O que é o mapa de dados da LGPD?

É o registro das operações de tratamento de dados pessoais, previsto no Art. 37 da LGPD (também chamado de ROPA — Records of Processing Activities). Na prática, é um inventário que responde, para cada tipo de dado: o que você coleta, de quem, por quê (finalidade), com que base legal, com quem compartilha, onde guarda e por quanto tempo.

Toda clínica é obrigada a ter mapa de dados?

O Art. 37 obriga o controlador e o operador a manter o registro das operações, especialmente quando baseadas em legítimo interesse. Como a clínica trata dado sensível de saúde em escala, manter o mapa é, na prática, esperado — é a primeira coisa que a ANPD pede numa fiscalização e a base de toda a demonstração de conformidade (accountability, Art. 6º, X).

O que precisa constar no mapa de dados de uma clínica?

Para cada operação: a categoria de titular (paciente, colaborador, fornecedor), os tipos de dado, a finalidade, a base legal (tutela da saúde, consentimento, obrigação legal…), com quem é compartilhado (operadora, laboratório, contabilidade), onde é armazenado, o prazo de retenção e as medidas de segurança. É isso que transforma "eu acho que cumpro" em "eu comprovo que cumpro".

Posso fazer o mapa de dados numa planilha?

Pode começar numa planilha — é melhor do que nada. O problema aparece com o tempo: a planilha não se atualiza sozinha quando entra um novo fornecedor ou muda uma finalidade, não versiona e não se conecta ao registro de consentimento. Uma ferramenta de conformidade mantém o mapa vivo e ligado à prova do consentimento.

LGPD · Mapa de dados

Mapa de dados (Art. 37): como montar o registro de tratamento da clínica

É o documento que a ANPD pede primeiro numa fiscalização — e a base de tudo na LGPD. O mapa de dados responde, para cada dado que você coleta: o quê, de quem, por quê, com que base legal e por quanto tempo. Veja como montar linha por linha.

Setembro de 2026 · 9 min de leitura

Resumo rápido

O mapa de dados é o registro das operações de tratamento (Art. 37) — também chamado de ROPA.
É o inventário do que você trata: dado, finalidade, base legal, compartilhamento, retenção e segurança.
É a primeira prova que a ANPD pede — a base da demonstração de conformidade (Art. 6º, X).
Comece pelos fluxos reais da clínica (recepção, prontuário, convênio, marketing), não por teoria.
Planilha funciona no início, mas desatualiza — o ideal é um mapa vivo, ligado ao registro de consentimento.

Antes de contratar software, treinar equipe ou coletar um único consentimento, existe um passo que sustenta todos os outros: saber o que você trata. Sem o mapa de dados, qualquer adequação é chute. Com ele, você enxerga onde estão as lacunas — e tem o documento que a fiscalização pede primeiro.

O que diz o Art. 37

O Art. 37 determina que o controlador e o operador "devem manter registro das operações de tratamento de dados pessoais que realizarem". Esse registro é o mapa de dados (ou ROPA, do inglês Records of Processing Activities). Não é um relatório único que você entrega e esquece — é um documento vivo, que acompanha a realidade da clínica.

O que precisa constar (as colunas do mapa)

Cada linha do mapa é uma operação de tratamento — um fluxo real de dados. Para cada uma, responda:

Categoria de titular — paciente, colaborador, fornecedor, responsável legal.
Tipos de dado — nome, CPF, diagnóstico, exame, foto… (marque o que é sensível).
Finalidade — para que serve aquele dado (Art. 6º, I). Precisa ser específica.
Base legal — tutela da saúde, consentimento, obrigação legal, execução de contrato (Art. 7º e 11).
Compartilhamento — com quem o dado sai (operadora, laboratório, contabilidade, sistema).
Armazenamento — onde fica (sistema, papel, nuvem) e se está no Brasil.
Retenção — por quanto tempo guarda (o prontuário segue o prazo do conselho).
Segurança — acesso restrito, criptografia, backup.

Modelo: 5 linhas típicas de uma clínica

Operação	Dados	Finalidade	Base legal	Retenção
Cadastro na recepção	Nome, CPF, telefone	Identificar e contatar o paciente	Execução de contrato	Enquanto for paciente + prazo legal
Prontuário e evolução	Diagnóstico, exames (sensível)	Prestar o atendimento	Tutela da saúde (Art. 11, II)	Prazo do conselho de classe
Envio ao convênio	Guias, carteirinha	Faturamento / autorização	Execução de contrato / obrigação	Conforme contrato + fiscal
Marketing e lembretes	Nome, telefone, e-mail	Divulgação, promoção	Consentimento (Art. 11, I)	Até a revogação
Folha de pagamento	Dados do colaborador	Vínculo trabalhista	Obrigação legal	Prazos trabalhistas/fiscais

ℹ️

Dica de partida: não comece pela teoria. Ande pela clínica e pergunte "de onde veio esse dado e para onde ele vai?". Recepção, prontuário, convênio, WhatsApp, marketing, contabilidade — cada fluxo vira uma linha. É mais rápido e não deixa buraco.

Como manter atualizado

O mapa desatualiza quando a clínica muda e ninguém anota: entrou um novo laboratório parceiro, começou a usar um chatbot, trocou o sistema de gestão. Defina um responsável e uma revisão periódica (a cada 6 meses ou quando muda um fluxo). Numa planilha, isso vira disciplina manual; numa ferramenta de conformidade, o mapa fica ligado ao registro de consentimento e às finalidades — quando você cria um novo aceite, a linha correspondente já existe.

Perguntas frequentes

O que é o mapa de dados?

É o registro das operações de tratamento (Art. 37), um inventário que responde, para cada dado: o que você coleta, de quem, por quê, com que base legal, com quem compartilha, onde guarda e por quanto tempo.

Toda clínica precisa ter?

Na prática, sim. Como a clínica trata dado sensível em escala, o mapa é o que a ANPD pede primeiro e a base de toda a demonstração de conformidade (Art. 6º, X).

Dá para fazer numa planilha?

Dá para começar. Com o tempo a planilha desatualiza e não se liga ao consentimento — uma ferramenta mantém o mapa vivo e conectado à prova.

Monte seu mapa de dados sem advogado

O Consentimento LGPD guia o mapa de dados da clínica (Art. 37) e o mantém ligado ao registro de consentimento e às finalidades — atualizado e pronto para a ANPD.

Começar grátis Sem cartão: cadastre-se e use. 30 dias de Pro, depois grátis (2 consentimentos/mês). Planos a partir de R$ 99,90/mês.