Mapeamento de dados LGPD: quais perguntas fazer para cada área da empresa

Um mapeamento de dados LGPD não nasce de uma lista genérica enviada por e-mail para todas as áreas. Ele nasce quando alguém consegue explicar como o trabalho acontece: quais dados chegam, de onde vêm, quem usa, por que usa, com quem compartilha, onde guarda, quanto tempo mantém e o que faz quando a finalidade termina. A entrevista é uma das melhores formas de transformar processos informais em informações que podem ser analisadas e registradas.

O desafio é que cada área descreve sua rotina com uma linguagem diferente. O RH fala de admissões, benefícios e afastamentos. Marketing pensa em campanhas, públicos e conversão. O financeiro fala de cobrança, conciliação e prevenção a fraude. TI fala de integrações, ambientes e logs. O papel de quem conduz o mapeamento é fazer perguntas que traduzam essas rotinas para uma visão de tratamento de dados, sem transformar a conversa em uma prova jurídica ou técnica.

O mapeamento organiza as operações de tratamento realizadas pela empresa. Ele pode registrar finalidade, categorias de titulares e dados, origem, base legal, sistemas, áreas, agentes, compartilhamentos, transferências, retenção, segurança, riscos e responsáveis. Esse conjunto forma uma visão do ciclo de vida dos dados e serve de base para políticas, contratos, avaliações de risco, RIPD, atendimento de direitos e planos de ação.

A entrevista é necessária porque os registros oficiais nem sempre mostram o que acontece no cotidiano. Uma equipe pode exportar dados do CRM para uma planilha temporária, salvar documentos em uma pasta compartilhada, enviar informações por aplicativo de mensagem ou pedir a um fornecedor que faça uma atividade que não aparece no contrato principal. Essas práticas podem ser legítimas, inadequadas ou simplesmente desconhecidas pela governança. O mapeamento precisa descobrir o fato antes de decidir o tratamento.

Uma boa entrevista começa antes da reunião. Quem conduz o projeto deve entender o negócio, revisar o organograma, consultar sistemas conhecidos e identificar quais processos pertencem à área. Não é necessário chegar com uma conclusão pronta, mas é importante ter hipóteses que ajudem a fazer perguntas específicas. Se o entrevistador não sabe que o marketing usa uma plataforma de automação ou que o financeiro recebe arquivos bancários, pode deixar de explorar pontos relevantes.

Convide pelo menos uma pessoa que execute o trabalho e outra que tenha visão de gestão. A liderança sabe por que o processo existe e quais decisões são importantes; a pessoa operacional sabe quais arquivos, telas e atalhos são usados. Se apenas a liderança participar, o mapeamento pode ficar idealizado. Se apenas a operação participar, pode faltar clareza sobre finalidade, aprovação e responsabilidade.

Uma entrevista eficiente segue o fluxo do processo, e não apenas uma lista de categorias. Comece pelo objetivo do trabalho, acompanhe a entrada dos dados, percorra usos e compartilhamentos, e termine com retenção, segurança e mudanças. Essa sequência ajuda o entrevistado a lembrar de situações e reduz respostas abstratas.

Durante a conversa, diferencie o que a área sabe do que ela presume. A frase usamos o sistema da empresa pode esconder exportações, acessos de suporte e cópias locais. A frase guardamos pelo prazo legal pode não indicar qual norma, qual documento ou qual evento inicia o prazo. O entrevistador deve pedir exemplos, mostrar uma tela ou documento quando possível e registrar o ponto que ainda precisa ser validado.

Antes de entrar nas perguntas específicas, use um conjunto comum para criar comparabilidade entre as entrevistas. O objetivo não é repetir um questionário inteiro, mas garantir que nenhuma atividade fique sem informações mínimas. Perguntas abertas revelam o processo; perguntas de confirmação ajudam a fechar os campos do RoPA.

O RH trata dados durante todo o ciclo de vida da relação de trabalho, desde o recrutamento até o desligamento. A entrevista deve separar processos que muitas vezes ficam misturados: atração e seleção, admissão, folha, benefícios, saúde ocupacional, avaliação, treinamento, investigação interna e encerramento do vínculo. Cada etapa pode envolver finalidades, dados, fornecedores e prazos diferentes.

Exemplo prático: o RH pode informar que envia a um gestor uma planilha com nome, cargo, salário, afastamento e motivo médico. A entrevista deve perguntar se o gestor precisa de todos esses campos ou apenas da informação necessária para organizar a equipe. O resultado pode ser uma medida de minimização, uma revisão de acesso e uma orientação para que o diagnóstico não circule em relatórios gerenciais.

Marketing costuma combinar dados de cadastro, navegação, interação, campanha, compra e comportamento. O mapeamento precisa separar comunicação transacional, relacionamento, publicidade, segmentação, análise de audiência e personalização. Uma mesma ferramenta pode executar todas essas funções, mas as finalidades e bases legais não são necessariamente iguais.

Exemplo prático: uma área pode dizer que usa e-mail para relacionamento, mas revelar durante a entrevista que também cria públicos para anúncios, registra eventos em um pixel e envia listas para uma agência. O mapeamento deve separar os tratamentos, identificar destinatários, revisar transparência e verificar se as preferências do titular são respeitadas em todos os canais.

O financeiro trata dados cadastrais, bancários, fiscais, contratuais, de cobrança, pagamento, fraude e conciliação. A entrevista precisa descobrir o caminho entre pedido, faturamento, recebimento, cobrança, registro contábil e auditoria. Também deve separar dados usados para executar uma transação de dados usados para prevenção a fraude ou análise de risco.

Exemplo prático: um sistema de cobrança pode manter informações do cliente em CRM, ERP, plataforma de pagamento e planilha de negociação. A entrevista deve mapear a fonte oficial, as sincronizações, os dados que cada fornecedor recebe e o que acontece quando a dívida é encerrada. O resultado pode abrir uma tarefa de eliminação de cópias e revisão de perfis de acesso.

O comercial costuma receber dados de leads, contatos profissionais, decisores, representantes, clientes e parceiros. A entrevista deve entender como a prospecção começa, quais fontes são usadas, quando o lead entra no CRM, quem recebe os dados e como a empresa diferencia relacionamento legítimo de uma abordagem que o titular não espera.

Atendimento e suporte revelam dados em conversas, anexos, gravações, protocolos, telas e históricos. O entrevistador deve seguir o atendimento do início ao fim, identificando como a pessoa é validada, quais dados são consultados, quais informações ficam no chamado e quais equipes ou fornecedores podem visualizar o conteúdo.

Exemplo prático: a equipe pode afirmar que usa o sistema de chamados apenas para suporte, mas a entrevista revelar que gravações são transcritas por uma ferramenta de inteligência artificial e usadas para avaliar desempenho. São tratamentos diferentes, com possíveis fornecedores, riscos, transparência e prazos distintos. O mapeamento deve capturar essa diferença.

TI conhece a infraestrutura, mas pode não conhecer todas as finalidades de negócio. O entrevistador deve combinar perguntas técnicas e operacionais. O objetivo é identificar onde os dados existem, como circulam e quais controles protegem o tratamento, sem assumir que o sistema é a própria finalidade.

Exemplo prático: uma aplicação pode não ter um campo chamado dado sensível, mas registrar em logs o conteúdo de uma mensagem enviada pelo usuário. A entrevista deve perguntar o que é logado, quem consulta, quanto tempo fica disponível, se existe mascaramento e se os logs são enviados para um fornecedor externo. Esse fluxo pode gerar uma atividade própria no RoPA e uma ação de engenharia segura.

Jurídico e compliance ajudam a interpretar obrigações, contratos, riscos e decisões, mas também tratam dados em suas próprias rotinas. A entrevista deve entender pareceres, processos, investigações, denúncias, auditorias, contratos, solicitações de autoridades e documentos de suporte. Dados recebidos para analisar a conformidade de outra área continuam precisando de finalidade e controle.

Operações e logística podem tratar dados em entregas, visitas, transporte, rastreamento, portaria, manutenção e gestão de terceiros. Compras participa da seleção de fornecedores, mas a área solicitante muitas vezes conhece melhor o acesso que o fornecedor terá. A entrevista deve conectar o processo de contratação ao fluxo de dados que será colocado em execução.

A liderança ajuda a entender prioridades, apetite de risco, decisões estratégicas e mudanças planejadas. A entrevista com executivos não deve repetir todos os detalhes operacionais. Ela deve buscar uma visão sobre quais processos são críticos, quais riscos podem afetar o negócio, quais recursos existem e como a empresa quer acompanhar a evolução da adequação.

É comum uma área responder que não compartilha dados, enquanto o contrato ou o sistema mostra uma integração ativa. Em vez de tratar isso como falha da entrevista, use a divergência como ponto de validação. Pergunte qual definição de compartilhamento está sendo usada, mostre o fluxo identificado e registre o que ainda precisa ser confirmado.

Um bom relatório de entrevista separa fatos, interpretações e decisões. Por exemplo: a área informou que o fornecedor recebe a base semanalmente é um fato relatado; o fornecedor atua como operador é uma qualificação que precisa ser analisada; reduzir a base enviada é uma decisão ou recomendação. Essa separação melhora a qualidade do RoPA e evita que uma conclusão provisória seja tratada como verdade definitiva.

Uma entrevista pode produzir dezenas de respostas, mas o RoPA precisa de atividades organizadas. Não crie uma linha para cada campo de formulário nem uma linha única para uma área inteira. A unidade de registro deve refletir uma finalidade e um fluxo que possam ser analisados, controlados e atualizados.

Exemplo: no marketing, cadastro de leads, envio de campanha e análise de conversão podem usar a mesma ferramenta, mas representam tratamentos diferentes. No RH, recrutamento, banco de talentos e admissão podem compartilhar documentos, mas possuem finalidades e prazos próprios. O mapeamento precisa preservar essa diferença para que as decisões sejam específicas.

O formato do registro pode variar conforme o porte, o setor e a complexidade da organização. A estrutura precisa ser suficiente para compreender a operação e permitir atualização. Evite criar campos que ninguém consiga manter ou que incentivem respostas copiadas. Um registro mais simples e atualizado costuma ser melhor do que um formulário completo e abandonado.

A primeira versão do mapeamento é uma hipótese organizada, não um documento definitivo. Depois das entrevistas, compare respostas com sistemas, contratos, políticas, fornecedores, fluxos de segurança e amostras de documentos. A validação pode confirmar a informação, corrigir uma interpretação ou revelar que duas áreas descrevem o mesmo tratamento de forma diferente.

A validação deve terminar com um responsável claro. O DPO ou consultor pode conduzir e consolidar, mas a área dona do processo precisa reconhecer que o registro representa sua operação. Isso cria uma cultura de responsabilidade distribuída e reduz a dependência de uma única pessoa para manter o RoPA atualizado.

O mapeamento não deve ser revisado apenas durante o projeto de adequação. Ele precisa acompanhar mudanças de produto, contratação, tecnologia, fornecedor, finalidade, base legal, prazo de retenção, incidente e estrutura organizacional. Para isso, defina gatilhos e dê às áreas uma forma simples de informar alterações.

A funcionalidade de Mapeamento de Dados da LGPD Cloud permite transformar as respostas das entrevistas em atividades organizadas, com responsáveis, sistemas, finalidades, bases legais, agentes, riscos e documentos relacionados. A equipe pode conduzir o levantamento, registrar pendências, solicitar validação à área e acompanhar alterações sem depender de uma planilha diferente para cada departamento.

Depois do diagnóstico, os próprios responsáveis podem atualizar informações autorizadas sobre seus processos. O DPO ou consultor mantém a governança, revisa alterações e acompanha os pontos que exigem aprovação. Isso transforma o RoPA em um ambiente de colaboração e não apenas em um documento produzido uma vez para encerrar uma etapa do projeto.

O mapeamento de dados LGPD é mais confiável quando nasce da realidade das áreas. Perguntas específicas revelam finalidades, dados, sistemas, fornecedores e decisões que um formulário genérico costuma esconder. RH, marketing, financeiro, comercial, atendimento, TI, jurídico, operações e liderança precisam participar com a perspectiva de quem conhece o processo e pode mantê-lo atualizado.

Com a LGPD Cloud, as respostas podem ser estruturadas diretamente em um ambiente centralizado, relacionadas a responsáveis, riscos, contratos, políticas, LIA, RIPD e demais decisões de governança. Depois do projeto inicial, cada área pode colaborar com atualizações dentro do escopo autorizado, enquanto DPOs e consultores acompanham pendências, revisões e mudanças. Fale com a LGPD Cloud para transformar entrevistas em um RoPA vivo e útil para toda a organização.

Consulte o texto compilado da LGPD, especialmente o artigo 37 sobre registro das operações de tratamento, e as perguntas frequentes da ANPD, que mencionam mapeamento, registro de operações, bases legais e finalidades. Para agentes de tratamento de pequeno porte, consulte também o modelo simplificado de registro divulgado pela ANPD. A estrutura deve ser adaptada ao setor, ao porte e à complexidade da organização.