Em princípio, você pode manter seu registro de atividades de processamento completamente por conta própria. O RGPD não prescreve um programa ou formato específico: um documento bem mantido ou uma planilha é suficiente, desde que esteja completo, correto e atualizado. O que importa não é a ferramenta, mas o conteúdo: quais dados pessoais você processa, com qual finalidade, quem pode acessá-los, por quanto tempo você os retém e quais outras partes deles tomam conhecimento.
A questão prática, portanto, não é se é permitido, mas se permanecerá administrável em sua empresa. Com um punhado de processamentos fixos — um pacote contábil, uma administração de folha de pagamento, um CRM — um resumo feito por você mesmo geralmente é fácil de manter. Assim que o número de ferramentas cresce, os responsáveis pelo processamento mudam ou os funcionários compram software por conta própria, a manutenção se torna uma tarefa recorrente que facilmente fica para trás.
O que deve constar de qualquer forma
Um registro descreve, por atividade de processamento, a finalidade, as categorias de dados e titulares de dados, o período de retenção ou uma indicação dele, e as partes com as quais os dados são compartilhados. Para processamentos que ocorrem por meio de um terceiro, também deve constar se há um contrato de processamento de dados subjacente. Os requisitos precisos e as exceções estão no próprio RGPD e foram desenvolvidos em diretrizes da Autoridade Portuguesa de Proteção de Dados e do EDPB. Se você quiser ver isso esclarecido por situação, encontrará em banco de conhecimento onde está esclarecido por situação.
Por que fica difícil no papel
O problema geralmente não é configurar, mas manter. Uma PME assina novas assinaturas de SaaS ao longo de um ano, para com outras, e o contrato de processamento de dados que as acompanha às vezes muda sem que ninguém perceba. Uma planilha que estava correta no início, após alguns meses geralmente é apenas um instantâneo. Isso só fica evidente quando importa: quando há um pedido de um titular de dados, em uma licitação, ou quando uma autoridade supervisora pergunta.
É aqui que está a verdadeira diferença entre fazer por conta própria e obter apoio. Manter um registro por conta própria não é um problema desde que haja alguém que regularmente reserve tempo para verificá-lo e atualizá-lo. Em muitas pequenas empresas, há tempo no início e desaparece assim que o dia a dia se apodera.
Fazer por conta própria, usar uma ferramenta ou terceirizar
Entre fazer completamente por conta própria e terceirizar completamente existe um caminho intermediário: um sistema que preenche o registro a partir de uma biblioteca de ferramentas conhecidas e o avisa se algo estiver faltando ou mudou. Isso não economiza o trabalho de pensar sobre o que deve constar — isso permanece com você — mas reduz o risco de uma mudança passar despercebida. Se isso vale a pena para sua empresa depende do número de atividades de processamento e da frequência com que esse número muda. Uma visão geral do que isso inclui e quanto custa está em página com os preços do sistema.
Quem preferir tentar primeiro por conta própria pode fazê-lo. O RGPD não obriga a um sistema pago. O que a lei exige é que o registro seja sempre uma representação correta da realidade — não apenas no dia em que foi criado.
O que você nunca pode terceirizar
Se você mantém o registro em uma planilha ou em um sistema preenchido: a responsabilidade pela precisão permanece com a organização, não com a ferramenta. Uma ferramenta pode sinalizar que um contrato de processamento de dados expirou ou que uma nova ferramenta de SaaS ainda não foi incluída, mas a decisão sobre o que fazer com isso e se um processamento é realmente necessário permanece com você. Para a implementação de sua situação específica, isso é algo a discutir com um jurista ou, em caso de dúvida sobre a lei em si, com a Autoridade Portuguesa de Proteção de Dados.
Quer ver primeiro como isso funciona na prática antes de escolher entre fazer você mesmo e obter apoio? Então você pode ler as perguntas frequentes sobre o registro ou através da página de registro criar uma conta comercial e ver a diferença por si mesmo.
Se quer saber onde sua empresa está neste momento, a verificação rápida gratuita é um bom ponto de partida: sem obrigação, apenas uma indicação do que é relevante para sua situação.