Resposta rápida: por quanto tempo dados pessoais podem ser mantidos?
A LGPD não estabelece um prazo único para todos os dados pessoais. Os Arts. 15 e 16 exigem que o tratamento termine quando a finalidade for alcançada, os dados deixarem de ser necessários ou pertinentes, o período terminar, houver comunicação do titular em determinadas hipóteses ou a ANPD determinar o encerramento em caso de violação.
Após o término, os dados devem ser eliminados, dentro do âmbito e limites técnicos das atividades, salvo hipóteses legais de conservação.
Principais conclusões
- Não existe “prazo LGPD de 5 anos” para todos os dados.
- Retenção deve ser definida por finalidade e evento de início da contagem.
- Consentimento revogado não implica exclusão automática de todos os registros.
- Art. 16 possui quatro hipóteses específicas de conservação.
- Backups precisam de ciclo de vida próprio.
- Hash e pseudonimização não tornam o dado automaticamente anônimo.
- Retention schedule deve conversar com ROPA, fornecedores e direitos.
O que o Art. 15 diz sobre término do tratamento?
O tratamento deve terminar, entre outras hipóteses, quando:
- a finalidade é alcançada ou os dados deixam de ser necessários ou pertinentes;
- termina o período de tratamento;
- há comunicação do titular, inclusive no exercício de revogação do consentimento, resguardado o interesse público; ou
- a ANPD determina o término em caso de violação.
Isso transforma retenção em uma pergunta de ciclo de vida, não apenas “quantos anos?”.
As quatro hipóteses de conservação do Art. 16
Após o término do tratamento, a LGPD permite conservação para:
- cumprimento de obrigação legal ou regulatória pelo controlador;
- estudo por órgão de pesquisa, garantida anonimização sempre que possível;
- transferência a terceiro, desde que respeitados os requisitos de tratamento previstos na lei; ou
- uso exclusivo do controlador, vedado acesso por terceiro, desde que os dados sejam anonimizados.
Não crie uma quinta hipótese genérica chamada “pode ser útil no futuro”.
Revogação do consentimento não significa apagar tudo
Se uma pessoa revoga consentimento para newsletter, a empresa deve interromper o tratamento que depende daquele consentimento. Isso não elimina necessariamente registros de pedido, obrigação fiscal, segurança ou exercício de direitos sustentados por outras finalidades e bases válidas.
Mantenha separação entre finalidades.
Exercício regular de direitos e litígios
O Art. 7º, VI, e Art. 11, II, “d”, podem ser relevantes para preservação de dados necessária ao exercício regular de direitos em processos judicial, administrativo ou arbitral.
O Art. 16 não possui uma exceção literal denominada “litigation hold”. Portanto, uma retenção para disputa deve ser concreta, necessária, limitada e documentada, e não uma justificativa para manter tudo indefinidamente.
Retenção ativa vs arquivo restrito
Uma boa política distingue:
- uso ativo: dados disponíveis para operação cotidiana;
- arquivo legal/regulatório: acesso restrito e finalidade específica;
- backup: cópia para resiliência, não para uso normal;
- anonimização: quando tecnicamente e juridicamente efetiva;
- exclusão: descarte do dado ao fim do ciclo.
Essa separação reduz acesso e risco mesmo quando a eliminação imediata não é apropriada.
Backups
Backups não são uma exceção para retenção eterna. Defina:
- frequência;
- janela de rotação;
- quem acessa;
- criptografia onde apropriada;
- separação do ambiente principal;
- como pedidos de exclusão são tratados após restauração;
- momento em que cópias expiram.
Se um backup antigo for restaurado, controles devem impedir que dados previamente excluídos voltem silenciosamente ao uso ativo.
Contas inativas
A LGPD não define um prazo universal para conta inativa. A empresa deve definir critérios considerando finalidade, risco e expectativa.
Exemplo de estrutura:
- conta sem atividade por determinado período;
- aviso ao usuário quando apropriado;
- suspensão/restrição;
- exclusão ou anonimização após período definido;
- preservação apenas de registros com base específica.
Marketing e listas de supressão
Quando alguém pede opt-out, pode ser necessário manter registro mínimo de supressão para evitar reentrada em campanhas. Documente finalidade, base, dados mínimos e prazo.
Apagar o e-mail da suppression list e reimportá-lo no mês seguinte não respeita a escolha.
Cookies
Cookies persistentes devem ter duração limitada pela finalidade. Não copie simplesmente o default do fornecedor. Cookies necessários, analytics e advertising podem ter períodos e bases diferentes.
Fornecedores
Contrato com operador deve refletir retenção e fim de vida. Pergunte:
- quando dados são excluídos após cancelamento?
- o fornecedor mantém logs?
- quanto tempo backups existem?
- subprocessadores recebem comando de exclusão?
- existe confirmação ou evidência de destruição?
Exemplo de cronograma de retenção
| Atividade | Gatilho | Período | Destino final |
|---|---|---|---|
| Conta ativa | encerramento da conta | período operacional definido | excluir/anonimizar, salvo exceções |
| Pedido | conclusão/obrigação aplicável | conforme necessidade e obrigação | excluir/restringir |
| Ticket de suporte | encerramento do ticket | prazo baseado em finalidade | excluir |
| Marketing | opt-out ou inatividade | conforme política | suprimir/excluir |
| Logs de segurança | criação do log | prazo baseado em risco | excluir |
| Registro de incidente | encerramento | mínimo de 5 anos segundo Res. 15/2024 | eliminar conforme política |
O exemplo de cinco anos é específico para registro de incidentes; não é um prazo geral da LGPD.
Como construir um retention schedule
Para cada linha, registre:
- atividade;
- categoria de dados;
- sistemas e fornecedores;
- finalidade;
- base legal;
- autoridade/obrigação específica quando houver;
- evento que inicia contagem;
- período;
- ação final;
- exceções;
- owner;
- evidência de execução.
Minimização e retenção
O princípio da necessidade do Art. 6º exige limitação ao mínimo necessário, pertinente e não excessivo. Guardar dados por mais tempo do que a finalidade exige aumenta superfície de risco e pode contrariar esse princípio.
Erros comuns
“A LGPD exige guardar tudo por cinco anos.”
Não.
“Consentimento revogado = apagar qualquer registro.”
Não necessariamente.
“Backup pode ficar para sempre.”
Não é uma interpretação segura.
“Hash = anonimização.”
Não automaticamente.
“Nosso fornecedor decide a retenção.”
O controlador precisa governar o ciclo de vida conforme seu papel e instruções.
“Enquanto necessário” é política suficiente.
Sem critérios internos, a frase não orienta execução.
Perguntas frequentes
Existe prazo máximo geral na LGPD?
Não. A duração depende da finalidade, necessidade e hipóteses legais aplicáveis.
Posso manter dados para defesa judicial?
Pode haver base para exercício regular de direitos, mas o hold deve ser específico e proporcional.
Como tratar dados em backup após pedido de exclusão?
Defina rotação e controles de restauração, evitando retorno ao uso ativo indevido.
Fontes oficiais
Transforme orientação em implementação
O Manual de Conformidade com a LGPD no Brasil — Edição 2026 reúne guia prático, auditoria de 100 pontos, 16 planilhas e modelos de implementação e um roteiro estruturado de 30 dias.
Obter o Manual de Conformidade com a LGPD no Brasil