Também chamado de data mapping ou inventário de dados, produz o retrato dos fluxos de informação: formulários, sistemas, planilhas, arquivos físicos, terceiros que recebem dados, bases em nuvem. Dele saem o registro das operações de tratamento, o relatório de impacto e as políticas. Sem mapeamento, qualquer ação de conformidade é feita às cegas.
O que é mapeamento de dados
É o processo de descobrir e documentar o ciclo de vida dos dados pessoais no órgão: onde nascem (coleta), por onde passam (uso, compartilhamento), onde ficam (armazenamento) e como terminam (descarte). Em geral, é feito por entrevistas com cada área, análise de sistemas e documentos e visitas aos locais de guarda. O resultado costuma ser uma planilha ou sistema com as atividades de tratamento e um desenho dos fluxos.
Por que o mapeamento é tão importante
A LGPD não usa o termo “mapeamento”, mas o exige indiretamente: sem mapear, não há como cumprir o registro das operações (art. 37), indicar bases legais (arts. 7º e 11), informar o titular (art. 9º e art. 23, I), atender pedidos de acesso e correção (art. 18) ou comunicar incidentes (art. 48). Ou seja, o mapeamento é a base operacional de quase todas as obrigações da lei. Veja registro das operações de tratamento e base legal da LGPD.
O que perguntar a cada área
- Quais atividades da área envolvem dados de pessoas?
- Que dados são coletados, de quem e por qual meio?
- Para que cada dado é usado? Algum nunca é usado?
- Onde ficam (sistema, planilha, papel, nuvem, celular pessoal)?
- Quem acessa? Há perfis diferentes?
- Com quem se compartilha (outros órgãos, fornecedores)?
- Por quanto tempo se guarda e como se descarta?
- Já houve incidentes ou reclamações?
Como funciona na prática
- Preparar: definir equipe, modelo de ficha e cronograma; priorizar as áreas de maior risco.
- Entrevistar: reuniões curtas com cada área, com modelo padronizado.
- Verificar: conferir sistemas, planilhas e arquivos para confirmar o que foi dito.
- Classificar: identificar dados sensíveis, de crianças e adolescentes e a criticidade de cada atividade.
- Consolidar: registrar tudo e desenhar os fluxos principais.
- Validar: revisar com o encarregado e a procuradoria.
- Atualizar: manter o mapeamento vivo, revisando a cada mudança relevante.
Em prefeituras e câmaras, convém começar pelas áreas de maior risco: saúde, educação, assistência social, pessoal e protocolo.
Imagine um município de pequeno porte que mapeia a secretaria de saúde. Descobre que o formulário de triagem pede dados que nunca são usados, que parte das fichas é guardada em pastas sem chave e que listas de pacientes são enviadas a um laboratório por mensagem. O mapeamento revela as falhas e permite corrigi-las: formulário enxuto, armário com chave e envio por canal seguro.
Mapeamento, registro e relatório de impacto
| Produto | Função |
|---|---|
| Mapeamento | Levantamento e entendimento dos fluxos |
| Registro das operações | Documento formal e permanente de cada atividade |
| Relatório de impacto | Análise de risco das atividades mais sensíveis. Veja relatório de impacto |
| Aviso de privacidade | Comunicação pública ao titular |
Erros comuns
- Entrevistar só a chefia e esquecer quem opera os sistemas e as planilhas.
- Deixar de fora papéis, e-mails, celulares e aplicativos de mensagem.
- Fazer uma vez e não manter atualizado.
- Terceirizar o trabalho sem envolver as áreas, e receber um documento que não reflete a realidade.
- Descobrir problemas e não agir.
Ferramentas e modelos
Não é necessário software sofisticado para começar. Uma planilha com colunas padronizadas (atividade, área, finalidade, titulares, dados, base legal, origem, compartilhamento, retenção, local de guarda, acessos e riscos) já permite organizar o trabalho. Com o tempo, o município pode migrar para ferramentas específicas de gestão de privacidade. O que importa é que todas as áreas usem o mesmo modelo, para que o consolidado seja comparável e que alguém seja o responsável por mantê-lo atualizado.
Dados “escondidos”: onde costumam estar os problemas
Alguns lugares merecem atenção especial no mapeamento: planilhas de uso individual guardadas em computadores pessoais; grupos de aplicativo de mensagem usados para enviar listas e documentos; pastas compartilhadas sem controle de acesso; cópias de documentos de identidade deixadas em impressoras ou arquivos temporários; backups antigos; ex-fornecedores que ainda guardam dados; e papéis em gavetas e armários sem chave. Esses pontos raramente aparecem em entrevistas formais, mas são fontes frequentes de incidentes. Perguntar “como você faz isso no dia a dia?” costuma revelá-los.
Do mapeamento à ação
Mapear sem agir é desperdício. A cada achado relevante, a equipe deve definir uma ação com responsável e prazo: eliminar o dado desnecessário, restringir o acesso, trocar a ferramenta de envio, revisar o contrato, treinar o servidor. Priorize pelo risco: dados sensíveis, grande volume, acesso amplo e ausência de controles são sinais de prioridade alta. Acompanhe as ações em um plano simples, com revisões trimestrais, e registre a evolução. Isso demonstra, em eventual fiscalização, que o município não apenas diagnosticou, mas tratou os riscos.
