Retenção e descarte: guardar tudo “por segurança” aumenta o risco

Retenção de dados deve estar ligada à finalidade, a obrigações legais ou regulatórias, ao exercício de direitos e a necessidades legítimas documentadas. Quando o fundamento termina, a organização deve eliminar, anonimizar ou restringir o dado conforme o caso. Backup, arquivo físico e fornecedor também fazem parte do descarte.

Guardar tudo porque “pode ser útil” parece prudente até o incidente. A base histórica sem finalidade aumenta impacto, custo de resposta e dificuldade para atender direitos.

Por Giovanny Maciel, Sócio-fundador

Retenção não deve ser definida por “guardar tudo por segurança”. Cada conjunto de dados precisa de um ciclo de vida ligado à finalidade, obrigações aplicáveis, exercício de direitos e necessidades reais da operação. A LGPD contém princípios de necessidade e regras sobre término do tratamento e conservação em hipóteses específicas.

Prazo único para toda a empresa quase sempre falha

Dados fiscais, contratos, gravações, candidaturas, logs, marketing e suporte têm funções diferentes. Uma tabela de retenção deve organizar categorias e eventos de início do prazo, evitando contar períodos a partir de datas que não representam a realidade do processo.

Ciclo de retenção e descarte Coleta, uso, encerramento da finalidade, retenção justificada e destino final devem ter gatilhos claros. 1 coletar 2 usar 3 encerrar finalidade 4 reter se legítimo 5 eliminar ou anonimizar
Guardar tudo porque “pode ser útil” parece prudente até o incidente.

Descarte precisa alcançar cópias e fornecedores

Excluir do sistema principal não resolve exportações locais, pastas compartilhadas, anexos de e-mail e ambientes de terceiros. Backups exigem regra técnica específica: nem sempre é possível eliminar seletivamente um registro sem comprometer integridade, mas é possível definir acesso, ciclo de sobrescrita e impedimento de reutilização.

O Guia da ANPD sobre segurança para agentes de pequeno porte reforça a importância de controles administrativos e técnicos adequados ao risco.

A página de eliminação de dados trata da execução quando há pedido ou fim da necessidade. A política de retenção serve para que a organização saiba a resposta antes da solicitação ou incidente.

Evento inicial do prazo precisa ser definido

“Guardar por cinco anos” é incompleto se ninguém sabe a partir de quando contar. Assinatura, encerramento do contrato, última interação, emissão do documento ou término de obrigação podem produzir marcos diferentes. A tabela deve indicar o evento que inicia retenção e quem consegue identificá-lo no sistema.

Litígio, investigação ou necessidade de preservação podem justificar manter determinado conjunto além do ciclo ordinário. Isso não deveria bloquear a eliminação de toda a base. Identifique escopo, responsável e condição de liberação para que a exceção não vire retenção permanente.

Teste o descarte

Rotina declarada em política pode falhar silenciosamente. Amostras periódicas ajudam a verificar se registros vencidos realmente saem dos sistemas, se exportações continuam esquecidas e se fornecedores cumprem instruções de término.

O descarte também precisa ter dono. Se jurídico define prazo, TI opera a exclusão e a área de negócio mantém cópias locais, ninguém sozinho consegue concluir o ciclo. A matriz de responsabilidades deve apontar quem autoriza exceção, quem executa a rotina e quem verifica resultado. Essa divisão evita que políticas corretas permaneçam sem efeito porque cada área presume que outra está apagando os registros vencidos.

A política só funciona se chegar aos sistemas periféricos. Exportações locais, planilhas, caixas de e-mail, backups, ferramentas de suporte e ambientes de teste podem preservar cópias depois que o sistema principal já executou a exclusão. O inventário de retenção precisa contemplar esses caminhos.

Perguntas frequentes

É preciso apagar dados imediatamente ao fim do contrato?

Não sempre. Pode haver retenção necessária por obrigação, defesa ou outra hipótese legítima, desde que limitada e documentada.

Apagar do sistema principal basta?

Não. Réplicas, backups, arquivos locais, papel e terceiros precisam entrar no plano, respeitando limitações técnicas e ciclos de substituição.