LGPD e Mapeamento de Ativos: Onde Seus Dados Pessoais Realmente Moram

Existe um descompasso comum nos programas de adequação à LGPD: o mapeamento de dados é feito por entrevistas e questionários sobre sistemas e processos ("usamos o ERP X, o CRM Y, planilhas no drive"), enquanto o parque físico que sustenta tudo isso — e que guarda cópias de tudo isso — fica fora do mapa. O resultado é um RoPA (registro das operações de tratamento, do inglês Records of Processing Activities) que descreve fluxos lógicos com precisão e não sabe dizer quantos notebooks com dados de clientes circulam pela empresa, onde estão os discos das CFTVs, ou o que aconteceu com os servidores trocados na última atualização de infraestrutura. Fechar esse descompasso exige cruzar o mapa de dados com um inventário de ativos de TI físico e atualizado.

O que a LGPD exige: art. 37, art. 46 e a eliminação (art. 16)

Três dispositivos da lei formam o tripé que conecta dados a ativos. O art. 37 determina que o controlador e o operador mantenham registro das operações de tratamento que realizarem — é a base do RoPA, que a ANPD examina em fiscalizações e após incidentes. O art. 46 exige medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão. E o art. 16 determina a eliminação dos dados pessoais após o término do tratamento — eliminação que, no mundo físico, significa sanitizar ou destruir a mídia onde os dados residem, não apenas apagar o registro lógico.

• O registro do art. 37 pede, na prática, que cada operação de tratamento aponte onde os dados ficam armazenados — e "onde" termina sempre num ativo: servidor próprio, equipamento do colaborador, mídia de backup ou infraestrutura de terceiro (nuvem, operador).
• As medidas do art. 46 são avaliadas pela ANPD em conjunto com o art. 49 (sistemas estruturados para atender aos requisitos de segurança) — proteção que pressupõe saber quais equipamentos existem, onde estão e quem responde por eles.
• Em caso de incidente com risco relevante, o art. 48 obriga a comunicação à ANPD e ao titular — e a Resolução CD/ANPD nº 15/2024 disciplina prazos e conteúdo dessa comunicação. Um notebook perdido ou um disco descartado sem sanitização é exatamente o tipo de evento que dispara essa análise.
• As sanções do art. 52 chegam a 2% do faturamento, limitadas a R$ 50 milhões por infração, além de multa diária, publicização da infração, bloqueio e eliminação dos dados envolvidos.

Por que o mapa de dados depende do mapa de ATIVOS

Dados pessoais não flutuam: cada registro vive em ao menos um suporte físico, e geralmente em vários ao mesmo tempo (produção, réplica, backup, cópia local, impressão digitalizada). O inventário de ativos é o que dá materialidade ao RoPA. A tabela abaixo mostra onde os programas de adequação costumam ter pontos cegos.

A última linha merece atenção própria: equipamentos e serviços contratados fora da TI — o shadow IT e os dispositivos BYOD — carregam dados pessoais sem constar de nenhum registro, o que torna o art. 37 impossível de cumprir integralmente sem uma descoberta física que os traga à luz.

Descarte seguro e baixa de ativos: o vazamento que sai pela porta dos fundos

O momento de maior risco na vida de um ativo de dados é a saída: venda de usados, doação, devolução de leasing, descarte ambiental, sucata. Se a mídia não foi sanitizada (wipe certificado, desmagnetização ou destruição física) antes de o equipamento cruzar a porta, os dados saem junto — e o controlador continua respondendo por eles. O caso internacional mais citado é o da Morgan Stanley, que pagou dezenas de milhões de dólares em multa e acordos nos EUA depois que servidores e discos desativados de data centers foram vendidos sem sanitização, com dados de milhões de clientes a bordo. O mecanismo do erro é universal e mora na gestão de ativos: a baixa foi tratada como evento logístico/contábil, sem amarração com a destruição dos dados.

No regime da LGPD, o mesmo enredo expõe a empresa ao art. 46 (a difusão ilícita decorre da falha de medida de segurança no descarte), ao art. 48 (dever de comunicar o incidente à ANPD e aos titulares) e às sanções do art. 52. A defesa é processual e documental: a baixa patrimonial e a sanitização precisam ser um fluxo único, em que nenhum ativo com mídia é alienado sem certificado de destruição de dados vinculado ao seu número de patrimônio. É a mesma disciplina de inventário de ativos fixos que sustenta o contábil — baixas documentadas, com evidência — aplicada com um requisito adicional de segurança da informação.

• Todo ativo com capacidade de armazenamento (incluindo impressoras, DVRs e telefones) deve ter o campo "contém mídia?" no inventário — é ele que dispara o fluxo de sanitização na baixa.
• O certificado de sanitização/destruição deve referenciar o identificador único do ativo (etiqueta/patrimônio) e o método utilizado, e ficar arquivado com o termo de baixa.
• Devoluções de leasing e garantias merecem o mesmo rigor: o equipamento sai temporária ou definitivamente com a mídia dentro.
• Estoques de "aguardando descarte" são área de risco máximo: equipamentos com dados, sem dono, em sala destrancada — inventarie e trate como cofre, não como sucata.

O ângulo ANPD: fiscalização e o que ela enxerga

A ANPD já saiu da fase pedagógica: tem regulamento de dosimetria de sanções (Resolução CD/ANPD nº 4/2023), regulamento de comunicação de incidentes (Resolução CD/ANPD nº 15/2024), aplicou as primeiras multas e mantém ciclos públicos de fiscalização. Quando um incidente é comunicado — ou denunciado —, a autoridade pergunta pelo registro das operações, pelas medidas de segurança adotadas e pela cadeia de eventos do incidente. Um inventário físico atualizado, com atribuição de responsáveis e trilha de baixas, transforma a resposta de "estamos levantando" em evidência objetiva: qual equipamento era, o que continha, quem respondia por ele, quando foi visto pela última vez, como foi descartado. A diferença entre essas duas respostas pesa na dosimetria — o art. 52, §1º considera a adoção de boas práticas e a pronta adoção de medidas corretivas como atenuantes.

Inventário físico como base do RoPA: como ligar as duas pontas

Um esclarecimento de papéis: a adequação jurídica à LGPD — bases legais, políticas, atuação do DPO/encarregado — é trabalho do seu time de privacidade e jurídico. O que a CPCON entrega é a camada física dessa adequação: o inventário, a etiquetagem, a conciliação e a trilha de baixas que dão ao RoPA e às medidas de segurança a materialidade que a fiscalização cobra.