Um contrato armazenado em uma pasta de rede, um currículo recebido por e-mail, um prontuário sob guarda física e uma planilha compartilhada podem conter dados pessoais sujeitos à LGPD. Saber como criar inventário de dados pessoais é o passo que transforma esse conjunto disperso de documentos, sistemas e processos em informação governável, auditável e protegida.
Para empresas de médio e grande porte, o inventário não deve ser tratado como uma planilha produzida apenas para responder a uma demanda jurídica. Ele é uma base operacional para decisões de privacidade, segurança da informação, retenção documental, digitalização e gestão de riscos. Sem visibilidade sobre onde os dados estão, quem os utiliza e por quanto tempo permanecem disponíveis, a organização não consegue demonstrar controle efetivo.
O que é um inventário de dados pessoais
O inventário de dados pessoais é o registro estruturado dos tratamentos de dados realizados pela organização. Ele identifica quais dados são coletados, de quem são obtidos, para qual finalidade são usados, onde são armazenados, quem pode acessá-los, com quem são compartilhados e quais medidas protegem essas informações.
Na prática, ele conecta a visão jurídica da LGPD à realidade operacional. A área de RH pode tratar dados cadastrais, bancários e de saúde de colaboradores; o departamento comercial, dados de contato de clientes e representantes; a engenharia, registros de profissionais alocados em obras; e o jurídico, documentos com informações sensíveis ou estratégicas. Cada fluxo exige uma leitura própria de finalidade, necessidade, acesso e retenção.
O inventário também serve de insumo para o Registro das Operações de Tratamento de Dados Pessoais, previsto no artigo 37 da LGPD. Os dois documentos podem compartilhar a mesma base de informações, mas não devem ser reduzidos a um formulário genérico. O registro precisa refletir o tratamento que realmente ocorre, inclusive nos arquivos físicos, caixas de guarda, e-mails, sistemas legados, plataformas em nuvem e documentos digitalizados.
Por que começar pelo processo, e não pelo sistema
Um erro recorrente é iniciar o levantamento perguntando apenas quais sistemas a empresa utiliza. Sistemas são relevantes, mas o tratamento começa no processo de negócio. Uma admissão de colaborador, por exemplo, pode envolver formulário eletrônico, documentos apresentados em papel, validações por e-mail, lançamento em sistema de folha, arquivo físico e compartilhamento com clínica ocupacional ou instituição financeira.
Se o mapeamento parar no software de RH, parte relevante do ciclo ficará invisível. O mesmo ocorre em contratos, atendimentos, controles de acesso, processos judiciais, prontuários e documentação técnica. Em organizações com acervos acumulados, a ausência de classificação documental torna a tarefa mais sensível: não basta saber que existe uma sala de arquivos. É necessário identificar séries documentais, responsáveis, conteúdo, prazo de guarda e regras de consulta.
Comece pelos processos que apresentam maior volume de dados, maior sensibilidade ou maior exposição regulatória. RH, saúde e segurança do trabalho, jurídico, financeiro, atendimento, comercial e tecnologia costumam ser prioridades. Depois, avance para processos de suporte e exceções operacionais.
Como criar inventário de dados pessoais em etapas
1. Defina escopo, responsáveis e padrão de registro
O inventário precisa de patrocínio institucional e responsáveis claros. Privacidade, jurídico, TI, segurança da informação, gestão documental e donos de processo devem participar, cada qual com uma função definida. O DPO pode coordenar o método, mas não deve preencher o inventário sozinho: quem executa o processo conhece as etapas, os documentos e as práticas reais de uso da informação.
Estabeleça uma matriz ou ferramenta central com campos padronizados. A padronização evita que cada área descreva situações equivalentes de maneiras incompatíveis, o que dificulta auditorias e atualizações futuras. Também é recomendável definir critérios para classificar dados pessoais, dados pessoais sensíveis, dados de crianças e adolescentes e informações que não se enquadram como dados pessoais.
2. Levante as atividades de tratamento
Conduza entrevistas objetivas com os responsáveis por cada processo e valide o que foi informado por meio de evidências operacionais. Fluxogramas, formulários, modelos de contrato, permissões de sistemas, relatórios, arquivos físicos e procedimentos internos ajudam a identificar etapas que não aparecem em respostas superficiais.
Para cada atividade, descreva o evento que inicia o tratamento e o resultado esperado. No recrutamento, o fluxo pode começar com o recebimento do currículo e terminar com a eliminação ou retenção justificada do cadastro. Na gestão de fornecedores, pode iniciar na homologação e seguir até o encerramento contratual e o cumprimento das obrigações legais de guarda.
Esse método reduz o risco de inventariar apenas bancos de dados formais e ignorar cópias locais, e-mails, grupos de trabalho, arquivos em papel e repositórios não estruturados.
3. Registre as informações que permitem governar o fluxo
Cada registro deve conter informações suficientes para análise jurídica, operacional e técnica. Em geral, os campos essenciais são:
- nome e descrição da atividade de tratamento;
- área responsável, operadores internos e fornecedores envolvidos;
- titulares afetados, como colaboradores, clientes, candidatos ou visitantes;
- categorias de dados pessoais e identificação de dados sensíveis;
- finalidade, hipótese legal e eventual consentimento utilizado;
- origem dos dados, meios de coleta, sistemas, arquivos físicos e locais de armazenamento;
- acessos, compartilhamentos, transferências internacionais e destinatários;
- prazo de retenção, critério de descarte e medidas de segurança aplicáveis.
O nível de detalhamento depende do risco e da complexidade. Um processo com dados de saúde, biometria, informações de menores ou grande volume de titulares exige registro mais minucioso do que uma rotina administrativa de baixo impacto. Por outro lado, detalhar cada campo de uma base sem vínculo com a finalidade pode tornar o inventário difícil de manter. O equilíbrio está em registrar o necessário para demonstrar necessidade, rastreabilidade e controles.
4. Relacione o inventário à gestão documental
A LGPD não elimina obrigações de guarda previstas em normas trabalhistas, fiscais, regulatórias, contratuais ou processuais. Por isso, a definição de prazo de retenção não pode ser feita com uma regra única de exclusão. Cada documento e cada dado devem ser avaliados conforme sua finalidade, obrigação legal, prazo prescricional e tabela de temporalidade aplicável.
Em acervos físicos, o inventário deve indicar unidade de guarda, código de classificação, série documental, responsável e condição de acesso. Na digitalização, é preciso preservar a integridade, a rastreabilidade e a relação entre imagem, índice e documento de origem. Processos alinhados ao Decreto nº 10.278/2020 e às diretrizes arquivísticas aplicáveis fortalecem a confiabilidade do acervo digital e reduzem a dependência de buscas manuais.
A gestão documental bem estruturada também ajuda a evitar retenção excessiva. Manter documentos por tempo indeterminado amplia a superfície de risco, aumenta custos de guarda e dificulta atender solicitações dos titulares.
5. Valide base legal, acessos e compartilhamentos
Com o fluxo registrado, a organização pode verificar se a finalidade declarada corresponde à prática e se a hipótese legal escolhida é adequada. Consentimento não é uma solução automática. Em relações trabalhistas, obrigações legais, execução de contrato, exercício regular de direitos e proteção da saúde podem ser hipóteses mais consistentes, conforme o caso concreto.
Revise também os acessos. O princípio do menor privilégio deve orientar permissões em sistemas, armários, arquivos, pastas de rede e plataformas colaborativas. Se uma área acessa dados apenas por conveniência, e não por necessidade funcional, há um ponto de correção.
Compartilhamentos com operadores exigem atenção especial. O inventário deve apontar quais fornecedores recebem dados, quais categorias são transferidas, para qual finalidade, em que ambiente o tratamento ocorre e quais cláusulas contratuais, instruções e controles sustentam a relação. Sem essa visão, a empresa não consegue avaliar adequadamente sua cadeia de tratamento.
Transforme o inventário em rotina de controle
Um inventário estático perde valor rapidamente. Novos aplicativos, integrações, contratos, campanhas, mudanças de processo e aquisições alteram o ciclo dos dados. A atualização deve ser acionada por eventos de mudança, não apenas por uma revisão anual.
Inclua o inventário nos fluxos de aprovação de fornecedores, implantação de sistemas, criação de formulários, digitalização de acervos e revisão de políticas de retenção. Dessa forma, a privacidade passa a ser considerada antes que o processo entre em produção. Indicadores simples, como percentual de processos mapeados, tratamentos revisados no período e fornecedores avaliados, ajudam a demonstrar evolução à administração.
Para operações com grande volume documental, a combinação entre consultoria LGPD, classificação arquivística, digitalização controlada e sistemas de gestão documental reduz lacunas entre o que a empresa declara e o que efetivamente consegue localizar. A Arquindex atua justamente nessa integração entre acervo, processo, tecnologia e conformidade.
Um inventário bem construído não é um retrato burocrático da empresa. Ele é um instrumento vivo para decidir o que coletar, onde guardar, quem pode acessar, quando eliminar e como comprovar que cada tratamento ocorre sob controle.