Eliminação de dados na LGPD: como decidir o que apagar e o que ainda precisa ser mantido

A eliminação de dados LGPD parece simples quando a pergunta é feita de forma abstrata: se a finalidade acabou, por que não apagar tudo? Na prática, um mesmo dado pode estar ligado a várias operações, sistemas, contratos, obrigações e processos. O cadastro encerrado no CRM pode aparecer em uma nota fiscal, em um atendimento, em um contrato, em um relatório de auditoria e em um backup. Apagar sem analisar o contexto pode destruir registros que ainda precisam ser mantidos; conservar sem justificativa pode prolongar um tratamento que já deveria ter terminado.

Por isso, eliminação não deve ser tratada como um botão isolado. Ela faz parte do ciclo de vida dos dados e precisa considerar finalidade, necessidade, prazo, base legal, retenção, compartilhamento, segurança, anonimização, bloqueio e evidência. A decisão deve ser compreensível para o DPO, o jurídico, a TI, o RH, a gestão documental e a área que executa o processo.

O artigo 15 da LGPD indica que o término do tratamento ocorre quando a finalidade é alcançada, quando os dados deixam de ser necessários ou pertinentes, quando termina o período de tratamento, quando o titular comunica sua decisão nas hipóteses aplicáveis ou quando a autoridade nacional determina o término por violação à lei. O artigo 16 estabelece que os dados devem ser eliminados após o término, dentro dos limites técnicos da atividade, mas admite conservação para situações específicas.

A conservação pode ser autorizada para cumprir obrigação legal ou regulatória, realizar estudo por órgão de pesquisa com anonimização sempre que possível, permitir transferência a terceiro desde que os requisitos da LGPD sejam respeitados ou atender ao uso exclusivo do controlador com dados anonimizados e sem acesso por terceiros. Isso não equivale a uma autorização para guardar tudo. A justificativa deve estar vinculada ao conjunto de dados, à finalidade de conservação e aos controles aplicados.

Antes de executar uma ação, defina qual resultado é necessário. Eliminar significa excluir o dado ou conjunto de dados armazenado. Bloquear significa suspender temporariamente o tratamento, mantendo o dado guardado. Anonimizar significa aplicar técnica que retire a possibilidade de associação direta ou indireta a uma pessoa, considerando os meios razoáveis disponíveis. Conservar significa manter o dado por uma justificativa específica, com acesso, uso e prazo limitados.

A decisão começa com uma pergunta operacional: qual tratamento deixou de ser necessário? Não diga apenas cliente inativo ou contrato encerrado. Especifique a finalidade: enviar comunicações de uma campanha, manter uma conta ativa, processar uma candidatura, prestar suporte, entregar um produto, armazenar imagens de visitantes ou analisar um teste. Quanto mais clara a finalidade, mais fácil separar o que deve terminar do que pode continuar por outra razão.

O fim de uma finalidade não autoriza reter o cadastro por hábito, mas também não exige apagar dados que tenham outra finalidade legítima e documentada. Um contrato pode terminar, enquanto registros fiscais ainda precisam ser conservados. Um atendimento pode ser encerrado, enquanto a organização precisa manter evidências para responder a uma reclamação ou exercer um direito. Um candidato pode não ser selecionado, mas o currículo só deve entrar em banco de talentos se existir finalidade e fundamento compatíveis.

Quando a área informa que precisa conservar um dado, peça a justificativa concreta. Pode haver obrigação tributária, trabalhista, regulatória, contratual ou processual, mas a referência deve ser identificada. Não basta dizer que o jurídico pediu para guardar ou que a empresa talvez precise no futuro. A análise deve apontar qual registro é necessário, por quanto tempo, para qual finalidade e com quais controles de acesso.

Uma solicitação de eliminação pode chegar enquanto existe uma investigação interna, uma reclamação, um processo judicial, uma auditoria ou uma apuração de incidente. A organização não deve apagar dados relevantes apenas para cumprir uma rotina automática. Também não deve usar a existência abstrata de possíveis processos para conservar todas as bases indefinidamente. O caminho é aplicar um bloqueio ou legal hold documentado, limitar o escopo e revisar a retenção quando a situação terminar.

Prazo de retenção não é um número colocado em uma tabela para preencher o inventário. Ele precisa ser explicado a partir do ciclo de vida da finalidade. Em vez de dizer guardar por cinco anos porque sempre foi assim, descreva o evento que inicia o prazo, a razão para o período e o que acontece no final. Um contrato pode ter prazo contado do encerramento da relação; um registro fiscal pode seguir regra própria; um log de segurança pode ter retenção compatível com investigação e prevenção.

Eliminar o registro no sistema principal não significa que todas as cópias desapareceram. O dado pode estar em CRM, ERP, ferramenta de marketing, atendimento, data lake, arquivos compartilhados, planilhas exportadas, dispositivos locais, integrações e backups. A equipe precisa saber quais pontos estão sob controle direto, quais dependem de um operador e quais são tecnicamente difíceis de alterar sem comprometer a integridade do backup.

Backups exigem uma decisão documentada. Em alguns ambientes, a exclusão seletiva pode corromper a cadeia de recuperação. Isso não deve virar justificativa para conservar o dado acessível e utilizável indefinidamente. Uma política pode prever isolamento, restrição de acesso, não restauração para uso operacional e eliminação no ciclo normal de sobrescrição, desde que a análise jurídica, técnica e de risco seja coerente com o caso.

A eliminação precisa ser planejada para não criar um novo incidente. Confirme o escopo, valide os destinatários da tarefa, aplique controles de acesso e registre o resultado. Em arquivos físicos, o descarte deve impedir recuperação indevida. Em mídias digitais, a organização deve usar o procedimento técnico compatível com o ambiente. Em sistemas compartilhados, comunique operadores e outras áreas que receberam os dados, quando a responsabilidade e a operação exigirem.

Uma organização precisa demonstrar mais do que uma intenção de eliminar dados. O registro da operação deve mostrar qual critério disparou o descarte, quem aprovou, quais sistemas participaram, quando a tarefa foi executada e quais exceções permaneceram. A evidência não precisa guardar o dado eliminado novamente. Ela deve ser minimizada e protegida, contendo referências suficientes para provar a decisão sem recriar o risco que a eliminação pretendia reduzir.

O problema mais comum não é falta de intenção para apagar. É falta de visibilidade sobre quando, por que e onde a eliminação deve acontecer. A funcionalidade de Eliminação de Dados da LGPD Cloud pode centralizar prazos, critérios, responsáveis, exceções e evidências em torno das atividades de tratamento. A equipe consegue sair de uma lista estática de datas e acompanhar o processo como parte do ciclo de vida do dado.

Relacionar a eliminação ao Mapeamento de Dados ajuda a entender qual finalidade terminou, quais sistemas participam, quem são os operadores e quais outras operações usam a mesma informação. Antes de apagar, o responsável pode analisar retenções, obrigações e bloqueios. Depois, pode acompanhar tarefas, registrar confirmações e preservar o histórico necessário para auditoria e prestação de contas.

Cliente que encerrou o contrato: dados usados apenas para marketing de relacionamento podem deixar de ser necessários. Já documentos fiscais e registros necessários para uma disputa podem ter retenção própria. A decisão pode eliminar campos de campanha, restringir o cadastro e conservar apenas o conjunto justificado.

Candidato não selecionado: o processo seletivo pode terminar, mas a empresa não deve guardar o currículo indefinidamente por conveniência. Para manter o candidato em um banco de talentos, deve existir finalidade específica, transparência, prazo e fundamento adequado. Sem isso, o descarte ou a anonimização deve ser considerado.

Solicitação de eliminação: o titular pede a exclusão de dados tratados com consentimento. A organização deve localizar o tratamento, verificar exceções do artigo 16, comunicar agentes envolvidos quando aplicável e responder com clareza. O registro mínimo do atendimento pode ser mantido para demonstrar a decisão, com acesso restrito e retenção proporcional.

A eliminação de dados LGPD exige equilíbrio. A organização deve encerrar tratamentos que não têm mais finalidade, mas precisa investigar se há outra base válida, obrigação de conservação, processo ou necessidade de anonimização. A decisão correta depende do contexto, da categoria de dado, do sistema, do titular, do prazo e do risco de manter ou apagar.

Com a LGPD Cloud, o módulo de Eliminação de Dados ajuda a centralizar critérios, prazos, responsáveis, exceções e registros de execução. A eliminação deixa de ser uma tarefa esquecida em planilhas e passa a fazer parte do ciclo de vida monitorado. Fale com a LGPD Cloud para estruturar uma rotina de descarte mais segura, rastreável e conectada às atividades de tratamento.

Consulte o texto compilado da LGPD, especialmente os artigos 5º, XIV, 15 e 16, e as perguntas frequentes da ANPD. A aplicação ao caso concreto deve considerar obrigações setoriais, contratos, regras de gestão documental e orientação profissional.