Mapeamento de dados na LGPD: o inventário que sustenta a adequação
Você não protege nem justifica o que não sabe que tem. O mapeamento é o primeiro passo prático e a base de quase todas as decisões seguintes.
O mapeamento de dados, também chamado de data mapping, é o levantamento de quais dados pessoais a empresa trata, de onde eles vêm, onde ficam, quem acessa, com quem são compartilhados e por quanto tempo são mantidos. Parece burocrático, mas é o passo que torna tudo o mais possível: base legal, gestão de direitos, avaliação de risco e resposta a incidentes se apoiam nesse retrato.
A LGPD ainda prevê o registro das operações de tratamento, uma documentação que descreve os tratamentos realizados. O mapeamento alimenta esse registro. Este guia mostra como fazer o levantamento de forma útil, sem transformá-lo em uma planilha gigante que ninguém mantém.
O que levantar em cada tratamento
Um bom mapeamento responde, para cada conjunto de dados, a um punhado de perguntas. Quais dados são esses e se há dados sensíveis entre eles. De onde vieram, se do próprio titular, de terceiros ou gerados pela empresa. Onde ficam armazenados, em quais sistemas e serviços. Quem tem acesso, internamente e nos fornecedores. Com quem são compartilhados. E por quanto tempo são guardados, com qual justificativa.
Essas respostas, reunidas, formam o inventário. A partir dele a empresa consegue enxergar onde estão os riscos concentrados, quais dados poderiam ser descartados e quais fluxos precisam de uma base legal clara. O inventário também revela o que costuma escapar: cópias em drives pessoais, exportações antigas, integrações esquecidas.
- Quais dados, e se há dados sensíveis
- Origem dos dados
- Onde ficam armazenados
- Quem acessa, dentro e fora da empresa
- Com quem são compartilhados
- Por quanto tempo são mantidos e por quê
Seguir os fluxos, não só as bases de dados
Mapear tabelas de banco de dados é o começo, mas os dados se movem. Um cadastro entra pelo site, vai para um sistema de vendas, é exportado para uma planilha, sobe para uma ferramenta de e-mail marketing e aparece num relatório. Cada salto é um ponto onde os dados existem, com controles próprios e riscos próprios. Seguir o fluxo revela exposições que o inventário estático não mostra.
É acompanhando os fluxos que se descobre, por exemplo, que dados de clientes trafegam para um fornecedor sem contrato adequado, ou que uma planilha com dados pessoais mora num drive compartilhado com meio mundo. Esses são exatamente os pontos que um incidente costuma explorar.
Descoberta técnica e classificação
Perguntar às áreas quais dados elas tratam é o ponto de partida, mas a memória das pessoas tem lacunas. A descoberta técnica complementa a entrevista: varrer bancos, buckets de armazenamento e repositórios em busca de padrões que revelam dado pessoal, como CPF, e-mail e cartão, encontra o que ninguém lembrou de mencionar. É comum esse levantamento apontar dados esquecidos em ambientes de teste, exportações antigas e logs que guardam mais do que deveriam.
Classificar os dados encontrados dá foco ao esforço. Marcar cada conjunto por sensibilidade, do dado público ao sensível, permite concentrar os controles mais fortes onde o risco é maior, em vez de tratar tudo igual. Essa classificação também orienta a retenção, o registro de tratamento e a resposta a um incidente, porque a gravidade de um vazamento depende diretamente de qual categoria de dado foi exposta. É nessa descoberta e classificação que o apoio técnico da GUARDIASEC se encaixa, entregando ao encarregado um retrato do que existe e de onde estão os pontos críticos.
Retenção e descarte
Dado pessoal que não precisa mais existir é risco puro, sem benefício. A LGPD trabalha com os princípios da necessidade e da finalidade: os dados devem ser mantidos apenas pelo tempo necessário para cumprir a finalidade que justificou a coleta, salvo prazos legais de guarda. O mapeamento é onde se define, para cada conjunto, quanto tempo faz sentido manter.
Definir retenção e descartar o que passou do prazo reduz a superfície de dados que a empresa precisa proteger. Menos dados guardados significa menos coisa para vazar, menos para atender num pedido de acesso e menos para migrar num incidente. O descarte precisa ser seguro, de forma que o dado apagado não volte de um backup esquecido.
Do mapa ao registro de tratamento
O registro das operações de tratamento é a documentação que a LGPD espera que o controlador mantenha, descrevendo os tratamentos que realiza. Ele se alimenta direto do mapeamento: as finalidades, as bases legais, as categorias de dados e de titulares, os compartilhamentos e os prazos de retenção saem do que foi levantado. Para agentes de pequeno porte, a ANPD permite um registro em formato simplificado.
O valor do registro está em ser mantido vivo. Um documento montado uma vez e esquecido descreve uma empresa que já mudou. O ideal é que criar um novo tratamento passe a incluir, naturalmente, a atualização do mapa e do registro, para que a documentação continue verdadeira.
Checklist prático
- Levantar quais dados pessoais a empresa trata e se há dados sensíveis
- Registrar a origem de cada conjunto de dados
- Mapear onde os dados ficam armazenados, em todos os sistemas
- Identificar quem acessa, internamente e nos fornecedores
- Seguir os fluxos, incluindo exportações e planilhas
- Definir prazos de retenção e descartar o que passou do prazo
- Montar o registro das operações de tratamento a partir do mapa
- Manter o mapa e o registro atualizados a cada novo tratamento
Boas práticas
- Comece o mapeamento pelos dados de maior risco, como os sensíveis
- Siga os fluxos de dados, não apenas as bases estáticas
- Use o mapa para descartar dados que não precisam mais existir
- Mantenha o registro de tratamento vivo, não como documento único
- Trate o descarte como parte do mapeamento, com apagamento seguro
Erros comuns
Mapear só os sistemas oficiais e ignorar planilhas e drives
Cópias de dados fora dos sistemas ficam sem controle e viram brechas.
Fazer o mapa uma vez e nunca atualizar
A documentação descreve uma empresa que já mudou de operação.
Guardar dados sem prazo de retenção
A superfície de dados só cresce, aumentando o risco a cada ano.
Apagar dados sem considerar backups
O dado tido como excluído reaparece de uma cópia antiga.
Quando procurar apoio especializado
O mapeamento técnico de onde os dados pessoais estão, quem acessa e como trafegam é uma das entregas centrais da GUARDIASEC no apoio à LGPD. Levantamos os fluxos nos sistemas e na nuvem, apontamos exposições e cópias fora de controle e entregamos o retrato que sustenta o registro de tratamento e as decisões do encarregado.
Para aprofundar: cursos recomendados
Estes cursos gratuitos do Valor Final ajudam a levar o assunto deste guia da teoria para a prática, no seu ritmo.
Curso de LGPD Essencial
GratuitoCurso gratuito de LGPD para quem trabalha em empresa. Mostra na prática o que pode e o que não pode ser feito com dados de clientes, colegas e fornecedores, em linguagem simples e com fontes oficiais.
Valor FinalCursos do Valor Final
CertificadoPortal de cursos online gratuitos, com certificado ao concluir. A trilha de privacidade e proteção de dados começa pelo curso de LGPD e ganha novos cursos com o tempo.
Valor FinalPerguntas frequentes
Preciso de uma ferramenta específica para mapear dados?
Não necessariamente. Empresas menores conseguem começar com um inventário bem estruturado em planilha, desde que ele siga os fluxos e seja mantido atualizado. Ferramentas dedicadas ajudam quando o volume de sistemas e tratamentos cresce, automatizando a descoberta e a manutenção. O que importa é a qualidade do levantamento, não a ferramenta.
O que é o registro das operações de tratamento?
É a documentação que descreve os tratamentos de dados pessoais que a empresa realiza, com finalidades, bases legais, categorias de dados e de titulares, compartilhamentos e prazos de retenção. A LGPD espera que o controlador mantenha esse registro, e a ANPD permite um formato simplificado para agentes de pequeno porte. Ele se alimenta diretamente do mapeamento de dados.
Por quanto tempo posso guardar os dados?
Pelo tempo necessário para cumprir a finalidade que justificou a coleta, respeitando prazos legais de guarda quando existirem, como os prazos fiscais e trabalhistas. Passada a finalidade e o prazo legal, o dado deve ser eliminado ou anonimizado. Definir esses prazos por tipo de dado é parte do mapeamento e reduz a superfície de risco.
Mapear dados é uma vez só?
Não. O mapeamento é vivo. Cada novo sistema, fornecedor ou uso de dados muda o mapa, e um inventário desatualizado engana mais do que ajuda. O ideal é embutir a atualização do mapa no fluxo de trabalho, de modo que criar um tratamento novo já inclua registrar quais dados ele usa, onde ficam e por quanto tempo.
Guias relacionados
Próximo passo
Vamos avaliar os riscos do seu ambiente?
Conte seu cenário e definimos juntos o escopo certo. O objetivo é reduzir caminhos prováveis de ataque e elevar a maturidade de segurança, sem promessas absolutas.