Empresas acumulam, diariamente, grandes volumes de dados pessoais: cadastros de clientes, documentos de colaboradores, informa\u00e7\u00f5es de fornecedores, bases de marketing, contratos, faturas, logs de acesso, registros de atendimento e muitos outros. Esse armazenamento, embora muitas vezes necess\u00e1rio para a opera\u00e7\u00e3o, n\u00e3o pode ser ilimitado.<\/p>\n\n\n\n
Tanto a Lei Geral de Prote\u00e7\u00e3o de Dados Pessoais brasileira (LGPD) quanto o Regulamento Geral sobre a Prote\u00e7\u00e3o de Dados da Uni\u00e3o Europeia (GDPR) partem de uma premissa comum: dados pessoais devem ser mantidos apenas pelo tempo necess\u00e1rio para cumprir a finalidade que justificou sua coleta, salvo quando houver fundamento legal que permita sua conserva\u00e7\u00e3o por prazo maior.<\/p>\n\n\n\n
Na pr\u00e1tica, esse \u00e9 um dos pontos mais sens\u00edveis da governan\u00e7a em privacidade. Embora a regra seja simples, sua aplica\u00e7\u00e3o demanda avalia\u00e7\u00e3o cuidadosa, uma vez que as legisla\u00e7\u00f5es de prote\u00e7\u00e3o de dados, em geral, n\u00e3o estabelecem um prazo \u00fanico e universal de reten\u00e7\u00e3o para cada tipo de dado pessoal. Nesse sentido, cabe \u00e0s empresas definir crit\u00e9rios pr\u00f3prios, considerando a finalidade do tratamento, obriga\u00e7\u00f5es legais ou regulat\u00f3rias, prazos prescricionais, necessidades operacionais e riscos aos titulares.<\/p>\n\n\n\n
Por que a reten\u00e7\u00e3o de dados importa?<\/strong><\/p>\n\n\n\n A reten\u00e7\u00e3o excessiva de dados pessoais aumenta riscos jur\u00eddicos, operacionais e de seguran\u00e7a. Isso porque, quanto mais tempo uma empresa mant\u00e9m dados pessoais sem uma necessidade clara de tratamento, maior tende a ser sua exposi\u00e7\u00e3o em caso de incidente de seguran\u00e7a, acesso n\u00e3o autorizado, uso de informa\u00e7\u00f5es desatualizadas, solicita\u00e7\u00f5es de titulares ou fiscaliza\u00e7\u00e3o por autoridades reguladoras.<\/p>\n\n\n\n Nesse contexto, regras de reten\u00e7\u00e3o e descarte n\u00e3o devem ser vistas apenas como uma exig\u00eancia formal de privacidade. Ao contr\u00e1rio, elas fazem parte de uma boa governan\u00e7a da informa\u00e7\u00e3o e ajudam a reduzir riscos concretos para a empresa.<\/p>\n\n\n\n Uma pol\u00edtica de reten\u00e7\u00e3o bem estruturada permite:<\/p>\n\n\n\n – definir prazos de reten\u00e7\u00e3o e descarte;<\/p>\n\n\n\n – reduzir o armazenamento desnecess\u00e1rio de dados;<\/p>\n\n\n\n – facilitar o atendimento a titulares;<\/p>\n\n\n\n – diminuir riscos de seguran\u00e7a;<\/p>\n\n\n\n – demonstrar conformidade legal e regulat\u00f3ria.<\/p>\n\n\n\n LGPD e GDPR: reten\u00e7\u00e3o, elimina\u00e7\u00e3o e exce\u00e7\u00f5es legais<\/strong><\/p>\n\n\n\n A LGPD e o GDPR adotam l\u00f3gica semelhante: dados pessoais devem ser conservados apenas enquanto forem necess\u00e1rios para a finalidade que justificou o tratamento. Uma vez atingida essa finalidade, a regra geral passa a ser a elimina\u00e7\u00e3o ou anonimiza\u00e7\u00e3o dos dados, salvo quando houver fundamento legal que autorize sua reten\u00e7\u00e3o.<\/p>\n\n\n\n No Brasil, a LGPD permite a conserva\u00e7\u00e3o de dados pessoais em hip\u00f3teses espec\u00edficas, como cumprimento de obriga\u00e7\u00e3o legal ou regulat\u00f3ria, realiza\u00e7\u00e3o de estudos por \u00f3rg\u00e3o de pesquisa, transfer\u00eancia a terceiros em conformidade com a lei ou uso exclusivo pelo controlador, desde que os dados sejam anonimizados sempre que aplic\u00e1vel.<\/p>\n\n\n\n De maneira semelhante, o GDPR admite a reten\u00e7\u00e3o quando necess\u00e1ria, por exemplo, para cumprimento de obriga\u00e7\u00e3o legal, exerc\u00edcio ou defesa de direitos, ou para determinadas finalidades de interesse p\u00fablico, pesquisa, estat\u00edstica ou arquivamento, desde que observadas as salvaguardas aplic\u00e1veis.<\/p>\n\n\n\n Nesse cen\u00e1rio, o ponto central \u00e9 que empresas n\u00e3o devem manter dados pessoais indefinidamente ou apenas \u201cpor precau\u00e7\u00e3o\u201d. A conformidade, portanto, depende da capacidade de definir, documentar e aplicar, de forma consistente, crit\u00e9rios claros de reten\u00e7\u00e3o e descarte, alinhados a necessidades legais, regulat\u00f3rias e de neg\u00f3cio leg\u00edtimas.<\/p>\n\n\n\n Orienta\u00e7\u00f5es de autoridades de prote\u00e7\u00e3o de dados<\/strong><\/p>\n\n\n\n Autoridades de prote\u00e7\u00e3o de dados costumam exigir que empresas definam prazos de reten\u00e7\u00e3o com base em crit\u00e9rios de necessidade e proporcionalidade. Em outras palavras, n\u00e3o basta manter dados porque eles \u201cpodem ser \u00fateis no futuro\u201d: \u00e9 preciso justificar, de forma objetiva, por que aqueles dados ainda s\u00e3o necess\u00e1rios.<\/p>\n\n\n\n O Information Commissioner\u2019s Office (ICO), autoridade brit\u00e2nica de prote\u00e7\u00e3o de dados, orienta que as organiza\u00e7\u00f5es sejam capazes de justificar por quanto tempo mant\u00eam dados pessoais, estabele\u00e7am prazos padr\u00e3o de reten\u00e7\u00e3o sempre que poss\u00edvel, revisem periodicamente as informa\u00e7\u00f5es armazenadas e eliminem ou anonimizem dados que deixem de ser necess\u00e1rios.<\/p>\n\n\n\n De forma complementar, a autoridade francesa de prote\u00e7\u00e3o de dados (CNIL) tamb\u00e9m oferece par\u00e2metros pr\u00e1ticos sobre o tema. No contexto da gest\u00e3o comercial, por exemplo, a CNIL indica que dados de clientes utilizados para prospec\u00e7\u00e3o podem ser mantidos durante a rela\u00e7\u00e3o comercial e, ap\u00f3s seu encerramento, em geral, por at\u00e9 tr\u00eas anos. J\u00e1 os dados de potenciais clientes podem ser mantidos, em regra, por tr\u00eas anos a partir da coleta ou do \u00faltimo contato iniciado pelo potencial cliente.<\/p>\n\n\n\n Essas orienta\u00e7\u00f5es n\u00e3o substituem uma an\u00e1lise caso a caso, mas funcionam como refer\u00eancias relevantes para empresas que estejam estruturando suas tabelas internas de reten\u00e7\u00e3o.<\/p>\n\n\n\n Carrefour e os riscos da reten\u00e7\u00e3o excessiva<\/strong><\/p>\n\n\n\n O caso Carrefour ilustra de forma clara os riscos associados \u00e0 reten\u00e7\u00e3o excessiva de dados pessoais.<\/p>\n\n\n\n Em 2020, a CNIL aplicou multa de EUR 2,25 milh\u00f5es \u00e0 Carrefour France por diversas viola\u00e7\u00f5es ao GDPR, incluindo a reten\u00e7\u00e3o excessiva de dados. Entre outros pontos, a autoridade entendeu que a empresa havia mantido dados de clientes inativos por per\u00edodos superiores ao necess\u00e1rio e conservado c\u00f3pias de documentos de identidade apresentados em solicita\u00e7\u00f5es de titulares por prazo maior do que o justific\u00e1vel.<\/p>\n\n\n\n Esse caso demonstra que as autoridades n\u00e3o avaliam prazos de reten\u00e7\u00e3o apenas em tese. Na pr\u00e1tica, elas esperam que empresas implementem rotinas efetivas de elimina\u00e7\u00e3o, documentem seus crit\u00e9rios de reten\u00e7\u00e3o e assegurem que seus sistemas internos reflitam, de fato, as pol\u00edticas e avisos de privacidade divulgados.<\/p>\n\n\n\n O papel de Controladores e Operadores na reten\u00e7\u00e3o de dados<\/strong><\/p>\n\n\n\n As obriga\u00e7\u00f5es relacionadas \u00e0 reten\u00e7\u00e3o podem variar conforme a empresa atue como controladora ou operadora de dados pessoais. Nesse contexto, Controladores e Operadores assumem responsabilidades distintas, ainda que complementares.<\/p>\n\n\n\n Controladores s\u00e3o, em regra, respons\u00e1veis por definir as finalidades do tratamento e os prazos de reten\u00e7\u00e3o aplic\u00e1veis. J\u00e1 os Operadores, por sua vez, devem tratar dados pessoais de acordo com as instru\u00e7\u00f5es documentadas do controlador e, ao final da presta\u00e7\u00e3o dos servi\u00e7os, devolver, eliminar ou de outra forma descartar os dados, salvo quando houver obriga\u00e7\u00e3o legal que justifique sua conserva\u00e7\u00e3o.<\/p>\n\n\n\n A reten\u00e7\u00e3o indiscriminada, nesse cen\u00e1rio, pode gerar riscos para ambos. Para o Controlador, manter dados sem crit\u00e9rio dificulta o controle sobre o ciclo de vida das informa\u00e7\u00f5es e pode aumentar sua exposi\u00e7\u00e3o regulat\u00f3ria. Para o Operador, por outro lado, conservar dados al\u00e9m do necess\u00e1rio pode ampliar riscos de seguran\u00e7a, responsabilidade contratual e questionamentos sobre a ader\u00eancia \u00e0s instru\u00e7\u00f5es recebidas.<\/p>\n\n\n\n Por esse motivo, contratos que envolvam tratamento de dados pessoais devem prever, de forma clara, o que acontecer\u00e1 com os dados ao t\u00e9rmino da rela\u00e7\u00e3o contratual, incluindo devolu\u00e7\u00e3o, elimina\u00e7\u00e3o, anonimiza\u00e7\u00e3o, reten\u00e7\u00e3o por obriga\u00e7\u00e3o legal e comprova\u00e7\u00e3o do descarte, quando aplic\u00e1vel.<\/p>\n\n\n\n O que as empresas devem fazer<\/strong><\/p>\n\n\n\n Para gerir riscos de reten\u00e7\u00e3o e descarte, empresas devem adotar medidas pr\u00e1ticas e documentadas, incluindo:<\/p>\n\n\n\n\n\n – identificar a finalidade e a base legal de cada atividade de tratamento;<\/p>\n\n\n\n – definir prazos ou crit\u00e9rios objetivos de reten\u00e7\u00e3o;<\/p>\n\n\n\n – vincular os prazos a obriga\u00e7\u00f5es legais, prazos prescricionais e necessidades leg\u00edtimas de neg\u00f3cio;<\/p>\n\n\n\n – implementar rotinas de elimina\u00e7\u00e3o segura ou anonimiza\u00e7\u00e3o;<\/p>\n\n\n\n – revisar bases legadas e registros inativos;<\/p>\n\n\n\n – assegurar que avisos de privacidade e pol\u00edticas internas reflitam as pr\u00e1ticas efetivamente adotadas;<\/p>\n\n\n\n – incluir cl\u00e1usulas de reten\u00e7\u00e3o e elimina\u00e7\u00e3o em contratos que envolvam tratamento de dados pessoais;<\/p>\n\n\n\n – documentar exce\u00e7\u00f5es em que os dados devam ser mantidos por raz\u00f5es legais, regulat\u00f3rias ou relacionadas a lit\u00edgios.<\/p>\n\n\n\n A reten\u00e7\u00e3o de dados pessoais, embora muitas vezes subestimada, \u00e9 um dos elementos centrais da conformidade em prote\u00e7\u00e3o de dados. Manter dados por mais tempo do que o necess\u00e1rio aumenta riscos jur\u00eddicos, de seguran\u00e7a e reputacionais. Por outro lado, eliminar dados cedo demais pode prejudicar o cumprimento de obriga\u00e7\u00f5es legais ou a defesa de direitos da empresa.<\/p>\n\n\n\n Diante disso, a solu\u00e7\u00e3o n\u00e3o est\u00e1 em adotar um prazo gen\u00e9rico para todos os dados, mas em estruturar uma pol\u00edtica de reten\u00e7\u00e3o e descarte apoiada por uma tabela de reten\u00e7\u00e3o, responsabilidades internas claras e procedimentos pr\u00e1ticos de elimina\u00e7\u00e3o ou anonimiza\u00e7\u00e3o.<\/p>\n\n\n\n No GTLawyers, nossa equipe de prote\u00e7\u00e3o de dados auxilia empresas na elabora\u00e7\u00e3o e implementa\u00e7\u00e3o de pol\u00edticas de reten\u00e7\u00e3o e descarte, na revis\u00e3o de contratos de tratamento de dados, no mapeamento de obriga\u00e7\u00f5es legais de reten\u00e7\u00e3o e no alinhamento das pr\u00e1ticas internas \u00e0 LGPD, ao GDPR e a outros padr\u00f5es internacionais de privacidade.<\/p>\n\n\n\n <\/p>","protected":false},"excerpt":{"rendered":" Empresas acumulam, diariamente, grandes volumes de dados pessoais: cadastros de clientes, documentos de colaboradores, informa\u00e7\u00f5es de fornecedores, bases de marketing, contratos, faturas, logs de acesso, registros de atendimento e muitos outros. Esse armazenamento, embora muitas vezes necess\u00e1rio para a opera\u00e7\u00e3o, n\u00e3o pode ser ilimitado. Tanto a Lei Geral de Prote\u00e7\u00e3o de Dados Pessoais brasileira (LGPD) […]<\/p>\n","protected":false},"author":8,"featured_media":2320,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[6],"tags":[],"class_list":["post-2318","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-artigos"],"acf":[],"yoast_head":"\n