As empresas coletam uma quantidade inacreditável de dados durante suas operações, mas raramente param para revisar e até mesmo excluir esses dados.
Uma política de retenção de dados define por quanto tempo sua empresa mantém diferentes tipos de informações, por que as mantém, quem pode acessá-las e como elas devem ser excluídas quando não forem mais necessárias. Para pequenas e médias empresas, é uma das maneiras mais práticas de reduzir o risco de conformidade sem complicar demais as operações diárias.
Muitas empresas mantêm dados por mais tempo do que o necessário porque a exclusão parece arriscada. Antigos registros de clientes permanecem no CRM. Arquivos de ex-funcionários continuam em drives compartilhados. Contratos ficam nas caixas de entrada por anos. Planilhas exportadas são salvas “por precaução”. Com o tempo, a empresa acaba armazenando mais informações de identificação pessoal (PII), registros financeiros e informações internas do que pode gerenciar adequadamente.
Isso cria um problema sob a GDPR. O princípio da limitação de armazenamento significa que os dados pessoais não devem ser mantidos por mais tempo do que o necessário para a finalidade para a qual foram coletados. Uma política de retenção ajuda a transformar esse princípio em um sistema funcional: o que você mantém, por quanto tempo, onde fica, quem é o proprietário, como é removido e como o acesso aos dados retidos é protegido.
Isso é importante porque senhas fracas continuam sendo uma das vulnerabilidades mais comuns para empresas de todos os tamanhos, e os dados retidos ainda ficam expostos se os controles de acesso forem fracos.
O que é uma política de retenção de dados?
Por que uma política de retenção de dados é importante?
Que tipo de dados precisa de um cronograma de retenção?
Requisitos de retenção de dados no Reino Unido: o que as PMEs devem saber
Modelo de política de retenção de dados para PMEs
Controle de acesso e dados retidos
Erros comuns em políticas de retenção de dados
Transforme as regras de retenção em prática diária
O que é uma política de retenção de dados?
Uma política de retenção de dados é um conjunto de regras que define por quanto tempo diferentes categorias de dados devem ser mantidas em uma empresa e o que acontece quando o período de retenção termina. Ela geralmente abrange dados pessoais, registros de clientes, arquivos de funcionários, documentos financeiros, contratos, comunicações, registros operacionais e documentos cruciais para os negócios.
Uma política útil deve responder a estas quatro perguntas:
- Que tipo de dados nós possuímos?
- Por que precisamos mantê-los?
- Por quanto tempo devemos mantê-los?
- Como faremos para excluí-los, anonimizá-los ou arquivá-los com segurança?
A GDPR não estabelece limites de tempo específicos para cada tipo de dados, portanto, as organizações precisam decidir o que é necessário para seus próprios fins, documentar essa justificativa e estar preparadas para defendê-la.
Uma política de retenção de dados é mais do que uma lista de datas. É um registro das decisões por trás dessas datas. Se alguém perguntar por que os dados de clientes foram mantidos por três anos ou os registros de candidatos foram excluídos após seis meses, a empresa deve ser capaz de apontar um motivo claro.
Por que uma política de retenção de dados é importante?
Uma política de retenção ajuda com a conformidade, a segurança e a clareza operacional. Ela protege a empresa de três maneiras:
- Reduz a quantidade de dados que poderiam ser expostos em uma violação
- Diminui os riscos jurídicos e de conformidade ao não manter informações por mais tempo do que o necessário
- Reduz os custos de armazenamento associados a registros desatualizados.
Do ponto de vista de conformidade, ela apoia as obrigações de retenção de dados da GDPR ao mostrar que sua empresa não mantém dados pessoais indefinidamente sem um motivo. No Reino Unido, o ICO deixa claro que os dados pessoais não devem ser retidos com base no “por precaução”, mas apenas pelo tempo necessário para a finalidade relevante.
Do ponto de vista da segurança, menos dados desnecessários significam menos exposição. Se sua empresa sofrer uma violação, cada registro de cliente desatualizado, arquivo de folha de pagamento antigo, exportação não utilizada ou anexo de caixa de entrada esquecido pode aumentar a quantidade de informações afetadas.
É por isso que a retenção deve fazer parte de sua abordagem mais ampla para a prevenção de violações de dados. O tempo que você mantém os dados afeta diretamente a exposição: quanto mais tempo registros desnecessários permanecerem em seus sistemas, mais haverá para um invasor acessar, roubar ou expor.
Do ponto de vista operacional, as regras de retenção reduzem as suposições. Os funcionários devem saber o que manter, onde armazenar, quando excluir e quem é o responsável pela decisão. Isso é especialmente importante para equipes em crescimento, onde os dados podem estar espalhados por e-mail, armazenamento em nuvem, sistemas de RH, softwares de finanças, CRMs, drives compartilhados e plataformas de fornecedores.
Que tipo de dados precisa de um cronograma de retenção?
Um cronograma de retenção de dados é la parte prática de uma política de retenção de dados. Ele mapeia cada categoria de dados a um período de retenção, responsável, local de armazenamento, método de exclusão, medidas de proteção contra violação de dados e o motivo de sua conservação.
As PMEs devem começar com as categorias de dados que usam todos os dias.
Registros de funcionários
Os registros de funcionários não seguem todos a mesma lógica de retenção. Alguns precisam ser mantidos devido a requisitos legais, outros porque podem ser necessários para resolver disputas e outros apenas enquanto houver um motivo comercial claro.
Por exemplo, a ACAS(nova janela) diz que os empregadores devem manter os registros de férias por pelo menos seis anos a partir da data em que foram criados, enquanto as diretrizes do GOV.UK(nova janela) sobre registros de funcionários dizem que as informações dos funcionários só devem ser mantidas pelo tempo que a empresa tiver uma necessidade clara delas e, depois, descartadas com segurança.
Dados de clientes e potenciais clientes
Os dados dos clientes podem incluir detalhes de contato, histórico de compras, tíquetes de suporte, informações de faturamento, contratos, registros de contas e histórico de comunicação. Os dados de potenciais clientes podem incluir leads de marketing, inscrições em eventos, assinaturas de newsletters e notas de vendas.
Mantenha os dados dos clientes pelo tempo que precisar deles para fornecer o serviço, cumprir obrigações contratuais, lidar com disputas, cumprir regras contábeis ou atender a requisitos legais. Os dados de marketing precisam de cuidados especiais porque o consentimento, o interesse legítimo, as solicitações de cancelamento de assinatura e as limitações de finalidade afetam o tempo em que devem ser retidos.
Registros financeiros e fiscais
Os registros financeiros incluem faturas, recebimentos, registros de folha de pagamento, extratos bancários, solicitações de reembolso de despesas, registros de IVA, registros contábeis, documentação fiscal, contratos e pedidos de compra, relatórios de auditoria, registros de cartão de crédito e empréstimos, além de registros de benefícios ou pensões de funcionários, onde relevante.
Em muitas jurisdições, a legislação societária e tributária estabelece um período mínimo para a manutenção de registros contábeis e financeiros, embora a duração exata varie de acordo com o país e o tipo de empresa.
Contratos e documentos jurídicos
Contratos, declarações de trabalho, acordos com fornecedores, acordos com clientes, arrendamentos e correspondências jurídicas podem precisar ser retidos pelo prazo do contrato e por um período posterior em caso de disputas.
O período exato depende do contrato, dos prazos de prescrição, dos requisitos do setor e de assessoria jurídica. A política deve definir um responsável por esses registros, geralmente do departamento jurídico, financeiro, de operações ou da liderança.
Comunicações por e-mail e documentos internos
E-mail comercial costuma ser onde as políticas de retenção são testadas. As caixas de entrada podem conter contratos, dados pessoais, anexos, reclamações de clientes, faturas, informações de candidatos, senhas e decisões comerciais confidenciais.
Um cronograma de retenção deve definir o que pertence ao e-mail, o que deve ser movido para um sistema aprovado e quando as mensagens antigas devem ser excluídas ou arquivadas. A mesma lógica se aplica a documentos internos, relatórios exportados, planilhas, pastas compartilhadas e anexos de chat. Mas a política também precisa de um mecanismo de aplicação.
As regras de retenção devem estar vinculadas a sistemas aprovados, configurações de exclusão automática sempre que possível, regras de arquivamento e verificações de propriedade para que os dados não permaneçam indefinidamente apenas porque ninguém agiu quando o período de retenção terminou.
Credenciais, registros de acesso e registros de segurança
A retenção também se aplica a registros de segurança. Isso pode incluir registros de acesso, trilhas de auditoria, registros de senha, códigos de recuperação, atividade de administrador, relatórios de incidentes e registros de autenticação.
Alguns registros de segurança precisam ser mantidos para investigação, conformidade ou revisão operacional. Outros devem ser retidos apenas para uma finalidade definida e por um período documentado, sendo depois excluídos ou arquivados de acordo com a política, especialmente quando revelam como seus sistemas funcionam ou expõem detalhes confidenciais de acesso.
A retenção de dados, o gerenciamento de credenciais e o controle de acesso se sobrepõem: os registros de segurança retidos precisam de controles de acesso robustos porque podem revelar como os sistemas de sua empresa funcionam.
Requisitos de retenção de dados no Reino Unido: o que as PMEs devem saber
Os requisitos de retenção de dados no Reino Unido variam. Eles dependem do tipo de dados, do motivo de sua conservação e da obrigação legal, fiscal, contratual ou comercial por trás disso.
Para a retenção de dados da GDPR, o ponto de partida é a limitação de armazenamento: os dados pessoais só devem ser mantidos pelo tempo necessário para a finalidade. A GDPR do Reino Unido não tem um período fixo para cada categoria, portanto, as empresas precisam definir seus próprios períodos de retenção e justificá-los.
Alguns registros têm regras mais claras. As sociedades limitadas geralmente precisam manter registros contábeis por seis anos a partir do final do ano financeiro a que se referem, e às vezes por mais tempo em circunstâncias específicas. Os registros de funcionários variam de acordo com o tipo de registro, portanto, os dados confidenciais de emprego devem ser categorizados com cuidado e revisados com assessoria jurídica ou de RH, onde necessário.
No final das contas, não é possível aplicar um único período de retenção a tudo. Os dados devem ser separados por categoria, o motivo de sua conservação deve ser definido e deve-se documentar o motivo pelo qual cada período é apropriado.
Modelo de política de retenção de dados para PMEs
Use esta estrutura como um modelo simples de política de retenção de dados. Adapte o texto à sua empresa, ao seu setor e aos requisitos legais.
1. Objetivo e escopo
Cópia do modelo: Esta política de retenção de dados explica como a [Company Name] armazena, retém, arquiva, exclui e protege dados comerciais e pessoais. Ela se aplica a funcionários, prestadores de serviços, fornecedores, sistemas e serviços que coletam, processam, armazenam ou acessam dados da empresa.
2. Categorias de dados
Cópia do modelo: A [Company Name] agrupa dados em categorias, incluindo dados de clientes, dados de potenciais clientes, registros de funcionários, registros financeiros, contratos, registros operacionais, registros de segurança e comunicações internas. Cada categoria deve ter um responsável, local de armazenamento, período de retenção e método de exclusão.
3. Cronograma de retenção
Cópia do modelo: Os dados só devem ser mantidos pelo tempo necessário para fins comerciais, legais, regulatórios, contratuais ou de segurança. Cada categoria de dados deve ser listada no cronograma de retenção com um período de retenção e motivo definidos.
Exemplo de cronograma:
| Categoria de dados | Exemplos de registros | Abordagem de retenção sugerida | Responsável | Método de exclusão |
| Dados de clientes | Registros de conta, tíquetes de suporte, histórico de serviços | Manter enquanto o relacionamento com o cliente estiver ativo e, depois, reter apenas conforme necessário para fins legais, contratuais ou de disputas | Operações ou sucesso do cliente | Excluir ou anonimizar do CRM e dos sistemas de suporte |
| Registros financeiros | Faturas, recebimentos, folha de pagamento, documentos fiscais | Geralmente manter por seis anos após o ano financeiro relevante, a menos que uma retenção mais longa seja necessária | Financeiro | Arquivar com segurança e, depois, excluir |
| Registros de funcionários | Contratos, folha de pagamento, registros de férias, arquivos de RH | Reter com base no tipo de registro, regras estatutárias e necessidades comerciais | RH ou operações | Excluir com segurança de sistemas de RH e armazenamento compartilhado |
| Contratos | Acordos com clientes, contratos com fornecedores, declarações de trabalho | Manter pelo prazo do contrato mais um período de disputa definido | Jurídico, financeiro ou liderança | Arquivar com segurança e, depois, excluir |
| Registros de segurança | Registros de acesso, atividade do administrador, registros de incidentes | Manter para fins de investigação, segurança e prestação de contas e, em seguida, excluir ou arquivar com base no risco | TI ou responsável pela segurança | Excluir ou arquivar com segurança |
| Dados de marketing | Leads, listas de newsletter, registros de campanha | Manter enquanto houver uma finalidade válida e as regras de supressão forem respeitadas | Marketing | Excluir, anonimizar ou suprimir conforme apropriado |
4. Controles de acesso
Cópia do modelo: O acesso aos dados retidos deve ser limitado às pessoas que precisam deles para suas funções. Dados confidenciais devem ser armazenados em sistemas aprovados, protegidos por autenticação forte e revisados regularmente. Credenciais compartilhadas não devem ser usadas para acessar dados retidos, a menos que sejam gerenciadas por meio de um gerenciador de senhas comercial aprovado.
Esta seção é onde a retenção se conecta diretamente ao gerenciamento de credenciais. Os dados que precisam ser mantidos ainda precisam de proteção. Se contratos antigos, arquivos de folha de pagamento, registros de clientes ou registros de segurança continuarem acessíveis a pessoas que não precisam mais deles, a política de retenção estará resolvendo apenas metade do problema.
Um gerenciador de senhas comercial oferece suporte ao controle de acesso, ajudando as equipes a criarem credenciais fortes, armazená-las com segurança e compartilhar o acesso apenas com pessoas autorizadas. O Proton Pass for Business ajuda as equipes a gerenciarem credenciais em cofres criptografados e a usarem o compartilhamento seguro, reduzindo a probabilidade de os dados retidos serem expostos por meio de senhas reutilizadas ou acesso informal.
5. Exclusão e descarte
Cópia do modelo: Quando o período de retenção termina, os dados devem ser excluídos com segurança, anonimizados ou arquivados de acordo com o cronograma de retenção. Os registros físicos devem ser triturados ou descartados com segurança. Os registros digitais devem ser excluídos de sistemas aprovados, drives compartilhados, backups quando apropriado e de quaisquer locais de armazenamento não gerenciados. A exclusão deve ser documentada para dados confidenciais. Os funcionários também devem saber onde não devem armazenar informações, como drives pessoais, planilhas não aprovadas ou tópicos de chat. Se uma categoria de dados se tornar assunto de uma retenção legal, disputa, auditoria ou investigação, a exclusão deverá ser pausada até que o departamento jurídico ou a liderança autorize a próxima etapa.
6. Responsabilidades
Cópia do modelo: Cada categoria de dados deve ter um responsável por decisões de retenção, revisões de acesso, exclusão e atualizações de políticas. Os funcionários são responsáveis por armazenar dados em sistemas aprovados e relatar dados que acreditam estar desatualizados, duplicados ou armazenados no local errado.
7. Frequência de revisão
Cópia do modelo: Esta política e o cronograma de retenção serão revisados pelo menos uma vez ao ano, ou antes se a [Company Name] introduzir novos sistemas, alterar obrigações legais, passar por um incidente de segurança ou alterar a forma como coleta ou processa dados pessoais.
Controle de acesso e dados retidos
Uma política de retenção nunca deve ser separada do controle de acesso. Manter os dados por um motivo válido não significa que todos devam ter acesso a eles.
Os dados retidos geralmente incluem informações confidenciais: arquivos de funcionários, registros de clientes, documentos fiscais, contratos, registros de segurança e relatórios de incidentes. Se o acesso não for gerenciado, os dados mais antigos podem se tornar um alvo fácil durante a invasão de uma conta. Isso também pode criar um risco interno se os funcionários puderem abrir registros não relacionados às suas funções.
Os controles de acesso devem responder:
- Quem pode acessar cada categoria de dados retidos?
- Quais sistemas os armazenam?
- Quais credenciais os protegem?
- O MFA está ativado?
- As credenciais compartilhadas são controladas?
- Quando o acesso foi revisado pela última vez?
- O que acontece quando alguém sai da empresa ou muda de função?
- Fornecedores e parceiros terceirizados têm acesso concedido e isso é controlado?
A retenção de dados está conectada ao gerenciamento de credenciais. Para a prevenção de violações, o controle de acesso também reduz o raio de alcance dos danos. Se um invasor comprometer uma conta, ele não deve ter acesso automático a anos de dados arquivados de clientes, contratos antigos ou registros de funcionários. Criar uma política de senhas pode ajudar as equipes a definirem regras para a criação de senhas, compartilhamento, gerenciamento de acesso e autenticação.
Para a prevenção de violações, o controle de acesso também reduz o raio de alcance dos danos. Se um invasor comprometer uma conta, ele não deve ter acesso automático a anos de dados arquivados de clientes, contratos antigos ou registros de funcionários. O guia da Proton sobre proteção contra violação de dados para empresas explica por que limitar o acesso e reduzir a exposição desnecessária são medidas importantes antes que um incidente aconteça.
Um gerenciador de senhas comercial, como o Proton Pass for Business, também pode ajudar as equipes a controlarem e revisarem o acesso às credenciais que desbloqueiam os dados retidos, com gerenciamento centralizado, compartilhamento seguro e responsabilidades mais claras por meio do painel do administrador.
Erros comuns em políticas de retenção de dados
Muitas PMEs já têm hábitos informais de retenção, mas não uma política confiável. Os erros mais comuns são fáceis de cometer: manter dados demais, aplicar uma única regra a cada registro, esquecer cópias em sistemas cotidianos, excluir sem verificar retenções legais ou manter os dados retidos acessíveis a pessoas demais.
| Erro | Por que isso gera riscos | O que fazer em vez disso |
| Manter tudo para sempre | Armazenar dados “por precaução” pode aumentar o risco de conformidade e a exposição a violações. | Mantenha os dados apenas enquanto houver um motivo legal, contratual, de segurança ou comercial claro. |
| Usar um único período de retenção para tudo | Registros financeiros, arquivos de funcionários, leads de marketing, contratos e registros servem a propósitos diferentes. | Defina os períodos de retenção por categoria de dados. |
| Esquecer e-mails, planilhas e exportações | Cópias podem permanecer em caixas de entrada, pastas de downloads, drives compartilhados ou arquivos não gerenciados. | Inclua locais de armazenamento secundários na política. |
| Excluir sem verificar as retenções legais | Alguns dados podem precisar ser preservados para disputas, auditorias, investigações ou obrigações regulatórias. | Adicione uma etapa de revisão antes da exclusão. |
| Ignorar o acesso aos dados retidos | Os dados mantidos ainda podem ser expostos se muitas pessoas puderem acessá-los. | Atribua responsáveis, restrinja permissões e revise o acesso regularmente. |
Transforme as regras de retenção em prática diária
Uma política prática começa com os dados que sua empresa já possui e os transforma em um cronograma que as pessoas possam seguir. Cada categoria deve ter um motivo para ser mantida, um responsável, uma frequência de revisão e um processo de exclusão claro. Enquanto esses dados permanecerem em seus sistemas, o acesso deve continuar limitado às pessoas que realmente precisam deles.
Para muitas PMEs, o gerenciamento de credenciais é um dos pontos mais fáceis para realizar melhorias. Senhas fortes, compartilhamento seguro e acesso controlado ajudam a garantir que os dados retidos estejam disponíveis apenas para as pessoas que precisam deles.
Controle quem pode acessar os dados retidos na sua empresa com um gerenciador de senhas comercial seguro.
