Encerramento de conta: o que apagar, o que guardar e por quanto tempo

O cliente encerra a conta numa terça e, na quarta, chega o pedido: apaguem tudo o que vocês têm sobre mim. O suporte encaminha ao jurídico, o jurídico encaminha à engenharia, e alguém precisa decidir, na prática, quais linhas somem do banco de dados. As duas respostas rápidas que costumam aparecer nessa hora estão erradas.

Apagar tudo é errado porque parte do acervo está sob dever legal de guarda, e o dever não some porque a relação comercial acabou. Guardar tudo é errado pelo motivo simétrico: dado sem finalidade viva deixa de ser ativo e vira passivo, aumenta a superfície de um eventual vazamento e contraria o desenho da Lei 13.709/2018, a LGPD, que trata a eliminação como regra e a conservação como exceção justificada.

Este texto separa os dois momentos que quase sempre são confundidos, o término do tratamento e a eliminação do dado, mostra por que o pedido do titular não vence uma obrigação legal de guarda, organiza os prazos que competem entre si em quem faz verificação de identidade e trata do item mais incômodo da lista, o cache de consultas feitas a terceiros.

Término do tratamento e eliminação são coisas diferentes

A LGPD cuida do assunto em dois artigos vizinhos, e a distância entre eles é justamente onde mora a confusão. O artigo 15 da Lei 13.709/2018 define quando o tratamento termina, e entre as hipóteses estão: a finalidade ter sido alcançada, os dados deixarem de ser necessários para ela, o fim do período de tratamento, a revogação do consentimento nas hipóteses em que ele é a base legal, e a determinação da autoridade nacional.

O artigo 16 entra em seguida e diz o que fazer com o acervo depois disso: os dados devem ser eliminados. O mesmo artigo, porém, lista as hipóteses em que conservar é autorizado, e a primeira delas sustenta praticamente todo o KYC brasileiro:

• cumprimento de obrigação legal ou regulatória pelo controlador;
• estudo por órgão de pesquisa, com anonimização sempre que possível;
• transferência a terceiro, respeitados os requisitos de tratamento da própria lei;
• uso exclusivo do controlador, vedado o acesso por terceiro, desde que anonimizados os dados.

O encerramento da conta é um evento do artigo 15: aquela finalidade acabou. Ele não é, por si, um gatilho de eliminação total, porque parte do acervo passa a viver sob a exceção do artigo 16. A leitura correta é por registro, não por cliente: cada categoria de dado tem uma finalidade, uma base legal e um prazo próprios, e o fim da conta apenas encerra a finalidade comercial.

O pedido do titular e o alcance real do artigo 18

O artigo 18 da Lei 13.709/2018 garante ao titular, entre outros direitos, a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei, e a eliminação dos dados tratados com base no consentimento. Repare no recorte: nenhuma dessas hipóteses alcança o dado que a empresa guarda porque outra norma manda guardar. Não é uma brecha inventada pelo mercado, é a arquitetura da lei, que já previu a convivência com obrigações legais no artigo 16.

O que muda com o pedido é o ônus da resposta. Recusar em bloco, sem explicar, é infração; responder com um "não podemos" genérico também. A resposta útil detalha as camadas do acervo, e os direitos do titular em KYC ficam bem mais fáceis de atender quando esse mapa já existe antes do primeiro pedido.

Uma resposta honesta tem quatro linhas: o que foi eliminado, o que permanece, com que fundamento permanece e até quando permanece.

Escrever essas quatro linhas exige que alguém, algum dia, tenha inventariado o acervo. Quem só descobre o próprio mapa de dados no dia do primeiro pedido responde mal e atrasado.

Os relógios que continuam correndo depois do adeus

Em quem faz verificação de identidade, os prazos de guarda correm em paralelo, sobre dados diferentes, com origens legais diferentes. Costumam ser três.

O primeiro é o da prevenção à lavagem de dinheiro. A Lei 9.613/1998, no artigo 10, parágrafo 2º, impõe às pessoas obrigadas manter cadastro e registro das operações por no mínimo cinco anos, contados do encerramento da conta ou da conclusão da transação, prazo que a autoridade competente pode ampliar. É ele que impede a eliminação imediata do cadastro e da trilha de decisão de quem opera em setor regulado.

O segundo é mais longo, e vale para quem está no perímetro do Banco Central: a Circular BCB 3.978/2020, no artigo 67, manda conservar por no mínimo dez anos as informações coletadas nos procedimentos destinados a conhecer o cliente, contados a partir do primeiro dia do ano seguinte ao término do relacionamento. Dez anos é o relógio que costuma governar o desenho, e quem monta a política olhando só para os cinco anos da Lei 9.613/1998 descobre a diferença tarde.

O terceiro é o do Marco Civil da Internet. A Lei 12.965/2014, no artigo 15, obriga o provedor de aplicações de internet constituído como pessoa jurídica com fins econômicos a guardar os registros de acesso a aplicações por seis meses, sob sigilo e em ambiente controlado. Esse prazo alcança o log de uso, não o cadastro, e vale mesmo para quem não tem obrigação setorial de PLD. Vale ler os três em conjunto com a lógica de retenção de dados de verificação e com o regime específico da guarda de logs pelo Marco Civil, porque são regimes distintos aplicados ao mesmo usuário.

Duas armadilhas aparecem aqui. A primeira é tratar prazo mínimo como autorização para guardar indefinidamente: passado o período, a finalidade precisa ser reexaminada. A segunda é aplicar o prazo mais longo a tudo, por conveniência de implementação. Nivelar o acervo pelo teto é simples de codificar e difícil de defender, porque estende a conservação a dados que nenhuma norma pediu.

A mídia biométrica costuma ter prazo próprio, e mais curto

Selfie, foto de documento e vídeo de prova de vida raramente precisam viver o mesmo tempo que o cadastro. Nenhuma das normas citadas fixa prazo específico para a imagem, e é justamente por isso que o critério volta para o artigo 15 da LGPD: a finalidade daquela captura era decidir se a pessoa é quem diz ser, e essa finalidade termina quando a decisão fica registrada.

Na prática, o que precisa sobreviver para efeito de auditoria é o resultado e a trilha, quem decidiu, quando, com quais sinais, sob qual versão de política, e não necessariamente o pixel original. Isso sugere um desenho: mídia guardada separada do cadastro, com carimbo de retenção próprio, para que o prazo curto da imagem possa vencer sem tocar no registro que a norma manda conservar por anos. Na UNIFOKAL, por exemplo, é assim que o acervo é organizado, com a mídia em armazenamento apartado e prazo independente do cadastro. Fora desse desenho, o expurgo da imagem vira operação manual e arriscada, e por isso quase nunca acontece.

Anonimizar quando o número precisa sobreviver, e o caso do cache

Boa parte do que a empresa quer manter depois do encerramento não é a pessoa, é a estatística: taxa de aprovação por mês, tempo médio de análise, volume por canal. Para isso existe a anonimização, a única saída da LGPD que não passa por apagar. O cuidado é não chamar de anônimo o que é apenas codificado, porque a diferença entre anonimização e pseudonimização tem consequência jurídica direta: dado reversível continua sendo dado pessoal, com todas as obrigações de sempre.

Sobra o item mais incômodo. Quem consulta fontes externas, como bases cadastrais e listas oficiais, normalmente guarda a resposta em cache por um prazo, para não repetir a chamada e o custo a cada verificação. A posição defensável, e ela precisa ser sustentada e não presumida, é que esse cache não sai por pedido individual: ele é cópia de trabalho de uma consulta feita para cumprir a obrigação de conhecer o cliente, hipótese de conservação do artigo 16, inciso I, da Lei 13.709/2018, tem chave própria e vence por prazo. O que torna a posição defensável é declará-la antes: a existência do cache, sua finalidade e seu prazo no registro das operações de tratamento que o artigo 37 da mesma lei exige de controlador e operador, e a mesma informação repetida na resposta ao titular. Transparência antecipada custa um parágrafo; descoberta tardia custa um incidente.

Fontes citadas

• Lei 13.709/2018 (Lei Geral de Proteção de Dados Pessoais), artigos 15, 16, 18 e 37, citada por nome no texto.
• Circular BCB 3.978/2020, do Banco Central do Brasil, artigo 67, conservação por no mínimo dez anos das informações de conhecer o cliente, citada por nome no texto.
• Lei 12.965/2014 (Marco Civil da Internet), artigo 15, citada por nome no texto.
• Lei 9.613/1998 (prevenção à lavagem de dinheiro), artigo 10, parágrafo 2º, guarda de cadastro e de registro de operações por no mínimo cinco anos, citada por nome no texto.