Guardar dados indefinidamente é uma responsabilidade. A lei da privacidade exige que elimines os dados quando já não precisas deles. Este capítulo trata das políticas de retenção (durante quanto tempo guardar dados) e dos processos de eliminação (como tratar pedidos de eliminação dos utilizadores e limpezas do sistema).
Porque é que as políticas de retenção de dados importam
Exigência legal
O RGPD e leis semelhantes exigem políticas de retenção de dados. Tens de eliminar os dados depois de cumprires a finalidade indicada. “Guardar dados para sempre, por precaução” viola os princípios de minimização de dados e pode dar origem a coimas.
Benefício operacional
Os dados mais antigos são menos úteis. Um evento de há 2 anos raramente afeta as decisões atuais. Eliminar dados antigos reduz os custos de armazenamento, simplifica as cópias de segurança e reduz a exposição em caso de fuga (há menos dados para expor).
Expectativas dos utilizadores
Os utilizadores esperam que elimines os dados deles quando já não forem necessários. Uma aplicação de tarefas na nuvem deve apagar as tuas tarefas quando fechas a conta, e não guardá-las indefinidamente. Políticas de eliminação claras criam confiança.
Definir políticas de retenção
Que dados? Durante quanto tempo?
Tipos de dados diferentes têm necessidades de retenção diferentes:
Eventos de análise: 12 meses é o habitual. Passado um ano, os eventos históricos raramente são analisados. Se precisares de mais, 24 meses é razoável. Não guardes para sempre.
Dados de contas de clientes: Guarda enquanto a conta estiver ativa. Elimina 90 dias após o encerramento da conta (dá uma janela de recuperação). Não guardes indefinidamente.
Pedidos de apoio: Guarda durante 2 a 3 anos (prazo de prescrição para litígios). Depois elimina.
Registos financeiros: Guarda durante 7 anos (exigências fiscais e legais). Depois elimina.
Listas de marketing: Guarda enquanto o cliente estiver na lista. Elimina 30 dias após a anulação da subscrição.
Retenção mais longa em casos específicos
Alguns dados podem precisar de retenção mais longa: deteção de fraude (guardar para o rasto de auditoria), litígios legais (guardar até à resolução), conformidade regulatória (varia por setor). São exceções. O padrão deve ser: eliminar assim que deixar de ser útil.
Documentar a tua política
Escreve a tua política de retenção: que tipos de dados, o período de retenção de cada um, a base legal da retenção. Disponibiliza-a aos utilizadores na tua política de privacidade. “Guardamos os teus dados durante X meses e depois eliminamo-los.” A transparência cria confiança.
Implementar a eliminação automática
Tarefas de eliminação agendadas
Configura tarefas automáticas que correm de forma agendada (mensal, trimestral) para eliminar dados que passaram a data de retenção. Exemplo: uma tarefa que elimina todos os eventos de análise com mais de 12 meses. Corre-a automaticamente para que a eliminação de dados não seja manual nem esquecida.
Eliminação acionada por eventos
Alguma eliminação é acionada por eventos: quando um utilizador fecha a conta, elimina os dados dele. Quando um utilizador anula a subscrição, elimina o email. Configura fluxos automáticos que eliminam quando certos eventos acontecem.
Registar a eliminação
Regista quando os dados são eliminados (que dados, quando, porquê). Isto cria um rasto de auditoria. Se as autoridades perguntarem porque faltam certos dados, podes mostrar que foram eliminados segundo a política e não escondidos.
Tratar pedidos de eliminação dos utilizadores
O direito a ser esquecido
O RGPD dá às pessoas o “direito a ser esquecido”. Os utilizadores podem pedir a eliminação dos seus dados pessoais. Tens 30 dias para cumprir (com exceções para obrigações legais). Isto significa que precisas de poder eliminar os dados de um utilizador a pedido.
Implementar fluxos de eliminação
Passo 1: receber o pedido. O utilizador envia o pedido de eliminação por um formulário de apoio ou pelas definições da conta.
Passo 2: verificar a identidade. Confirma que o pedido vem do dono da conta (e não é um pedido falso).
Passo 3: identificar os dados. Encontra todos os dados relacionados com este utilizador: conta, eventos de análise, pedidos de apoio, listas de email, cópias de segurança.
Passo 4: eliminar. Remove dos sistemas em funcionamento e das cópias de segurança. Confirma a eliminação por escrito ao utilizador.
Passo 5: registar. Documenta a eliminação: quem pediu, quando, o que foi eliminado.
Exceções à eliminação
Não tens de eliminar se: tiveres a obrigação legal de guardar os dados (registos fiscais, ordens judiciais), precisares deles para uma finalidade indicada que ainda está a ser cumprida, ou o utilizador tiver consentido em tratamento adicional depois do pedido de eliminação. Mas são exceções. O padrão é eliminar quando for pedido.
Desafios na implementação
Dados distribuídos
Os dados dos utilizadores costumam estar espalhados por vários sistemas: base de dados em funcionamento, cópias de segurança, serviços de terceiros (fornecedores de análise, de email), portáteis de funcionários. Encontrar todos os dados a eliminar é complexo. Solução: mantém um inventário de dados. Sabe onde vivem os dados dos utilizadores. Inclui requisitos de eliminação nos acordos com fornecedores.
Retenção de cópias de segurança
As cópias de segurança contêm dados dos utilizadores mesmo depois de eliminados dos sistemas em funcionamento. Durante quanto tempo guardas as cópias? Provavelmente não restauras todos os dias a partir de cópias de há 3 anos, mas retenções legais podem exigir que as guardes. Esclarece: as cópias podem ser guardadas mais tempo do que os dados em uso, mas também têm de ser eliminadas eventualmente.
Dados anonimizados
Os dados verdadeiramente anonimizados não estão abrangidos pelos direitos de eliminação (não são dados pessoais). Mas a maioria dos dados “anonimizados” é, na verdade, agregada ou pseudonimizada (reversível). Se os conseguires voltar a identificar, são dados pessoais e têm de ser eliminados a pedido. Percebe o que estás realmente a guardar.
Privacidade desde a conceção: a eliminação na arquitetura
Desenha os sistemas a pensar na eliminação desde o início. Usa estruturas de dados que tornem a eliminação eficiente. Não mistures tipos de dados com necessidades de retenção diferentes. Facilita a consulta e a eliminação dos dados de um utilizador. Se construíres a capacidade de eliminação logo no início, a conformidade fica mais simples mais tarde.
Qual é um prazo realista de retenção de dados de análise para diferentes tipos de negócio?
Blogue ou conteúdo: 12 meses chegam (pouca necessidade de dados antigos). SaaS: 24 meses (precisas de análise de tendências). Loja online: 24 a 36 meses (análise de sazonalidade, deteção de fraude). Finanças e saúde: segue a regulamentação (muitas vezes 6 anos ou mais). Audita os teus relatórios dos últimos 6 meses: se não analisaste dados com mais de X meses, elimina o que passar desse ponto. Atualiza as definições da tua plataforma de análise para eliminar automaticamente.
Qual é o processo exato para responder a um pedido de eliminação dentro do prazo legal?
Dia 1: receber o pedido, verificar a identidade, registar no sistema de pedidos. Dias 2 a 7: localizar todos os dados nos sistemas (base de dados, cópias de segurança, serviços de terceiros). Dias 8 a 20: executar a eliminação e confirmar nos registos. Dia 28: enviar ao utilizador a confirmação do que foi eliminado. Documenta tudo. Os 30 dias são rígidos; começar de imediato é fundamental.
Como sei se os meus dados anonimizados estão mesmo anonimizados ou ainda são dados pessoais?
Anonimização verdadeira: impossível voltar a identificar (só estatísticas agregadas: 50% dos utilizadores clicaram no botão). Pseudonimização: reversível com uma chave (ID de utilizador com hash; continuam a ser dados pessoais). Regra segura: se tens uma chave de correspondência ou consegues cruzar com outros dados, são dados pessoais e têm de ser eliminados a pedido. Em caso de dúvida, trata-os como dados pessoais.
Durante quanto tempo devo guardar cópias de segurança e como trato pedidos de eliminação de dados nelas?
Eliminação de dados em uso: imediata. Cópias com 0 a 30 dias: elimina de todas as cópias. Cópias com 30 a 90 dias: podes guardar se não as restaurares nas operações diárias. Cópias com mais de 90 dias: têm de ser eliminadas eventualmente, segundo o RGPD (sem armazenamento indefinido). Cria um calendário de eliminação de cópias: revisão trimestral, elimina as cópias anteriores à data da política. Inclui a confirmação da eliminação na resposta ao utilizador.
Qual é um fluxo de eliminação passo a passo para dados espalhados por análise, email, CRM e ferramentas de fornecedores?
Passo 1: um documento de inventário de dados lista onde vivem os dados dos utilizadores (base de dados, GA, plataforma de email, CRM, etc.). Passo 2: uma tarefa automática de eliminação atinge a base de dados principal. Passo 3: eliminação manual ou acionada por API nas ferramentas de terceiros. Passo 4: os contratos com fornecedores exigem confirmação da eliminação (prazo: 7 dias). Passo 5: junta as confirmações e envia-as ao utilizador no prazo total de 30 dias.
Qual é a diferença entre atraso operacional e violação da regra dos 30 dias?
Atraso aceitável: descobrir dados num local inesperado, problemas técnicos legítimos (8 a 10 dias no máximo). Inaceitável: «Tratamos disso mais tarde», esperar pela execução mensal da tarefa, atrasos na recuperação de dados superiores a 15 dias. Os 30 dias são para a tua resposta e explicação, não para o tempo de implementação. Se não conseguires eliminar em 30 dias, é uma infração. Comunica os atrasos de imediato e documenta o motivo.