Retenção de dados de verificação, guardar até quando

Depois que uma verificação de identidade termina, sobra um acervo delicado: foto de documento, selfie, dados extraídos por OCR, resultado das consultas, trilha da decisão. A pergunta que toda empresa precisa responder com precisão é: guardar o quê, por quanto tempo, e com que justificativa? Responder errado para qualquer um dos lados custa caro. Apagar cedo demais pode violar norma setorial de guarda; guardar para sempre viola a LGPD e transforma o banco de dados num passivo crescente.

O que a LGPD diz sobre o fim do tratamento

A Lei 13.709/2018 dedica dois artigos ao término. O artigo 15 define quando o tratamento acaba: quando a finalidade é alcançada, quando os dados deixam de ser necessários, quando o titular revoga o consentimento nas hipóteses em que ele é a base, ou por determinação da autoridade. O artigo 16 estabelece a regra de ouro: encerrado o tratamento, os dados devem ser eliminados.

O mesmo artigo 16, porém, lista as exceções que autorizam a conservação, e a primeira delas é a que estrutura todo este assunto: cumprimento de obrigação legal ou regulatória pelo controlador. Também autorizam a guarda o uso em estudo por órgão de pesquisa com anonimização sempre que possível, a transferência a terceiro respeitados os requisitos da lei, e o uso exclusivo do controlador com os dados anonimizados.

Somam-se a isso os princípios do artigo 6º: necessidade, que limita o tratamento ao mínimo para a finalidade, e finalidade, que proíbe usar depois para outra coisa. Traduzindo em política: cada categoria de dado retida precisa de uma justificativa nomeada e de um prazo, e o padrão sem justificativa é eliminar.

O outro prato da balança: as obrigações de guarda

Para quem opera sob a regulação financeira brasileira, a obrigação legal de guarda existe e tem prazo escrito. A Lei 9.613/1998, no artigo 10, parágrafo 2º, manda conservar cadastros e registros por, no mínimo, cinco anos a partir do encerramento da conta ou da conclusão da transação, prazo que a autoridade competente pode ampliar.

No perímetro do Banco Central, a Circular BCB 3.978/2020 vai além: o artigo 67 determina que as informações coletadas nos procedimentos destinados a conhecer os clientes sejam conservadas por, no mínimo, dez anos, contados a partir do primeiro dia do ano seguinte ao término do relacionamento. E fora do setor financeiro há prazos de outra natureza que também entram na conta, como o artigo 15 do Marco Civil da Internet, a Lei 12.965/2014, que obriga provedores de aplicação constituídos como pessoa jurídica com fins econômicos a guardar registros de acesso por seis meses.

Não existe contradição jurídica entre esses comandos e a LGPD: a própria LGPD, no artigo 16, inciso I, abre a exceção para obrigação legal e regulatória. O que existe é um dever de engenharia: separar o que cai em cada regime.

Nem todo dado da verificação é igual

O erro comum é tratar o acervo de uma verificação como um bloco único. Ele não é. Uma política madura separa, no mínimo, quatro camadas:

1. Dados cadastrais e resultado da verificação: quem foi verificado, quando, com que resultado e por quais checagens. É o núcleo que as normas de PLD-FT mandam conservar, e o prazo longo, de cinco ou dez anos conforme o regime, se aplica a ele.
2. Mídia biométrica bruta: selfie, vídeo de prova de vida, foto do documento. É dado sensível pelo artigo 5º, inciso II, da LGPD, e o princípio da necessidade pede o menor prazo defensável, suficiente para auditoria da decisão e contestação, não a década inteira.
3. Dados operacionais: logs técnicos, registros de acesso, metadados de sessão, com prazos próprios, como o do Marco Civil.
4. Derivados analíticos: métricas e agregados que, uma vez anonimizados de verdade, saem do escopo da LGPD conforme o artigo 12.

Essa separação permite cumprir os dois lados: a trilha da decisão sobrevive pelo prazo regulatório, enquanto a mídia sensível é expurgada cedo, com registro do expurgo.

Retenção como recurso de engenharia, não como texto de política

Uma política de retenção que vive num PDF e depende de alguém lembrar de apagar não é política, é intenção. Os elementos que transformam a intenção em sistema:

• Carimbo de prazo no dado: cada objeto armazenado nasce com a data em que se torna elegível a expurgo, calculada da política, não decidida caso a caso.
• Expurgo automático auditável: uma rotina percorre o que venceu, apaga na origem, inclusive no armazenamento de arquivos, e registra o que apagou e quando. O registro do expurgo é ele próprio parte da trilha.
• Criptografia em repouso e acesso mínimo enquanto o dado vive, conforme o dever de segurança do artigo 46 da LGPD.
• Resposta ao titular: os direitos do artigo 18, acesso, correção, informação sobre o tratamento, e a eliminação quando cabível, precisam de um canal que funcione e de um processo que saiba o que pode e o que não pode ser apagado por causa da guarda legal.

Para dar um exemplo concreto de desenho, na UNIFOKAL a mídia de verificação nasce com prazo de retenção carimbado no momento do upload e o expurgo automático apaga o arquivo e registra o evento, enquanto a trilha de decisão permanece pelo prazo regulatório. O detalhe que importa nesse desenho é a ordem: primeiro se define a política por categoria de dado, depois o código a executa sozinho.

Quem estrutura a retenção assim responde bem às três audiências ao mesmo tempo: ao regulador setorial, que quer a trilha de anos; à ANPD e ao titular, que querem necessidade e prazo; e à própria empresa, que quer o menor acervo sensível possível pelo qual responder.

Fontes citadas

• Lei 13.709/2018, LGPD, artigos 5º, 6º, 12, 15, 16, 18 e 46, disponível no portal do Planalto: planalto.gov.br
• Lei 9.613/1998, artigo 10, parágrafo 2º, sobre conservação de cadastros e registros por no mínimo cinco anos
• Circular BCB 3.978/2020, do Banco Central do Brasil, artigo 67, sobre conservação das informações de conhecer o cliente por no mínimo dez anos
• Lei 12.965/2014, Marco Civil da Internet, artigo 15, sobre guarda de registros de acesso a aplicações por seis meses