CAPÍTULO VI

DOS AGENTES DE TRATAMENTO DE DADOS PESSOAIS

MARCOS GOMES DA SILVA BRUNO

SEÇÃO I

Do Controlador e do Operador

Art. 37. O controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse.

No que tange à conformidade com a Lei Geral de Proteção de Dados, é necessária a manutenção de registro das operações de tratamento de dados pessoais realizadas, na medida em que o mapeamento dessas operações é essencial para a correta mitigação dos riscos, e também para prestação de contas, princípio expresso na Lei (artigo 6º, inciso X).

Com relação a tais registros, na regulamentação europeia (GDPR) se estabeleceu parâmetros objetivos para sua obrigatoriedade. Naquele continente, somente estão obrigadas a registrar suas operações de tratamento de dados pessoais:

(a) empresas com mais de 250 colaboradores; ou, independentemente da quantidade de colaboradores,

(b) empresas que realizem processamento de dados pessoais que possam implicar em risco para os direitos e liberdades do titular dos dados;

(c) empresas que realizam processamento contínuo e não eventual de dados pessoais;

(d) empresas que tratem dados sensíveis, especificamente de origem racial ou étnica, opinião política, convicção religiosa ou filosófica, filiação sindical, bem como dados genéticos, biométricos, e dados relativos à saúde, à vida sexual, ou orientação sexual; ou

(e) empresas que tratem dados pessoais relativos a condenações penais e infrações.

Diferentemente do modelo europeu, a Lei brasileira não estabeleceu parâmetros mínimos para a obrigatoriedade do registro de atividades de tratamento de dados pessoais.

Portanto, a menos que a Autoridade Nacional de Proteção de Dados venha dispor sobre parâmetros objetivos mínimos, é possível interpretar que toda empresa que realiza atividades de tratamento de dados pessoais sujeitas à Lei Geral de Proteção de Dados brasileira está obrigada a realizar esses registros, independentemente também do tipo de dado pessoal tratado.

Adicionalmente, a Lei brasileira reforça a necessidade do registro das operações de tratamento de dados que possuem como base legal o legítimo interesse, situação que pressupõe, além do registro, …