Por quanto tempo uma empresa deve guardar dados pessoais? Cinco anos? Dez anos? Enquanto o cliente permanecer ativo? A resposta mais correta é: depende da finalidade do tratamento, das obrigações aplicáveis e do contexto em que os dados são utilizados.

A LGPD não estabelece um prazo único de retenção válido para todos os dados pessoais. Isso significa que criar uma regra como “guardamos tudo por cinco anos” pode ser tão inadequado quanto eliminar informações prematuramente.

Mas o que é “Retenção de Dados” na LGPD e qual sua importância?

Retenção de dados é o período durante o qual uma organização mantém dados pessoais armazenados e disponíveis para atender e executar determinada finalidade informada ao titular. Esse tema precisa fazer parte de qualquer projeto de adequação à LGPD porque a conformidade não envolve apenas definir como os dados são coletados e utilizados, mas também por quanto tempo eles continuarão sendo tratados e quando deverão ser eliminados, anonimizados ou arquivados.

Um projeto de adequação bem estruturado deve, portanto, mapear processos, sistemas, dados, bases legais, obrigações regulatórias e critérios de descarte em diferentes meios. O tratamento deve terminar quando a finalidade for alcançada, quando os dados deixarem de ser necessários ou quando terminar o período aplicável, ressalvadas as hipóteses legais de conservação.

O que a LGPD diz sobre retenção de dados pessoais?

A própria ANPD esclarece que a LGPD não determina um prazo geral de tratamento. A duração deve considerar a finalidade para a qual os dados foram coletados e as circunstâncias daquele tratamento.

O artigo 15 da LGPD prevê, entre outras situações, o término do tratamento quando a finalidade tiver sido alcançada, quando os dados deixarem de ser necessários ou quando terminar o período definido para aquele tratamento. O artigo 16 determina, como regra, a eliminação depois do término, mas permite conservação em determinadas situações, como cumprimento de obrigação legal ou regulatória.

Isso significa que todos os dados precisam de um prazo diferente?

Empresas podem estruturar uma política ou tabela de retenção agrupando informações por categorias, processos e requisitos aplicáveis. Além da própria LGPD, determinados documentos empresariais podem estar sujeitos a períodos de guarda estabelecidos por legislação trabalhista, fiscal, contábil, previdenciária, regulatória ou por normas específicas de determinado setor (ex. normas do CFM – Conselho Federal de Medicina). Por isso, a análise de retenção não deve considerar apenas a base legal utilizada na coleta inicial, mas também outras obrigações que possam justificar a conservação posterior dos dados.

Dados trabalhistas, fiscais, informações de clientes, documentos de fornecedores, logs, gravações de atendimento, currículos e leads comerciais podem possuir necessidades diferentes de retenção. O importante é conseguir explicar por que aquela informação continua armazenada.

Mas e se a base legal foi a do consentimento? Preciso remover os dados imediatamente?

Este é um tópico interessante! A revogação do consentimento pode encerrar aquela finalidade específica, mas não significa necessariamente que toda informação relacionada ao titular precise ser imediatamente eliminada. Se determinado dado estiver contido em um documento cuja manutenção seja necessária para o cumprimento de uma obrigação legal ou regulatória, sua conservação pode continuar fundamentada nessa outra hipótese.

Por isso, uma política de retenção precisa conectar finalidade, base legal, categoria documental e prazo obrigatório de guarda, e não apenas aplicar um prazo único para toda a empresa.

Guardar dados “porque podemos precisar” é uma estratégia arriscada

A facilidade de armazenamento em nuvem criou um incentivo para que empresas simplesmente preservem informações indefinidamente. Mas armazenamento barato não significa ausência de risco.

Segundo análise publicada pela ISACA sobre data overretention, pelo menos 30% dos dados corporativos podem ser redundantes, obsoletos, triviais ou classificados como dark data. Quanto maior o volume desnecessariamente mantido, maior também pode ser a superfície de exposição e consequentemente o risco de danos aos titulares em caso de incidentes e vazamentos.

O Cost of a Data Breach Report 2025 da IBM estimou em US$ 4,44 milhões o custo médio global de uma violação de dados.

Manter informações sem necessidade pode transformar dados sem valor operacional em ativos adicionais disponíveis para um atacante.

Retenção de dados também envolve SaaS, backups e sistemas antigos

Uma política de descarte que considera apenas o banco de dados principal dificilmente será suficiente. Dados pessoais podem continuar presentes em e-mails, backups, planilhas, ferramentas SaaS, plataformas de CRM, sistemas legados, bases de conhecimento ou arquivos exportados.

É por isso que o trabalho de adequação à LGPD deve incluir mapeamento de processos, sistemas, fornecedores e fluxos de informação.

Como criar uma política de retenção e descarte?

Um bom processo começa identificando quais dados são tratados, para qual finalidade, qual base legal sustenta o tratamento e se existe obrigação legal, regulatória ou contratual que justifique determinada retenção.

Depois, a organização pode estabelecer períodos de armazenamento, responsáveis, métodos de descarte e exceções. Também é importante verificar se fornecedores conseguem efetivamente eliminar os dados quando solicitado.

O DPO ou Encarregado de Dados pode ajudar a coordenar esse processo entre jurídico, segurança, infraestrutura, aplicações e áreas de negócio. O importante é que este processo, além de funcionar, possa ser plenamente auditável.

Retenção de dados pessoais em projetos de Big Data e Analytics

Projetos de Big Data e Analytics criam um desafio adicional para políticas de retenção porque seu valor costuma estar associado justamente à existência de grandes volumes históricos de informação. Quanto maior a série temporal, maiores podem ser as possibilidades de encontrar padrões, desenvolver modelos preditivos ou produzir análises de negócio. Entretanto, quando esses conjuntos contêm dados pessoais, a lógica de “guardar porque pode ser útil no futuro” precisa ser avaliada à luz dos princípios da LGPD.

Isso significa que uma organização deve conseguir justificar por que determinado dado pessoal precisa continuar identificável dentro de um data lake, data warehouse ou ambiente analítico. Em muitos casos, estratégias como agregação, anonimização, pseudonimização ou redução de granularidade podem permitir a preservação de valor estatístico sem manter indefinidamente todas as informações em sua forma original. Esse cuidado precisa ser considerado desde a arquitetura do projeto, e não apenas quando houver uma solicitação de exclusão ou um incidente de segurança. A Macher Tecnologia aborda esse tema em mais detalhes no artigo LGPD: Adequação de Projetos de Big Data e Analytics.

IA torna o problema de retenção ainda mais relevante

Ferramentas de Inteligência Artificial adicionam novas perguntas: prompts são armazenados? Por quanto tempo? São utilizados para treinamento? Arquivos enviados permanecem disponíveis? Existem cópias em logs ou sistemas auxiliares?

Uma estratégia de Governança de IA deve incorporar retenção, minimização, classificação dos dados e regras para utilização de ferramentas externas.

Como a Macher Tecnologia pode ajudar sua empresa

A Macher Tecnologia apoia empresas na estruturação e evolução de seus programas de privacidade e proteção de dados por meio de projetos de adequação à LGPD, mapeamento de processos e dados, revisão de políticas e definição de controles de retenção e descarte.

Nosso serviço de DPO-as-a-Service pode apoiar continuamente a revisão desses processos, conectando privacidade, tecnologia, segurança da informação e negócio.

A Macher Tecnologia também desenvolve estratégias de Governança de IA, auxiliando organizações a entender onde seus dados estão sendo utilizados, quais ferramentas processam informações pessoais e quais controles precisam acompanhar a adoção crescente de Inteligência Artificial.

Se sua organização precisa de apoio com a LGPD, IA ou cibersegurança, entre em contato com nosso time de consultores!

Sobre a Macher Tecnologia

A Macher Tecnologia é uma empresa especializada em soluções Digital, focada em privacidade e proteção de dados. No mercado desde 2018, suporta clientes de diferentes indústrias em suas jornadas de conformidade, de forma multidisciplinar e hands-on.

Com uma abordagem inovadora, a Macher Tecnologia auxilia empresas na implementação de estratégias eficazes de conformidade com LGPD e GDPR, fornecendo consultoria, treinamento e ferramentas tecnológicas para gestão de riscos e proteção de dados corporativos.

Entre em contato e saiba como podemos ajudar sua organização hoje mesmo!