Prazo de guarda de documentos e LGPD: quanto tempo manter cada tipo de registro

"Quanto tempo a gente precisa guardar isso?" A pergunta aparece no RH quando um colaborador é desligado, no financeiro quando o arquivo físico lota e na TI quando o custo de armazenamento cresce. A resposta quase nunca é um número único, e muitas empresas acabam adotando uma regra informal, como guardar tudo por cinco anos ou, simplesmente, guardar tudo.

A LGPD não traz uma lista de prazos por documento. O que ela faz é mudar a pergunta. Em vez de "por quanto tempo posso guardar?", a empresa precisa saber responder "por que ainda guardo isso e até quando?". O prazo de guarda de documentos passa a depender da finalidade, das normas que exigem a conservação e do evento que dá início à contagem.

Este guia explica como a LGPD se relaciona com os prazos de outras leis, traz exemplos de prazos com a norma de origem e mostra como montar uma tabela de temporalidade que o jurídico, o contador e a TI consigam usar.

A regra geral está nos arts. 15 e 16. O tratamento termina quando a finalidade é alcançada ou os dados deixam de ser necessários, quando acaba o período de tratamento, quando o titular comunica sua decisão nas hipóteses cabíveis ou quando a ANPD determina, em caso de violação à lei. Terminado o tratamento, os dados devem ser eliminados, mas a lei autoriza a conservação em alguns casos, entre eles o cumprimento de obrigação legal ou regulatória pelo controlador (art. 16, I).

Outros pontos da lei afetam o tema diretamente. O princípio da necessidade limita o tratamento ao mínimo necessário para a finalidade (art. 6º, III), e isso inclui o tempo. O titular tem direito a informações claras sobre a forma e a duração do tratamento (art. 9º, II). E a lei permite que a ANPD disponha sobre o tempo de guarda dos registros (art. 40). Enquanto não houver regra específica para o seu caso, cabe à empresa definir cada prazo, justificá-lo e saber explicá-lo.

A decisão sobre o que fazer quando o prazo acaba, incluindo bloqueios, exceções e evidências de descarte, tem etapas próprias, que detalhamos no artigo sobre eliminação de dados na LGPD. Aqui o foco é outro: de onde vêm os prazos e como organizá-los.

Quando alguém diz que um documento "tem que ser guardado por X anos", a frase pode estar falando de coisas bem diferentes. Separar essas fontes evita tanto guardar demais quanto apagar cedo demais.

São normas que mandam conservar um documento ou registro por um período definido. O prazo é uma obrigação, e a conservação se apoia no art. 16, I, da LGPD. Quando o prazo acaba, a obrigação deixa de justificar a guarda.

Algumas normas não dão um número, mas vinculam a guarda ao fim do prazo em que os atos registrados ainda podem ser cobrados ou questionados. Em outros casos, não há obrigação de guardar, mas a empresa quer manter documentos que podem ser necessários para se defender enquanto uma ação ainda pode ser proposta. Nessa segunda situação, é comum fundamentar a guarda na hipótese do exercício regular de direitos em processo judicial, administrativo ou arbitral (art. 7º, VI). É uma interpretação frequente, que deve ser validada pelo jurídico e limitada aos documentos que de fato seriam úteis em uma defesa.

Para muitos dados não há prazo geral em lei. Costuma ser o caso de currículos de candidatos não selecionados, leads de marketing, gravações de atendimento, imagens de câmeras e logs internos, embora normas setoriais ou locais possam trazer regras específicas em algumas situações. Aqui, o prazo precisa ser definido pela empresa com base na finalidade, documentado e informado ao titular quando for o caso. "Pode ser útil um dia" não é justificativa.

Alguns prazos expressos de guarda que aparecem com frequência:

Prazos em que a guarda acompanha a prescrição ou a decadência:

Repare que vários desses prazos têm a mesma duração, mas começam em momentos diferentes. Cinco anos "a partir do registro", "do primeiro dia do exercício seguinte" ou "do conhecimento do dano" levam a datas de descarte muito diferentes. Situações como processos e cobranças em andamento também podem interromper ou suspender contagens, e por isso a validação com o contador e o jurídico não é formalidade.

Nenhuma dessas regras manda guardar todos os dados pessoais do titular. Elas alcançam documentos específicos, que precisam ser identificados um a um. A obrigação fiscal justifica guardar a nota fiscal, não o cadastro completo do cliente com preferências de marketing.

Tabela de temporalidade é o instrumento que lista os tipos de documento ou registro, o prazo de guarda de cada um e o que acontece quando o prazo termina. O termo vem da gestão documental e aparece na própria Resolução CD/ANPD nº 15/2024, ao tratar dos documentos de guarda permanente de órgãos públicos. Para uma empresa privada, ela é a forma mais prática de pôr as regras acima em prática.

A ANPD também já pediu esse tipo de documento em fiscalização. Na Nota Técnica nº 6/2025/FIS/CGF/ANPD, sobre o setor farmacêutico, a área de fiscalização propôs que uma das empresas analisadas apresentasse sua política de retenção, sua tabela de temporalidade e o tempo de armazenamento dos dados de cada tratamento, além de oferecer aos titulares um canal com informações sobre esse tempo.

Uma tabela útil costuma ter, no mínimo, estas colunas:

Um erro comum é registrar só a duração. "Cinco anos" não diz nada se a tabela não indicar a partir de quando. Para documentos de colaboradores, o evento costuma ser o desligamento; para prontuários de pacientes, o último registro; para documentos fiscais, a regra do CTN; para contratos, o encerramento da relação. Sem esse gatilho, ninguém consegue calcular a data de descarte.

Nem todo documento termina no descarte. Alguns podem ser anonimizados e mantidos para estatística. O prontuário de paciente pode ser devolvido ao paciente em vez de eliminado (Lei nº 13.787/2018, art. 6º, § 2º), e documentos com valor histórico podem ter guarda permanente. A tabela precisa dizer qual destino se aplica a cada linha, e o descarte precisa ser seguro e registrado.

Imagine uma empresa de serviços com 150 colaboradores que desliga um analista. A pasta dele reúne documentos de natureza muito diferente, e cada um segue um caminho. O exemplo é fictício e simplificado.

Contrato, recibos, controles de jornada e termo de rescisão ficam guardados enquanto puderem ser necessários em uma eventual reclamação trabalhista, considerando o prazo prescricional da Constituição e da CLT: cinco anos, até o limite de dois anos após o fim do contrato. Parte desse histórico pode ter prazo maior por causa de obrigações previdenciárias e fiscais, e essa análise é do jurídico e do contador.

O prontuário médico ocupacional, com os exames admissional, periódicos e demissional, segue a NR-7: deve ser mantido pela organização por no mínimo 20 anos após o desligamento. O prontuário fica sob a responsabilidade do médico responsável pelo Programa de Controle Médico de Saúde Ocupacional (PCMSO), e o acesso precisa ser restrito.

O currículo enviado no processo seletivo e as anotações da entrevista, em regra, não têm prazo legal de guarda. Cumprida a finalidade, entram na regra geral da LGPD e devem ser eliminados, salvo outra justificativa documentada. Cópias de documentos tiradas "por garantia", como um comprovante de residência antigo, seguem o mesmo raciocínio.

A mesma pasta gera pelo menos três datas de descarte diferentes. É por isso que uma tabela com uma linha só para "documentos de RH" não funciona.

Os erros que mais aparecem são previsíveis: aplicar cinco anos para tudo sem olhar a norma, registrar o prazo sem o evento de início, esquecer cópias em e-mails, pastas compartilhadas e backups, manter papel e digital com prazos diferentes para o mesmo conteúdo e não revisar a tabela quando uma lei muda.

Há também o erro oposto, menos comum, mas mais difícil de corrigir: apagar um documento que ainda era exigido, por aplicar a regra geral da LGPD sem checar as obrigações de conservação. A LGPD manda eliminar o que perdeu a finalidade, não o que outra lei manda guardar.

Uma tabela de temporalidade bem feita pode viver em uma planilha, e para muitas empresas isso basta no começo. A dificuldade aparece na execução: saber quando cada prazo vence, quem precisa agir, o que foi eliminado e com qual evidência, e manter a tabela alinhada ao mapeamento de dados à medida que os processos mudam.

Na LGPD Cloud, o tempo de retenção fica registrado em cada atividade de tratamento do Mapeamento de Dados, ao lado da finalidade, das bases legais e dos sistemas usados. A tabela de temporalidade e a política de retenção podem ser mantidas no módulo de Políticas e Normas, com responsável, versões numeradas, descrição das mudanças, aprovação e data da próxima revisão.

Quando o prazo termina, o módulo de Eliminação de Dados permite registrar a eliminação tendo a política de retenção como motivo, com as categorias de dados, o volume, o método (exclusão lógica, exclusão física, anonimização ou destruição física de documentos), as evidências anexadas, como certificado de destruição ou relatório de sistema, e o status. As revisões periódicas da tabela podem virar Tarefas com responsável, prazo e prioridade. Para saber em que ponto a empresa está nesse tema, o diagnóstico LGPD gratuito tem uma área específica de retenção e descarte de dados.

Não existe um prazo de guarda único para os documentos de uma empresa, e a LGPD não pretende criar um. Ela exige que cada dado tenha um motivo para continuar guardado e um fim previsto. As outras leis dizem, em muitos casos, quanto tempo esse motivo dura.

Uma tabela de temporalidade com fonte, evento de início e destinação em cada linha resolve a maior parte das dúvidas do dia a dia. Validada com o contador e o jurídico e revisada periodicamente, ela dá segurança tanto para guardar o que é exigido quanto para eliminar o que já não tem justificativa.

Os prazos citados podem ser conferidos no texto compilado da LGPD (arts. 6º, 9º, 15, 16 e 40), na Constituição Federal (art. 7º, XXIX), na CLT (art. 11), no Código Tributário Nacional (arts. 173, 174 e 195), no Código Civil (art. 1.194), no Código de Defesa do Consumidor (art. 27), no Marco Civil da Internet (art. 15), na Lei nº 13.787/2018 (art. 6º), na NR-7 (item 7.6.1.1) e na Resolução CD/ANPD nº 15/2024 (art. 10).