LGPD e gestão documental: guia de conformidade

Cada documento coletado por uma empresa contém dados pessoais protegidos pela Lei Geral de Proteção de Dados (Lei 13.709/2018), regulamentada pela Autoridade Nacional de Proteção de Dados (ANPD). Cópias do CPF, RG, CNH, holerites, contratos de trabalho, comprovantes de residência — todos geram obrigações específicas de tratamento, conservação e eliminação. A ANPD tem intensificado a fiscalização nessa matéria, com sanções que podem chegar a R$ 50 milhões por infração ou 2% do faturamento bruto. Este guia detalha os princípios aplicáveis, os prazos de conservação, os direitos dos titulares e as medidas concretas para uma gestão documental conforme no contexto brasileiro.

Este artigo é fornecido apenas para fins informativos e não constitui aconselhamento jurídico, financeiro ou regulamentar. As referências regulamentares são exatas à data de publicação. Consulte um profissional qualificado para orientação adaptada à sua situação.

Os 10 princípios da LGPD aplicados à gestão documental

A LGPD estabelece dez princípios fundamentais (artigo 6º) que se aplicam diretamente à coleta, ao tratamento e à conservação de documentos. A tradução prática desses princípios no contexto da gestão documental é a base de qualquer programa de conformidade.

A ANPD reforça que o princípio da necessidade é frequentemente violado por empresas que coletam documentos "por precaução" sem finalidade demonstrada. A LGPD traz disposições específicas em matéria de tratamento de dados sensíveis (artigo 11) e de dados de crianças e adolescentes (artigo 14).

Para orientações específicas sobre documentos de identidade no âmbito da proteção de dados, consulte o nosso guia LGPD e documentos de identidade.

Prazos de conservação por tipo de documento

A definição de prazos de conservação é uma das obrigações mais tangíveis da LGPD. No Brasil, esses prazos resultam da conjugação da LGPD, do Código Civil, da legislação trabalhista, tributária e de normas setoriais. A ANPD tem reforçado que a ausência de uma política de retenção constitui, por si só, um indício de descumprimento.

A especificidade brasileira: Lei 9.613/1998 e Circular Bacen 3.978

No Brasil, a Lei 9.613/1998, que trata da prevenção à lavagem de dinheiro e ao financiamento do terrorismo, combinada com a Circular Bacen 3.978/2020, impõe prazos de conservação de no mínimo 5 anos (e 10 anos para instituições reguladas pelo Bacen) para os documentos de identificação de clientes. Esse prazo prevalece como obrigação legal sobre o princípio de limitação da conservação da LGPD, mas os documentos devem ser eliminados de forma segura assim que o prazo legal expire.

A implementação prática desses prazos exige um sistema de gestão documental capaz de aplicar regras de retenção diferenciadas por tipo de documento e de automatizar a purga no vencimento. Uma solução de verificação documental automatizada permite registrar a data de cada coleta e programar as eliminações.

Direitos dos titulares na gestão documental

A LGPD reconhece aos titulares dos dados um conjunto de direitos (artigo 18) que a empresa deve poder atender em prazo razoável. No contexto da gestão documental, esses direitos têm implicações operacionais concretas.

Direito de acesso (artigo 18, II)

Qualquer pessoa pode solicitar à empresa a confirmação da existência de tratamento e o acesso a todos os documentos que contenham seus dados pessoais. A empresa deve ser capaz de identificar e extrair todos os documentos associados a um indivíduo em todos os seus sistemas: gestor documental, e-mail, arquivos físicos, backups. A ANPD considera que a incapacidade técnica para atender esse direito indica descumprimento das medidas de segurança exigidas pelo artigo 46 da LGPD.

Direito à eliminação (artigo 18, VI)

O titular pode solicitar a eliminação dos seus dados pessoais tratados com base no consentimento. Na prática, se um cliente solicitar a eliminação de documentos de identificação coletados no âmbito da Lei 9.613/1998, a empresa pode recusar durante o prazo legal obrigatório, mas deve eliminar o documento assim que esse prazo expire. A base legal de obrigação legal ou regulatória (artigo 16, I da LGPD) justifica a retenção durante o prazo.

Direito à portabilidade (artigo 18, V)

Esse direito permite ao titular obter seus dados em formato estruturado, de uso corrente e de leitura automática, conforme regulamentação da ANPD. Para documentos digitalizados, implica fornecer os arquivos em formato padrão (PDF, JPEG) acompanhados dos metadados associados (data de coleta, finalidade, prazo de conservação).

A automatização desses processos é indispensável em escala. Descubra como estruturar o seu programa de conformidade documental.

Relatório de Impacto à Proteção de Dados Pessoais (RIPD) para a verificação documental

O Relatório de Impacto à Proteção de Dados Pessoais (RIPD), previsto no artigo 38 da LGPD, pode ser exigido pela ANPD quando o tratamento representar alto risco aos titulares. A ANPD publicou orientações sobre a elaboração do RIPD, incluindo tratamentos de verificação de identidade em larga escala.

Quando é necessário um RIPD

Um RIPD é recomendável quando o tratamento documental envolve: tratamento em larga escala, dados sensíveis (biometria, documentos de identificação), monitoramento sistemático, cruzamento de dados ou dados de grupos vulneráveis. Na prática, qualquer empresa que verifique a identidade de centenas de pessoas por ano deve elaborar um RIPD para seus processos de verificação documental.

Metodologia em quatro fases

A metodologia recomendada se estrutura em quatro fases. Primeira, a descrição do tratamento: que documentos são coletados, por quem, com que finalidade, com que ferramentas. Segunda, a avaliação da necessidade e proporcionalidade: todos os documentos coletados são indispensáveis, os prazos de conservação estão justificados, existe uma alternativa menos intrusiva. Terceira, a avaliação dos riscos: que ameaças existem (vazamento de dados, acesso não autorizado, perda) e que impacto teriam sobre os titulares. Quarta, as medidas de mitigação: criptografia, pseudonimização, controle de acessos, treinamento do pessoal.

O Encarregado pelo tratamento de dados pessoais (DPO) deve ser consultado durante a elaboração do RIPD. Se o risco residual permanecer elevado após a aplicação das medidas, a empresa deve consultar a ANPD antes de iniciar o tratamento.

Medidas técnicas e organizativas

A LGPD exige a implementação de medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais (artigo 46). Essas medidas devem ser proporcionais ao risco e documentadas.

Criptografia e controle de acessos

A criptografia de documentos em repouso (AES-256) e em trânsito (TLS 1.3) constitui a base técnica mínima. Conheça os nossos padrões de segurança e as medidas que aplicamos ao tratamento documental. O controle de acessos baseado em perfis (RBAC) garante que apenas o pessoal autorizado acesse os documentos relevantes: um responsável de recursos humanos acessa os holerites, mas não os dossiês KYC do departamento de compliance.

A autenticação multifator (MFA) é recomendável para o acesso a sistemas de gestão documental que contenham dados sensíveis. A ANPD considera que a ausência de medidas de segurança adequadas para tratamentos de alto risco configura descumprimento do artigo 46 da LGPD.

Rastreabilidade e registros de auditoria

Cada acesso, modificação ou eliminação de um documento deve ser registrado em um log de auditoria com data/hora e resistente a adulteração. Esses registros permitem demonstrar a conformidade durante fiscalizações da ANPD e detectar acessos não autorizados. Cada entrada deve incluir a identidade do usuário, a ação realizada, o timestamp e o documento afetado.

Anonimização e pseudonimização

Quando os documentos não são mais necessários em sua forma completa, a pseudonimização (substituição de identificadores diretos por códigos) ou a anonimização (eliminação irreversível de todo elemento identificativo) permitem conservar dados para fins estatísticos ou analíticos, respeitando o princípio da necessidade. A LGPD, em seu artigo 12, dispõe que dados anonimizados não são considerados dados pessoais.

Para as empresas do setor financeiro, essas medidas se enquadram em um contexto mais amplo de conformidade. Descubra as nossas soluções para financiamento e leasing.

Treinamento e conscientização

As medidas técnicas são ineficazes sem uma cultura de proteção de dados na organização. O treinamento dos colaboradores que manuseiam documentos pessoais deve abranger os princípios da LGPD, os procedimentos internos de conservação e eliminação, e os protocolos de atuação diante de um incidente de segurança (comunicação à ANPD e aos titulares em prazo razoável, conforme artigo 48 da LGPD).

Para uma visão completa, consulte nosso guia completo conformidade documental.

Saiba mais

Para aprofundar este tema, consulte o nosso guia completo sobre verificação documental.

---

Saiba mais

Para aprofundar este tema, consulte o nosso guia completo sobre verificação documental.

---

Perguntas frequentes

É obrigatório nomear um Encarregado pelo tratamento de dados pessoais (DPO) para gerenciar documentos com dados pessoais

A LGPD, em seu artigo 41, determina que o controlador deverá indicar um encarregado pelo tratamento de dados pessoais. Diferentemente do GDPR europeu, a LGPD não restringe essa obrigação a determinados portes de empresa ou volumes de tratamento — a indicação é, em princípio, obrigatória para todos os controladores. A ANPD publicou a Resolução CD/ANPD nº 2/2022 que flexibiliza essa obrigação para agentes de tratamento de pequeno porte, mas recomenda a indicação para qualquer entidade que trate regularmente documentos de identificação.

Durante quanto tempo pode-se conservar uma cópia de documentos de identificação

Nos termos da Lei 9.613/1998, os documentos de identificação coletados no âmbito de obrigações KYC devem ser conservados por no mínimo 5 anos após o fim da relação comercial (10 anos para instituições reguladas pelo Bacen). Fora desse contexto, a conservação deve limitar-se ao prazo estritamente necessário para a finalidade, acrescido do prazo de prescrição aplicável (geralmente 5 anos nos termos do artigo 206, § 5º do Código Civil).

O que fazer em caso de incidente de segurança que afete documentos com dados pessoais

Diante de um incidente de segurança, o controlador deve comunicar à ANPD e ao titular em prazo razoável, conforme o artigo 48 da LGPD. A comunicação deve descrever a natureza dos dados afetados, os titulares envolvidos, as medidas técnicas e de segurança utilizadas, os riscos relacionados e as medidas adotadas para reverter ou mitigar os efeitos do incidente. A empresa deve documentar o ocorrido em registro interno.

A LGPD se aplica a documentos em papel

A LGPD se aplica a todo tratamento de dados pessoais, inclusive em meios físicos (artigo 1º). Arquivos em papel organizados por nome, número de cliente ou data estão sujeitos às mesmas regras de conservação, acesso e eliminação que os documentos digitais. A eliminação segura deve ser realizada por trituração de corte cruzado conforme a norma DIN 66399 (nível P-4 mínimo).

A comunicação de incidente de segurança é sempre obrigatória

A comunicação à ANPD é obrigatória quando o incidente de segurança possa acarretar risco ou dano relevante aos titulares (artigo 48 da LGPD). Se o risco for improvável (por exemplo, documentos criptografados e a chave não foi comprometida), a comunicação pode não ser obrigatória, mas o incidente deve ser documentado em registro interno. Em caso de dúvida, a ANPD recomenda a comunicação.

Estruturar a conformidade documental

A conformidade com a LGPD na gestão documental não é um projeto pontual, mas um processo contínuo. Comece por auditar seus tratamentos documentais atuais, defina prazos de conservação alinhados com a legislação brasileira e as orientações da ANPD, e implemente medidas técnicas proporcionais aos riscos identificados no RIPD.

Para uma visão abrangente da conformidade documental para além da LGPD, consulte o nosso guia completo de conformidade documental. Se tiver questões específicas sobre a adequação dos seus processos, não hesite em entrar em contato para falar com a nossa equipe. Explore também todos os nossos artigos sobre conformidade e proteção de dados no nosso blog.

Nossa plataforma processa mais de 180.000 documentos por mês com um tempo médio de verificação de 4,2 segundos e uma disponibilidade de 99,97%.

---

As informações apresentadas neste artigo são fornecidas a título informativo e não constituem aconselhamento jurídico, tributário ou regulatório. As obrigações regulatórias variam conforme o setor de atividade e o porte da empresa. Consulte um advogado especializado para uma análise adaptada à sua situação.