O que é uma data retention policy

Uma data retention policy é um documento formal que estabelece por quanto tempo cada categoria de dado deve ser mantida pela organização e o que deve acontecer com ela ao final desse período: descarte, anonimização ou arquivamento. Sem esse documento, as decisões sobre retenção ficam dispersas entre equipes e sistemas, criando inconsistências difíceis de auditar.

É comum confundir retenção de dados com backup. Backup é uma cópia de segurança criada para recuperação em caso de falha ou desastre. Retenção de dados define o período legítimo durante o qual um dado pode existir nos sistemas da empresa, seja em produção, em arquivo ou em backup. Um dado pode ter sua retenção expirada e ainda estar presente em backups, o que gera um problema de conformidade se não houver um processo que trate essa sobreposição.

Praticar retenção informalmente, apagando dados “quando alguém lembra” ou quando o armazenamento enche, não atende às exigências regulatórias e não oferece rastreabilidade. A política documentada cria um padrão verificável, base para auditorias internas e externas.

Por que ter uma política de retenção de dados é obrigatório

Exigências da LGPD

A Lei Geral de Proteção de Dados (Lei 13.709/2018) estabelece dois princípios diretamente ligados à retenção: o princípio da necessidade, que limita o tratamento ao mínimo indispensável para a finalidade declarada, e o princípio da limitação de finalidade, que proíbe o uso do dado para fins incompatíveis com aquele que justificou sua coleta. Manter dados além do necessário viola esses princípios e expõe a organização a sanções da ANPD.

Obrigações setoriais no Brasil

A LGPD convive com uma série de normas setoriais que impõem prazos mínimos de guarda. O Banco Central exige que instituições financeiras conservem determinados registros por cinco anos ou mais, dependendo da natureza da operação. A Receita Federal exige guarda de documentos fiscais por pelo menos cinco anos. A ANVISA possui requisitos específicos para registros de fabricação e distribuição de produtos regulados. Ignorar esses prazos mínimos é tão grave quanto reter dados além do necessário.

Riscos de manter dados além do prazo

Dados retidos sem necessidade ampliam a superfície de ataque em caso de incidente de segurança. Num vazamento, a organização responde por todos os dados expostos, incluindo aqueles que deveriam ter sido descartados. Fora o impacto regulatório, há risco de litígios com titulares que podem questionar a base legal da retenção.

Em auditorias para certificações como a ISO 27001, a ausência de uma política formal de retenção é uma não-conformidade recorrente. O controle A.8.3 da norma trata explicitamente de gestão de mídia removível e descarte, e auditores verificam se há procedimentos documentados e evidências de execução.

Como funciona na prática: ciclo de vida do dado

Mapeamento dos dados existentes

O primeiro passo operacional é entender quais dados a organização coleta, onde estão armazenados e para qual finalidade foram criados. Esse mapeamento, muitas vezes chamado de data inventory ou records of processing activities (ROPA), é a base sobre a qual os prazos de retenção serão definidos. Sem ele, qualquer política será incompleta.

Definição de prazos por categoria

Prazos variam significativamente por tipo de dado. Dados cadastrais de clientes ativos podem ser mantidos enquanto há relacionamento comercial e por um período adicional após o encerramento. Dados transacionais seguem os prazos fiscais e contábeis aplicáveis. Logs de sistema costumam ter prazos mais curtos, de 90 dias a um ano, salvo exigência regulatória específica. Dados de RH, como folha de pagamento, seguem legislação trabalhista e previdenciária, com prazos que podem chegar a décadas em alguns casos.

Revisão periódica e descarte seguro

A política precisa prever um processo de revisão periódica, tipicamente semestral ou anual, para identificar dados que já cumpriram sua finalidade. Quando o prazo expira, o descarte deve seguir procedimentos técnicos adequados: exclusão definitiva com sobrescrita em mídias físicas, anonimização quando o dado ainda tem valor analítico sem identificação do titular, ou pseudonimização em cenários onde a reidentificação pode ser necessária sob controle restrito. Deletar um registro do banco de dados sem garantir a remoção de backups e réplicas não constitui descarte efetivo.

Elementos essenciais de uma data retention policy

Escopo

O documento deve deixar claro quais sistemas, unidades de negócio e tipos de dados estão cobertos. Uma política que se aplica apenas ao CRM, mas ignora planilhas locais, e-mails e sistemas legados, cria lacunas de conformidade. O escopo precisa ser amplo o suficiente para ser relevante e específico o suficiente para ser aplicável.

Tabela de retenção (retention schedule)

O retention schedule é o núcleo operacional da política: uma tabela que lista cada categoria de dado, a base legal que justifica sua retenção, o prazo aplicável e o procedimento de descarte ao final do ciclo. Sem essa tabela, a política é apenas texto e ninguém sabe o que fazer na prática.

Responsáveis e governança

A política deve nomear quem aprova alterações (geralmente o DPO ou comitê de privacidade), quem executa os procedimentos de descarte (equipes de TI ou dados) e quem monitora o cumprimento (auditoria interna ou compliance). Responsabilidades difusas resultam em inação.

Exceções e holds legais

Quando há litígio, investigação regulatória ou solicitação judicial, dados que normalmente seriam descartados precisam ser preservados. O processo de legal hold suspende o ciclo de retenção para os dados relevantes ao caso. A política deve descrever como esse hold é acionado, quem o autoriza e como é documentado para fins de rastreabilidade.

Relação entre retenção de dados e plataformas de dados

CDPs (Customer Data Platforms) e CRMs acumulam dados de clientes por natureza — é parte do seu valor. Sem governança, porém, esses sistemas se tornam repositórios de dados obsoletos, duplicados ou sem base legal para retenção. Perfis de clientes inativos há anos, e-mails de contatos que revogaram consentimento, histórico de interações sem finalidade ativa: tudo isso representa passivo regulatório e degrada a qualidade dos dados para análise.

Plataformas modernas oferecem mecanismos de expiração automática de atributos ou perfis. A configuração dessas regras deve ser derivada diretamente da política de retenção, não de decisões ad hoc de produto. O alinhamento entre a política e o modelo de consentimento é igualmente crítico: quando um titular revoga o opt-in, os dados associados àquela finalidade precisam seguir o fluxo de descarte previsto na política, não apenas ser marcados como “inativos” no sistema.

Retenção excessiva também afeta a qualidade das análises preditivas. Modelos treinados com dados históricos muito antigos incorporam padrões de comportamento que não refletem o cliente atual, reduzindo a acurácia das predições e criando viés nos segmentos gerados.

Como começar: passos para estruturar sua política

Passo 1: inventário de dados

Cataloge o que existe, onde está armazenado, quem é o responsável e para qual finalidade foi coletado. Use entrevistas com áreas de negócio, análise de sistemas e, quando disponível, o ROPA já existente. Ferramentas de descoberta automática de dados podem acelerar esse processo em ambientes complexos.

Passo 2: classificação por criticidade e requisito legal

Agrupe os dados por categoria e identifique os requisitos legais aplicáveis a cada uma. Dados sensíveis conforme definição da LGPD, como saúde, biometria e origem racial, exigem atenção redobrada. Classifique também por criticidade para o negócio, pois isso influenciará decisões sobre arquivamento versus exclusão.

Passo 3: definição dos prazos

Para cada categoria, determine o prazo mínimo exigido por lei (quando aplicável) e o prazo máximo justificável pela finalidade de negócio. O prazo de retenção adotado deve ser o menor entre o suficiente para o negócio e o máximo permitido pela regulação. Documente a justificativa de cada prazo: ela será questionada em auditorias.

Passo 4: aprovação, treinamento e revisão

Submeta a política para aprovação formal pela liderança e pelo DPO. Após aprovação, treine as equipes que executam os procedimentos, especialmente TI, dados e compliance. Estabeleça um ciclo de revisão anual para atualizar prazos conforme mudanças regulatórias ou de negócio. Registre evidências de cada ciclo de descarte executado: data, categoria de dado, volume e método utilizado.