GDPR e armazenamento de dados: qual é o período de retenção correto?

Quando se trata de dados pessoais, mais nem sempre é melhor. De acordo com o Regulamento Geral de Proteção de Dados (GDPR), reter dados pessoais por mais tempo do que o necessário pode colocar sua empresa em risco de não conformidade.

---

O que é retenção de dados no GDPR?

A retenção de dados refere-se ao período de tempo que uma empresa armazena dados pessoais antes de serem excluídos, anonimizados ou arquivados. GDPR segue uma abordagem baseada em finalidades, o que significa que você só pode manter dados pessoais:

• Pelo tempo que for necessário para cumprir a finalidade para a qual foram recolhidos.
• Não mais do que o necessário, mesmo que esteja armazenado de forma segura.
• Se o motivo pelo qual coletou os dados não for mais válido, deverá eliminá-los ou anonimizá-los.

---

Existe um limite de retenção de dados GDPR?

O GDPR exige que:

"Os dados pessoais serão conservados de uma forma que permita a identificação dos titulares dos dados apenas durante o período necessário." — Artigo 5.º, n.º 1, alínea e), GDPR

---

Como definir períodos de retenção compatíveis com o GDPR

As organizações devem criar uma Política de Retenção de Dados que descreva:

• Por que os dados são coletados
• Quanto tempo é mantido
• Quando e como ele é revisado ou excluído
• Processos para exclusão ou anonimização
• Quem é responsável pela execução

Seu Registro de Atividades de Processamento (ROPA) deve refletir os prazos de retenção.

---

Riscos de manter os dados por muito tempo

• Risco de segurança: Mais dados significam maior impacto de violação.
• Risco regulatório: Não cumprimento dos princípios GDPR.
• Multas: Até 20 milhões de euros ou 4% do volume de negócios global.

---

Retenção e consentimento dos usuários

Se depender do consentimento dos usuários:

• Defina um período de validade claro (por exemplo, 12–24 meses).
• Renove o consentimento para continuar o processamento depois disso.
• Exclua ou anonimize os dados se o consentimento for retirado ou expirar.

CMPs (Plataformas de gerenciamento de consentimento) ajudam a impor o rastreamento de consentimento com prazo determinado.

---

Conclusão final

Para manter a conformidade com o GDPR:

• Mantenha os dados apenas pelo tempo necessário.
• Documente sua justificativa para períodos de retenção.
• Audite regularmente e elimine registros desatualizados.

Uma política clara de retenção de dados é essencial para conformidade com a privacidade, confiança e redução de riscos.

---

Fontes

• Artigo 5.º, n.º 1, alínea e) — Limitação de armazenamento
• Diretrizes do EDPB sobre limitação de armazenamento
• CNIL Melhores Práticas: Retenção de Dados