumulam pendências, transformando um assunto invisível em indicador de gestão.

E, quando a mudança inevitável acontecer, a troca de sistema, o novo fornecedor, a ferramenta de inteligência artificial, o inventário acompanha, porque existe um rito para isso.

Próximo passo

A era da orientação acabou. A nova ANPD tem estrutura, meta fiscalizatória e preferência declarada por verificar se a governança funciona na prática. O registro das operações é a porta de entrada dessa verificação, e inventários congelados no tempo são a primeira contradição que a autoridade encontra.

Se a ANPD pedisse hoje o seu registro das operações de tratamento, ele descreveria a sua operação real ou a de três anos atrás? Conheça o módulo Mapeamento de Dados do PROTEGON e transforme a planilha esquecida em inventário vivo, auditável e sempre atual.