Retenção e descarte: guardar tudo “por segurança” aumenta o risco
Retenção de dados deve estar ligada à finalidade, a obrigações legais ou regulatórias, ao exercício de direitos e a necessidades legítimas documentadas. Quando o fundamento termina, a organização deve eliminar, anonimizar ou restringir o dado conforme o caso. Backup, arquivo físico e fornecedor também fazem parte do descarte.
Guardar tudo porque “pode ser útil” parece prudente até o incidente. A base histórica sem finalidade aumenta impacto, custo de resposta e dificuldade para atender direitos.
Por Giovanny Maciel, Sócio-fundador
Retenção não deve ser definida por “guardar tudo por segurança”. Cada conjunto de dados precisa de um ciclo de vida ligado à finalidade, obrigações aplicáveis, exercício de direitos e necessidades reais da operação. A LGPD contém princípios de necessidade e regras sobre término do tratamento e conservação em hipóteses específicas.
Prazo único para toda a empresa quase sempre falha
Dados fiscais, contratos, gravações, candidaturas, logs, marketing e suporte têm funções diferentes. Uma tabela de retenção deve organizar categorias e eventos de início do prazo, evitando contar períodos a partir de datas que não representam a realidade do processo.
Descarte precisa alcançar cópias e fornecedores
Excluir do sistema principal não resolve exportações locais, pastas compartilhadas, anexos de e-mail e ambientes de terceiros. Backups exigem regra técnica específica: nem sempre é possível eliminar seletivamente um registro sem comprometer integridade, mas é possível definir acesso, ciclo de sobrescrita e impedimento de reutilização.
O Guia da ANPD sobre segurança para agentes de pequeno porte reforça a importância de controles administrativos e técnicos adequados ao risco.
A página de eliminação de dados trata da execução quando há pedido ou fim da necessidade. A política de retenção serve para que a organização saiba a resposta antes da solicitação ou incidente.
Evento inicial do prazo precisa ser definido
“Guardar por cinco anos” é incompleto se ninguém sabe a partir de quando contar. Assinatura, encerramento do contrato, última interação, emissão do documento ou término de obrigação podem produzir marcos diferentes. A tabela deve indicar o evento que inicia retenção e quem consegue identificá-lo no sistema.
Legal hold precisa suspender descarte de forma controlada
Litígio, investigação ou necessidade de preservação podem justificar manter determinado conjunto além do ciclo ordinário. Isso não deveria bloquear a eliminação de toda a base. Identifique escopo, responsável e condição de liberação para que a exceção não vire retenção permanente.
Teste o descarte
Rotina declarada em política pode falhar silenciosamente. Amostras periódicas ajudam a verificar se registros vencidos realmente saem dos sistemas, se exportações continuam esquecidas e se fornecedores cumprem instruções de término.
O descarte também precisa ter dono. Se jurídico define prazo, TI opera a exclusão e a área de negócio mantém cópias locais, ninguém sozinho consegue concluir o ciclo. A matriz de responsabilidades deve apontar quem autoriza exceção, quem executa a rotina e quem verifica resultado. Essa divisão evita que políticas corretas permaneçam sem efeito porque cada área presume que outra está apagando os registros vencidos.
A política só funciona se chegar aos sistemas periféricos. Exportações locais, planilhas, caixas de e-mail, backups, ferramentas de suporte e ambientes de teste podem preservar cópias depois que o sistema principal já executou a exclusão. O inventário de retenção precisa contemplar esses caminhos.
Perguntas frequentes
É preciso apagar dados imediatamente ao fim do contrato?
Não sempre. Pode haver retenção necessária por obrigação, defesa ou outra hipótese legítima, desde que limitada e documentada.
Apagar do sistema principal basta?
Não. Réplicas, backups, arquivos locais, papel e terceiros precisam entrar no plano, respeitando limitações técnicas e ciclos de substituição.