Por Retenção de dados pessoais é a conservação de informações por período relacionado a uma finalidade e a uma hipótese legal. A LGPD prevê término do tratamento e eliminação após o fim, ressalvadas hipóteses legais de conservação, como cumprimento de obrigação, pesquisa, transferência permitida ou uso exclusivo do controlador com anonimização quando cabível.
Onde esse conceito aparece?
Mapeie categorias de dados, finalidade, base legal, responsáveis, sistemas, compartilhamentos e prazo ou evento de descarte. A política deve refletir obrigações legais e regulatórias, defesa de direitos e minimização, sem adotar guarda indefinida por conveniência. Relacione com tratamento de dados, transparência e segurança da informação.
Por que importa em uma decisão?
Defina regras de revisão periódica, bloqueio, anonimização ou eliminação segura, incluindo backups e fornecedores. Registre a justificativa para retenções excepcionais e estabeleça canal para atender direitos dos titulares sem comprometer obrigações legais aplicáveis.
Limites e cuidados de interpretação
A LGPD não estabelece um prazo único para toda categoria de dado. Prazo prescricional, obrigação regulatória ou necessidade de defesa não deve ser presumido sem base concreta. Eliminação também precisa considerar cópias, logs e documentos sujeitos a guarda obrigatória.
Término da finalidade e hipóteses de conservação
A LGPD disciplina o término do tratamento quando a finalidade foi alcançada, os dados deixaram de ser necessários ou ocorreu hipótese legal pertinente; a eliminação pode ter exceções, como cumprimento de obrigação legal ou regulatória, pesquisa dentro das condições legais, transferência permitida ou uso exclusivo do controlador com anonimização, quando aplicável. Não existe um prazo geral único para todas as categorias. Identifique a finalidade original e a hipótese concreta que sustenta a guarda posterior. Se a justificativa cessar, reavalie descarte, anonimização ou bloqueio. Veja tratamento de dados pessoais e dado pessoal.
Tabela de retenção por categoria e sistema
Monte inventário com categoria de dado, titular, finalidade, base legal, origem, sistema, compartilhamentos, evento inicial do prazo, período aprovado, fundamento e responsável pela eliminação. Inclua arquivos físicos, e-mail, logs, cópias locais, ambiente de teste, backups e fornecedores. Um prazo deve começar por evento verificável — encerramento de contrato, fim da relação ou conclusão de processo — e não por data arbitrária. Separe registros submetidos a regimes diferentes e indique exceções. A tabela precisa corresponder à operação real e ser revisada quando tecnologia, contratos ou obrigação mudarem.
Prazos legais, defesa de direitos e prescrição
Prazo prescricional não autoriza automaticamente reter toda informação relacionada por igual período. Verifique qual obrigação, direito, categoria documental e sujeito estão envolvidos, se existe dever regulatório de guarda e quando começa a contagem. Uma disputa concreta ou investigação pode justificar preservação delimitada, mas deve ter responsável, escopo e revisão para evitar retenção indefinida após o encerramento. Registre a fonte jurídica e a decisão que aprovou a exceção; consulte jurídico e área de privacidade em caso de dúvida.
Eliminação, anonimização e bloqueio
Eliminar é remover de modo compatível com o meio; anonimizar busca impedir associação razoável a pessoa, considerando meios disponíveis; bloquear ou restringir acesso pode ser medida temporária quando há investigação ou obrigação de preservação. Essas ações não são intercambiáveis. Defina método, sistemas abrangidos, responsáveis, logs e confirmação, incluindo cópias e operadores. Em backup imutável, estabeleça controles para impedir uso e aplicar descarte no ciclo previsto, sem prometer remoção instantânea quando tecnicamente inviável. Documente exceções e teste processos de eliminação.
Backups, logs e cópias de segurança
Backups podem conservar dados após remoção dos sistemas ativos, então a política deve descrever rotação, isolamento, acesso e tratamento quando uma cópia for restaurada. Não use backup como arquivo permanente de conveniência. Logs podem ser necessários para segurança e auditoria, mas sua finalidade e prazo precisam ser definidos; evite registrar conteúdo excessivo, senhas ou identificadores sem necessidade. Se restauração reintroduzir dado eliminado, o procedimento deve reaplicar a regra de descarte e registrar a ocorrência.
Retenção por contrato e fornecedores
Quando operador ou fornecedor hospeda dados, contrato precisa esclarecer instruções de tratamento, prazo de devolução ou eliminação ao término, assistência, cópias, suboperadores e evidência de descarte. Solicite confirmação proporcional e verifique se há retenção técnica ou obrigação própria do fornecedor. Um contrato genérico não demonstra que a rotina de eliminação funciona. Atualize matriz de responsabilidades e avalie transferência internacional quando aplicável. Leia segurança da informação e registre o ciclo de vida de cada serviço.
Pedidos dos titulares e conservação necessária
Um pedido de eliminação precisa ser analisado à luz do direito exercido, da finalidade e de hipóteses de conservação previstas em lei. Se parte dos dados deve ser mantida, restrinja o tratamento ao necessário, explique a razão e preserve canal para contestação. Não responda de modo automático com “retenção obrigatória” sem apontar categoria, norma, finalidade e prazo estimado. Confirme identidade do solicitante com método proporcional e não revele informação de terceiro. Veja transparência no tratamento.
Governança, responsáveis e evidências
Atribua dono de dado, área aprovadora e executor técnico; defina periodicidade de revisão, alerta de prazo, método de descarte e evidência auditável. Meça exceções vencidas, solicitações atendidas, volumes sem classificação e falhas de rotina. A política deve ser conhecida por equipes e refletida em configuração de sistemas, não apenas publicada. Treine áreas que recebem documentos e monitore mudanças legais e contratuais. Em incidente ou ordem de preservação, suspenda a rotina apenas no escopo necessário e registre motivo, autoridade e data de revisão.
Perguntas frequentes sobre retenção de dados
A LGPD estabelece prazo único? Não; a retenção depende de finalidade e hipótese de conservação. Posso guardar tudo para eventual defesa? A justificativa precisa ser concreta e proporcional, não uma licença indefinida. Excluir o dado ativo elimina backups? Nem sempre imediatamente; a política deve tratar restauração e ciclo de cópias. Anonimizar sempre dispensa cuidados? A efetividade da anonimização precisa ser avaliada. Este conteúdo é geral e não substitui análise de obrigações setoriais, contratos e operações concretas.
Teste de retenção: perguntas para aprovar uma exceção
Quando uma área pede para conservar dados além do prazo ordinário, solicite resposta documentada a perguntas concretas: qual obrigação ou direito exige a guarda; quais dados e pessoas estão abrangidos; qual é o marco inicial e final; quem pode acessar; que uso continua permitido; se há meio menos invasivo; e quando a necessidade será revisada? Vincule a exceção a norma, contrato, litígio ou finalidade identificável, em vez de justificativas como “pode ser útil um dia”. Se a preservação decorre de processo ou investigação, delimite o conjunto atingido e evite suspender a eliminação de bases inteiras sem necessidade. Implemente bloqueio de uso operacional quando a informação só precisa ser preservada como evidência. Registre aprovador, responsável técnico, sistemas, fornecedor, data de revisão e evento que encerra a exceção. No término, execute eliminação ou anonimização de forma verificável e atualize inventário e comunicação ao titular quando pertinente. O teste também precisa considerar cópias, exportações e restaurações de backup. Esse método não cria novo prazo legal: ajuda a demonstrar que retenção excepcional foi analisada de forma proporcional, coerente com a LGPD e com a política da organização. Para governança, veja transparência no tratamento e segurança da informação.
Descarte verificável e certificado de eliminação
Um procedimento de descarte deve permitir demonstrar o que foi removido, quando, por qual sistema e sob qual autorização, sem guardar cópia do conteúdo eliminado como prova. Registre identificador técnico mínimo, categoria, lote, resultado da operação e exceções, com acesso restrito. Para papel, adote destruição que impeça reconstrução; para meios digitais, aplique método compatível com dispositivo, criptografia e política técnica. Se fornecedor emitir certificado, confirme escopo e abrangência de réplicas e suboperadores. Faça amostra de verificação e monitore falhas. A prova de eliminação deve ser proporcional e não se transformar em novo banco de dados de informações pessoais.
Fontes e leitura complementar
Consulte o texto institucional e a regra aplicável ao conceito. A interpretação em uma situação concreta depende dos documentos e do contexto.