LGPD: quando e como eliminar dados da sua organização?

Autores: Alexandre Tamura e Aline Silva Noleto*

O arquivamento e a eliminação de dados ganharam os holofotes a partir da publicação da Lei Geral de Proteção de Dados (LGPD), que, em seu artigo 16, determina que os dados pessoais deverão ser eliminados ao final do seu tratamento, com algumas exceções, conforme previsto. Diante deste contexto, é necessário ampliar a discussão sobre a importância da adequada retenção de dados e sobre o risco de vazamento de dados, problema que se expande para qualquer tipo de dado, não apenas os pessoais.

A evolução das tecnologias de armazenamento de dados corroborou para que a preocupação com a eliminação de dados fosse colocada de lado, permitindo que muitas empresas e seus usuários mantivessem os dados ad aeternum, mesmo que não houvesse tal necessidade.

Assim, em muitos casos, ao avaliar o histórico de vazamentos de dados ocorridos, é possível verificar a existência de dados armazenados pelas empresas há mais de 20 anos. Mas será que o armazenamento de dados por tanto tempo é benéfico para a organização?

Vamos analisar. A eliminação de dados que não possuem mais utilidade para a empresa resulta em economia de infraestrutura, possibilitando o foco da eficiência orçamentária na melhoria da segurança da informação e no que realmente é necessário se armazenar. Além disso, ao reduzir a quantidade de informações guardadas, contribui-se para a mitigação de riscos de incidentes de dados.

Porém, tal eliminação precisa partir de um processo bem estruturado, que leve em consideração todas as variáveis que envolvem a necessidade de salvaguarda de uma informação. Afinal, a eliminação precoce do dado também pode trazer prejuízos à organização.

É dentro desse contexto que se evidencia a importância da prática de Record Keeping ou retenção de dados, que corresponde justamente ao gerenciamento do armazenamento de registros de forma segura e em compliance com a legislação.

Além dos benefícios já citados, o Record Keeping também contribui para: proteger os interesses de clientes, colaboradores e outras partes interessadas; conduzir os negócios de forma eficaz e eficiente; apoiar decisões; fornecer evidências de ações e decisões; apoiar a responsabilidade e transparência e manter a privacidade e confidencialidade.

Por fim, percebe-se que Record Keeping não é um assunto apenas da área de TI ou da área de negócios, mas uma temática que precisa ser desenvolvida em conjunto, visto que a responsabilidade é compartilhada por todas as áreas de uma organização. Ademais, os efeitos da aplicação adequada da retenção de dados repercutem na empresa como um todo, devendo ser matéria de conhecimento de todos seus membros.

*Alexandre Tamura é gerente sênior e Aline Silva Noleto é consultora. Ambos atuam na área de Data Privacy da Protiviti