- Radar Roos
- Posts
- 5 Erros Fatais Que Empresas Cometem ao Mapear Dados Pessoais
5 Erros Fatais Que Empresas Cometem ao Mapear Dados Pessoais
Paola Roos
20 de janeiro de 2026
Muita empresa acha que já “fez LGPD” porque tem uma planilha chamada “Inventário de Dados” ou “Data Mapping”. Alguém, em algum momento, preencheu colunas com nome do sistema, tipo de dado e base legal, e isso virou um PDF bonito para mostrar ao comitê ou ao auditor. O problema é quando esse mapeamento é superficial: não conversa com a realidade dos processos, não serve para gerir riscos e, na hora do aperto (incidente, pedido da ANPD ou de um grande cliente), ninguém confia naquele documento.
Esse é o ponto cego de muitas adequações: tratar o diagnóstico inicial como um “checklist burocrático”, e não como a espinha dorsal do programa de privacidade. Se o mapa de dados estiver errado, tudo o que vem depois – políticas, contratos, Relatório de Impacto, plano de ação – nasce torto.
Mapear dados pessoais deveria ser, na prática, a radiografia da empresa: onde os dados entram, por onde circulam, quem toca, onde ficam, com quem são compartilhados e como saem ou são descartados. Quando bem-feito, esse mapa orienta decisões jurídicas, de TI e de negócio. Quando mal-feito, vira só mais um arquivo esquecido na pasta de compliance.
Quais são, então, os erros fatais mais comuns nesse diagnóstico?
Enxergar apenas sistemas, e não processos
Um erro clássico é começar o mapeamento pelos nomes dos sistemas (“ERP X”, “CRM Y”, “Planilha Z”) sem entender o fluxo de ponta a ponta: do formulário físico na recepção ao envio de planilhas por e-mail, do WhatsApp do comercial ao grupo do RH. A consequência é óbvia: dados que circulam fora dos sistemas formais simplesmente somem do radar.
Como evitar: comece sempre por processos reais (“como cadastramos um cliente?”, “como fazemos recrutamento?”, “como tratamos pedidos de suporte?”) e, dentro deles, identifique quais sistemas são usados. É invertendo essa lógica que o mapa deixa de ser um catálogo de softwares e passa a ser um retrato do negócio.
Mapear sem falar com quem faz acontecer
Outro erro fatal é tentar montar o diagnóstico apenas no nível gerencial ou, pior, apenas com TI e jurídico. Quem sabe de verdade como os dados circulam é quem está na operação: atendente, vendedor, analista de RH, financeiro, time de marketing. Quando essas pessoas não são ouvidas, o mapa ignora atalhos, improvisos e “jeitinhos” que são justamente onde o risco costuma morar.
Como evitar: entrevistas estruturadas com pessoas-chave da operação, workshops por área e validação do mapa com quem executa o processo no dia a dia. Não é perder tempo, é ganhar precisão.
Ignorar categorias sensíveis e dados de alto risco
Há mapeamentos que colocam tudo na mesma caixinha: “dados pessoais”, sem distinguir dados sensíveis (saúde, orientação sexual, convicção religiosa, biometria, etc.), dados de menores, dados financeiros ou de geolocalização. O resultado é um mapa que não consegue diferenciar o que é trivial do que é crítico.
Como evitar: classifique os dados por categoria e risco. Isso influencia diretamente as medidas de segurança necessárias, a base legal adequada, a necessidade (ou não) de Relatório de Impacto e a prioridade de tratamento das vulnerabilidades.
Escolher a base legal “por chute” ou por comodidade
Muitos inventários trazem uma coluna de “base legal” que foi preenchida quase no automático: “legítimo interesse” ou “consentimento” para tudo, sem análise real de contexto. Isso fragiliza a empresa juridicamente e cria uma incoerência entre mapa, contratos, políticas e práticas internas.
Como evitar: defina a base legal a partir da finalidade concreta do tratamento e do contexto da relação com o titular (cliente, colaborador, lead, fornecedor, visitante). A base legal não é decoração, é um dos pilares de sustentação da conformidade.
Tratar o mapeamento como evento, não como processo contínuo
Por fim, um erro silencioso: o inventário é feito uma vez, entregue com pompa, e nunca mais revisitado. A empresa muda sistemas, integra novos fornecedores, lança produtos, altera fluxos… mas o mapa de dados fica parado no tempo. Quando alguém resolve olhar, já não serve mais para nada.
Como evitar: crie uma rotina de revisão periódica (por exemplo, anual ou sempre que houver mudanças relevantes em processos e sistemas) e vincule essa revisão a algum rito da governança (comitê de privacidade, auditoria interna, ciclo de planejamento). Mapa de dados vivo é mapa de dados útil.
Se você desconfia que o “inventário de dados” da sua empresa hoje é mais um documento de gaveta do que uma ferramenta de gestão, isso não é motivo de culpa – é um convite à maturidade.
A ideia é sair do “planilhão genérico” e chegar a um mapeamento que sustenta decisões reais de negócio, segurança e jurídico. Se você quer que a sua adequação comece pelo lugar certo – um diagnóstico sólido –, esse é um excelente ponto de partida para aprofundar com método e exemplos concretos.
