Um software para LGPD vale o investimento quando mantém o registro das operações de tratamento (art. 37 da Lei 13.709/2018) atualizado e ligado ao resto: relatórios de impacto, pedidos dos titulares, incidentes e operadores. Para avaliar, teste a ferramenta contra os prazos da lei e da ANPD: 15 dias para a declaração completa ao titular, três dias úteis para comunicar um incidente relevante e cinco anos de guarda do registro de incidentes.
O software não substitui o encarregado nem decide a base legal de um tratamento. Ele serve para que a decisão fique registrada, com data e responsável, e possa ser mostrada à ANPD quando ela pedir.
Na demonstração, use os seus dados
Peça para ver estes casos com tratamentos parecidos com os seus, e não com o roteiro do fornecedor:
- Altere um tratamento. Inclua dados sensíveis em um tratamento já registrado. A ferramenta avisa que o RIPD precisa ser revisto? O histórico guarda a versão anterior?
- Abra um pedido de acesso. O prazo de 15 dias do art. 19, II, aparece contado do requerimento? Dá para ajustá-lo, já que o § 4º permite à ANPD fixar prazos diferentes por setor?
- Registre um incidente. A contagem é em dias úteis? Os prazos dobram para agentes de pequeno porte (Res. CD/ANPD 15/2024, art. 6º, § 8º)? O registro traz os itens mínimos do art. 10, § 1º, inclusive o motivo de não comunicar? O detalhe dos prazos está no artigo sobre comunicação de incidente.
- Cadastre uma transferência. Existe campo para o mecanismo do art. 33, com a adequação da União Europeia e as cláusulas-padrão da Res. 19/2024 para os demais países?
- Prepare uma resposta à ANPD. Peça o registro, o RIPD e o histórico de incidentes de um tratamento exportados em um só pacote, com datas e responsáveis.
Desconfie de quem vende um «modelo oficial da ANPD» para o RIPD ou para o registro das operações. A ANPD ainda não publicou regulamento próprio sobre nenhum dos dois para empresas que não são de pequeno porte, e o conteúdo mínimo do relatório segue sendo o do art. 38.
Duas armadilhas comuns
A primeira é a ferramenta nascida para o RGPD europeu e só traduzida. O prazo de 72 horas para notificar e o de um mês para responder ao titular não são os da LGPD, e termos como operador e encarregado têm sentido próprio aqui. Verifique se a configuração brasileira é real.
A segunda é separar privacidade e segurança. O art. 46 obriga a adotar medidas técnicas e administrativas; se a privacidade fica em um sistema e os controles de ISO 27001 em outro, o RIPD cita medidas que ninguém consegue comprovar. Em grupos com vários CNPJs, pergunte também se o registro se separa por empresa sem perder a visão do grupo.
Na nossa leitura
O registro das operações é a espinha do programa de privacidade. Quando ele vive separado dos incidentes e dos pedidos dos titulares, cada resposta à ANPD vira uma investigação interna para descobrir quais dados, de quais titulares, estavam em qual sistema. Daríamos mais peso a como a ferramenta liga essas peças do que à quantidade de modelos de documento que ela oferece. E, como quase toda empresa já tem o registro em planilha, a importação precisa manter o vínculo entre tratamento, sistema e operador, e não apenas copiar linhas.
No GlobalSuite®, o módulo de Proteção de dados traz a LGPD carregada, mantém o registro das operações com base legal, finalidade, operadores e transferências, e acompanha cada pedido de titular com responsável e prazo. Para ver isso com os seus tratamentos, peça uma demonstração.
Fontes oficiais: Lei 13.709/2018 (LGPD); regulamentações da ANPD; Resolução CD/ANPD nº 15/2024; orientação da ANPD sobre incidentes de segurança; Resolução CD/ANPD nº 2/2022; transferência internacional de dados na ANPD. Conteúdo revisado em outubro de 2026.
