DPOBR - Data Protection Office Brasil

A LGPD não estabelece prazos fixos e genéricos de retenção.

O que a lei exige é que o dado pessoal seja mantido apenas pelo tempo necessário para cumprir a finalidade que justificou a sua coleta, sempre vinculado a uma base legal válida.

Na prática, isso significa que dados contratuais, trabalhistas e fiscais podem e devem ser mantidos enquanto houver obrigação legal ou possibilidade de responsabilização. Por outro lado, dados que perderam sua finalidade ou cuja base legal se encerrou precisam ser eliminados ou anonimizados.

Um erro recorrente nas empresas é adotar a lógica do “guardar por segurança”, mantendo bases antigas de clientes, currículos, cadastros e documentos sem critério jurídico claro. Esse excesso de retenção, embora pareça inofensivo, caracteriza tratamento irregular e aumenta a exposição a riscos em fiscalizações, incidentes ou pedidos de titulares.

Conformidade em proteção de dados não é apenas coletar corretamente, mas saber quando encerrar o tratamento.