Como fazer o inventário de dados pessoais em uma pequena empresa

Um inventário de dados pessoais organiza o que a empresa coleta, para que usa, onde guarda, com quem compartilha e por quanto tempo mantém essas informações. O caminho mais rápido é entrevistar quem executa processos reais, como matrícula, atendimento, admissão e cobrança, em vez de começar pelos sistemas.

O que é o inventário de dados pessoais e quando ele se aplica

O inventário de dados pessoais é o levantamento das operações em que uma empresa trata dados de pessoas físicas. Tratamento inclui coletar, acessar, consultar, registrar, armazenar, compartilhar, alterar, excluir e até visualizar dados.

Ele serve de base para o programa de privacidade, para responder clientes, fornecedores e titulares de dados, revisar contratos e identificar riscos. Também é a matéria-prima do registro de operações de tratamento previsto no art. 37 da LGPD.

Para aprofundar: Planilha, software ou consultoria de LGPD.

Na prática, toda pequena empresa que lida com dados de clientes, pacientes, alunos, colaboradores, candidatos, fornecedores ou visitantes precisa fazer esse levantamento. Uma clínica trata dados de saúde. Uma escola trata dados de alunos e responsáveis. Um e-commerce trata cadastro, entrega e pagamento. Uma empresa de RH trata currículos, folha e benefícios.

O inventário não precisa começar como um catálogo técnico de todas as colunas do banco de dados. Esse é justamente um dos erros que mais atrasam o projeto.

Comece pelos processos de negócio, não pelos sistemas

Quem procura saber como fazer mapeamento de dados LGPD costuma iniciar perguntando quais dados existem no sistema financeiro, no CRM ou no sistema de gestão. A pergunta parece lógica, mas frequentemente produz uma lista extensa, difícil de validar e pouco útil para decisões de privacidade.

O processo de negócio mostra o contexto. Ao entrevistar a pessoa responsável por cobrança, por exemplo, fica mais fácil entender qual é a finalidade, quais titulares estão envolvidos, quais dados são necessários, quem acessa, quais fornecedores participam e quando os registros deixam de ser necessários.

Compare as duas abordagens:

O sistema continua importante, mas entra como um campo da operação, não como ponto de partida. Uma mesma ferramenta pode apoiar atividades diferentes, com finalidades e prazos de retenção distintos.

Por exemplo, o mesmo sistema pode guardar dados de clientes ativos, ex clientes, leads, fornecedores e colaboradores. Tratar tudo isso como uma única operação prejudica a análise.

Prepare o escopo e o roteiro de entrevistas

Antes de entrevistar áreas, defina quais unidades, processos e ferramentas entrarão no inventário. Em uma pequena empresa, é possível começar pelos processos que movimentam mais dados pessoais ou envolvem dados sensíveis, crianças e adolescentes, pagamentos, saúde ou grande volume de contatos.

Para entregar um inventário na semana seguinte, não tente alcançar perfeição documental. Organize uma versão validável, registre pendências e marque os pontos que dependerão de contratos, política interna ou orientação jurídica.

Ordem prática de execução

1. Liste os processos principais da empresa, sem detalhar sistemas nesta etapa.
2. Escolha um responsável de negócio para cada processo.
3. Faça entrevistas curtas e objetivas, registrando respostas durante a conversa.
4. Peça exemplos reais de formulários, mensagens, relatórios, contratos e telas.
5. Identifique sistemas, planilhas, pastas, e mails e fornecedores usados.
6. Consolide as respostas em um modelo de inventário LGPD.
7. Devolva o registro ao responsável da área para validação.
8. Transforme os achados em registro de operações de tratamento e mapa de fluxo.

A disponibilidade das pessoas é o principal fator de esforço. Empresas que reúnem responsáveis, documentos e acessos conseguem avançar rapidamente. Quando cada área responde em momentos diferentes ou ninguém sabe quem aprovou uma ferramenta, o trabalho aumenta.

Roteiro de perguntas para cada operação

Use perguntas ligadas ao trabalho que a área realmente realiza:

• Qual atividade começa este processo e qual resultado ele entrega?
• Quem são os titulares dos dados, como clientes, pacientes, alunos, responsáveis, colaboradores ou candidatos?
• Quais dados são necessários para executar a atividade?
• Há dados sensíveis, dados de crianças ou adolescentes, documentos, imagens ou geolocalização?
• De onde os dados vêm, como formulário, contrato, telefone, e mail, atendimento presencial ou integração?
• Qual é a finalidade concreta desse uso?
• Qual hipótese legal da LGPD sustenta o tratamento?
• Em quais sistemas, arquivos, planilhas ou equipamentos os dados ficam?
• Quem na empresa pode acessar essas informações?
• Há fornecedor, parceiro, contador, plataforma ou órgão público recebendo os dados?
• Por quanto tempo os dados são mantidos e qual regra define esse prazo?
• Os dados vão para servidores ou empresas localizadas fora do Brasil?
• Como a área elimina, anonimiza ou bloqueia os dados ao fim do prazo?

Evite perguntar apenas “quais dados vocês têm?”. A resposta tende a ser incompleta. Pergunte sobre uma rotina específica, do início ao fim.

Registre os campos mínimos de cada operação

Cada linha do inventário deve representar uma operação de tratamento compreensível. “Atendimento a clientes por canais digitais”, “admissão de colaboradores” e “cobrança de mensalidades” são exemplos melhores do que “sistema X” ou “base de clientes”.

Os campos mínimos são:

Inclua ainda campos de observações, evidências e pendências. Eles evitam que dúvidas sejam esquecidas e permitem separar o que foi confirmado do que ainda precisa de validação.

A base legal não deve ser escolhida automaticamente. Um contrato pode justificar etapas necessárias à prestação contratada, enquanto uma obrigação legal ou regulatória pode justificar determinada guarda documental. Consentimento não é uma resposta padrão para tudo.

Uma forma de manter esse inventário vivo é o inventário guiado por processo do Mapadados.

Encontre os tratamentos invisíveis

A maior parte das empresas conhece os sistemas principais, mas esquece canais informais e ferramentas contratadas diretamente por colaboradores. São esses pontos que costumam aparecer em auditorias de clientes maiores e em incidentes de segurança.

Durante a entrevista, procure expressamente por:

• Planilhas salvas na máquina do funcionário ou em pastas compartilhadas.
• Grupos de WhatsApp usados para atendimento, escala, cobrança ou troca de documentos.
• Formulários de contato, orçamento, currículo e cadastro no site.
• Câmeras na recepção, estacionamento, estoque ou sala de atendimento.
• Currículos recebidos por e mail ou aplicativos de mensagem.
• Arquivos físicos, como fichas, contratos, prontuários e listas de presença.
• Ferramentas de videoconferência, assinatura eletrônica e armazenamento em nuvem.
• Plataformas de pagamento, marketing, recrutamento, contabilidade e suporte técnico.
• Acessos remotos de fornecedores de TI.

Uma pergunta útil é: “Se o sistema principal ficar indisponível hoje, onde a equipe procura os dados para continuar trabalhando?”. A resposta frequentemente revela planilhas, mensagens e cópias locais.

Não trate a existência de uma ferramenta informal como culpa do colaborador. Primeiro registre o uso real. Depois, avalie se a ferramenta deve ser regularizada, substituída, restringida ou incorporada a um processo oficial.

Transforme o levantamento em registro de operações e mapa de fluxo

O inventário bruto reúne informações coletadas nas entrevistas. O registro de operações de tratamento organiza essas informações de forma que a empresa consiga demonstrar sua rotina de dados, conforme o art. 37 da LGPD.

A estrutura pode ser a mesma, desde que cada operação tenha finalidade, titulares, categorias de dados, base legal, responsáveis, sistemas, compartilhamentos e retenção claramente identificados. O importante é que o documento seja compreensível, atualizado e sustentado por evidências.

O mapa de fluxo complementa o registro. Ele mostra por onde os dados passam:

1. Entrada do dado, como formulário, ligação, balcão ou integração.
2. Uso interno, como atendimento, análise, cobrança ou execução do serviço.
3. Armazenamento, em sistema, nuvem, arquivo físico ou planilha.
4. Compartilhamento, com operador, parceiro, contador, plataforma ou órgão público.
5. Encerramento, com eliminação, bloqueio, devolução, arquivamento ou anonimização.

Um fluxo simples pode mostrar: cliente preenche formulário no site, dados chegam ao e mail comercial, entram no CRM, são acessados pela equipe de vendas e seguem para a plataforma de contrato. Se a plataforma hospeda dados fora do Brasil ou permite suporte internacional, isso deve ser analisado no campo de transferência internacional.

Leitura complementar: Resolução 2/2022 e a empresa de pequeno porte.

O que mais dá errado e como corrigir

O erro de escopo mais comum é mapear campo por campo de todos os bancos de dados. Além de consumir tempo, essa escolha cria um documento difícil de manter. Corrija agrupando dados por operação, sem perder a distinção entre finalidades relevantes.

Outro problema é entrevistar apenas TI. A equipe técnica sabe onde parte dos dados está armazenada, mas vendas, recepção, RH, financeiro e operação explicam por que os dados são usados. O inventário precisa combinar as duas visões.

Também é comum copiar bases legais sem analisar a atividade. Quando houver dúvida, mantenha a pendência registrada e busque validação jurídica. É melhor apontar uma decisão pendente do que preencher o campo com uma justificativa inadequada.

Por fim, um inventário parado envelhece rápido. Inclua uma rotina para revisálo quando houver novo fornecedor, nova campanha, alteração de sistema, abertura de canal de atendimento ou mudança no processo de trabalho.

Conclusão

Um inventário de dados pessoais útil começa pelo processo que a empresa executa todos os dias. Com entrevistas estruturadas, campos mínimos e atenção aos tratamentos invisíveis, é possível transformar conversas operacionais em um registro de operações de tratamento e em um mapa de fluxo que a equipe consiga manter.

O Mapadados foi pensado para apoiar esse caminho, partindo de processos como matrícula, atendimento, admissão e cobrança, em vez de uma planilha vazia. Para avaliar como isso se encaixa na sua operação ou na carteira de clientes, peça uma demonstração.

Este conteúdo é assinado por Jimenez Julien, editor do Mapadados.