Descubra como a Lei Geral de Proteção de Dados impõe obrigações concretas sobre o descarte de documentos físicos e digitais — e porque simplesmente jogar no lixo ou formatar um HD pode custar caro à sua empresa.
Desde a entrada em vigor da Lei Geral de Proteção de Dados (Lei 13.709/2018), a relação das empresas brasileiras com as informações que coletam, armazenam e tratam mudou radicalmente. Mas há um ponto que ainda passa despercebido em muitas organizações: a LGPD não regula apenas como os dados são coletados e usados — ela também impõe regras claras sobre como devem ser eliminados.
Isso significa que jogar documentos confidenciais no lixo comum, formatar um HD antes de descartar o computador antigo, ou simplesmente deletar arquivos digitais sem qualquer processo certificado são práticas que expõem sua empresa a riscos sérios: multas da ANPD (Autoridade Nacional de Proteção de Dados), ações judiciais de titulares prejudicados e danos reputacionais de difícil reversão.
Este artigo é voltado a gestores de TI, profissionais de compliance e responsáveis pelo RH que querem entender, de forma prática, o que a LGPD exige em matéria de descarte e como estruturar um processo seguro e documentado na sua empresa.
O que a LGPD diz sobre a eliminação de dados pessoais?
A LGPD define “eliminação” como uma das formas legítimas de tratamento de dados pessoais, e estabelece que os dados devem ser eliminados quando:
- A finalidade para a qual foram coletados for alcançada
- O período de guarda legal ou contratual expirar
- O titular exercer seu direito de solicitar a exclusão (art. 18, VI)
- A base legal que justificava o tratamento deixar de existir
- A empresa receber determinação da ANPD para isso
O artigo 16 da Lei estabelece que os dados devem ser eliminados após o término do tratamento, com a ressalva de que podem ser conservados nas seguintes hipóteses: cumprimento de obrigação legal ou regulatória, estudo por órgão de pesquisa, transferência a terceiro (desde que respeitadas as demais exigências da lei), e uso exclusivo do controlador, vedado o acesso por terceiro e desde que anonimizados.
| ⚠️ Atenção — O que conta como “dado pessoal” nos documentos da sua empresa? Qualquer informação que permita identificar direta ou indiretamente uma pessoa natural é considerada dado pessoal pela LGPD. Isso inclui: nome, CPF, RG, e-mail, endereço, dados de saúde, salário, foto, histórico de compras, IP de computador, entre outros. Portanto, a maioria dos documentos empresariais cotidianos — contratos, fichas de funcionários, prontuários, cadastros de clientes — contém dados pessoais e está sujeita à lei. |
Por que o descarte inadequado é um problema legal — e não apenas operacional?
Muitas empresas ainda tratam o descarte de documentos como uma questão puramente logística: “quando não precisamos mais, jogamos fora”. Mas, sob a ótica da LGPD, o descarte inadequado de dados pessoais é uma violação da lei, com consequências proporcionais à gravidade do incidente.
Os riscos concretos do descarte irregular:
- Vazamento de informações de funcionários, clientes ou parceiros a partir de documentos descartados indevidamente
- Coleta de dados por terceiros mal-intencionados em lixeiras ou lixões — prática conhecida como “dumpster diving”
- Recuperação de dados de HDs e mídias digitais formatados de forma simples (a formatação comum não apaga definitivamente os dados)
- Responsabilização da empresa por incidente de segurança causado por descarte negligente
- Autuações da ANPD com multas de até 2% do faturamento anual, limitadas a R$ 50 milhões por infração
Além das penalidades da ANPD, a empresa pode responder civilmente por danos morais e materiais causados aos titulares afetados pelo vazamento — e o STJ tem consolidado jurisprudência de responsabilização objetiva nesses casos, ou seja, não é necessário provar culpa da empresa, apenas o dano e o nexo causal.
| 💡 Caso prático — O risco que a maioria ignora Um HD de notebook corporativo descartado sem destruição física pode ter seus dados recuperados com softwares gratuitos disponíveis na internet. Se esse HD continha planilhas de RH com dados de centenas de funcionários, a empresa já tem um incidente de segurança — mesmo que ninguém tenha acessado os dados ainda. A LGPD exige que incidentes desse tipo sejam notificados à ANPD e aos titulares afetados. |
Documentos físicos: o que guardar, por quanto tempo e como descartar
Antes de falar sobre como descartar, é fundamental entender o que não pode ser descartado ainda. A legislação brasileira impõe prazos mínimos de guarda para diferentes tipos de documentos, e jogar fora um documento dentro do prazo legal também configura infração.
Veja os principais prazos de retenção que toda empresa deve conhecer:
| Tipo de documento | Prazo mínimo de guarda |
| Documentos fiscais e contábeis (NF, recibos, balancetes) | 5 anos (CTN, art. 174) |
| Contratos de trabalho e documentos de RH | 5 anos após rescisão (CLT, art. 11) |
| FGTS e documentos previdenciários | 30 anos (Lei 8.036/1990) |
| Contratos comerciais em geral | 5 anos após encerramento (CC, art. 206) |
| Dados pessoais tratados sob a LGPD | Enquanto houver finalidade legítima; após, eliminação obrigatória |
| Prontuários médicos (ambulatórios empresariais) | 20 anos (CFM 1.821/2007) |
| Laudos de segurança do trabalho (PPRA, PGR, PCMSO) | 20 anos (NR-09) |
| Correspondências e e-mails corporativos relevantes | 5 a 10 anos (conforme política interna) |
Após o vencimento do prazo legal de guarda, os documentos que contenham dados pessoais devem ser descartados de forma que impossibilite a recuperação das informações. Isso significa que jogar no lixo comum, mesmo em sacos fechados, não é aceitável.
Métodos adequados para descarte de documentos em papel:
Fragmentação mecânica em equipamento apropriado, com nível de segurança adequado ao tipo de informação tratada, de modo a impedir a reconstrução dos documentos e a recuperação dos dados pessoais
- Incineração em instalações licenciadas, com certificado de destruição emitido
- Contratação de empresa especializada em destruição de documentos confidenciais, com emissão de Certificado de Destruição Segura
A simples fragmentação manual (rasgar com as mãos) ou o uso de fragmentadoras de nível básico (tiras longas) não é suficiente para documentos que contenham dados pessoais sensíveis — pedaços maiores podem ser reconstituídos.
Documentos digitais e mídias: por que formatar não é suficiente
No ambiente digital, o erro mais comum das empresas é acreditar que formatar um HD ou deletar arquivos é suficiente para apagar os dados. Não é. A formatação padrão apenas remove o índice de localização dos arquivos — os dados continuam gravados no disco e podem ser recuperados com softwares de recuperação de dados acessíveis ao público em geral.
Para garantir a eliminação definitiva de dados em suportes digitais, os métodos tecnicamente aceitos são:
| Tipo de mídia / suporte | Método de destruição recomendado |
| Papel (documentos, contratos, prontuários) | Fragmentação com nível de segurança adequado ao grau de confidencialidade das informações |
| HDs e SSDs | Degaussing + trituração física certificada |
| Pendrives e cartões de memória | Trituração física + certificado de destruição |
| CDs, DVDs e mídias ópticas | Trituração em fragmentadoras industriais |
| Fitas magnéticas (backup corporativo) | Degaussing certificado + destruição física |
| Smartphones e tablets corporativos | Wipe + destruição física do hardware |
| Servidores e equipamentos de rede | Limpeza segura de dados + destinação como REEE |
Para cada processo de destruição, a empresa contratada deve emitir um Certificado de Destruição individualizando os itens destruídos (por número de série, quando aplicável), o método utilizado, a data e o responsável técnico. Esse documento é a prova de conformidade em caso de auditoria ou investigação.
Como estruturar um processo interno de descarte seguro?
A conformidade com a LGPD no descarte de documentos não se resolve com uma única ação — ela exige um processo contínuo integrado à rotina da empresa. Veja como estruturar isso na prática:
- Elabore uma Política de Retenção e Descarte de Documentos — mapeie todos os tipos de documentos que a empresa gera, defina prazos de retenção para cada categoria e estabeleça os métodos de descarte adequados para cada suporte.
- Defina um calendário periódico de descarte — em vez de aguardar o acúmulo, programe revisões trimestrais ou semestrais para identificar documentos que atingiram o prazo de guarda e devem ser eliminados.
- Centralize o descarte de mídias físicas e digitais — crie um ponto de coleta interno para documentos em papel e equipamentos de TI a serem descartados, impedindo que colaboradores façam o descarte de forma independente e sem controle.
- Contrate uma empresa especializada — para documentos e mídias que contenham dados pessoais ou informações confidenciais, terceirize o processo para uma empresa com experiência comprovada, certificada e que emita laudo de destruição.
- Mantenha um registro documentado de todos os descartes realizados — guarde os Certificados de Destruição, as notas fiscais do serviço contratado e os registros internos do processo. Em caso de auditoria da ANPD, essa documentação é sua principal linha de defesa.
- Treine as equipes envolvidas — RH, TI, jurídico e as áreas que lidam com dados de clientes devem conhecer a política de descarte e os procedimentos obrigatórios.
| ✅ Checklist rápido — Seu processo de descarte está adequado à LGPD? ( ) A empresa possui uma Política de Retenção e Descarte formalizada? ( ) Os prazos legais de guarda de documentos são conhecidos e respeitados? ( ) Documentos em papel com dados pessoais são fragmentados em nível de segurança adequado ao grau de confidencialidade? ( ) HDs e mídias digitais são destruídos fisicamente antes do descarte? ( ) A empresa emite ou recebe Certificado de Destruição para cada processo? ( ) Os registros de descarte são arquivados e estão disponíveis para auditoria? ( ) Os colaboradores foram treinados sobre o procedimento de descarte? |
Quais são as penalidades previstas pela LGPD?
A Autoridade Nacional de Proteção de Dados (ANPD) tem poderes para aplicar as seguintes sanções a empresas que violem a LGPD, incluindo no que diz respeito ao descarte inadequado de dados:
- Advertência com prazo para adoção de medidas corretivas
- Multa simples de até 2% do faturamento do grupo no Brasil no último exercício, limitada a R$ 50 milhões por infração
- Multa diária pelo período de continuidade da infração, respeitado o mesmo teto
- Publicização da infração após devidamente apurada e confirmada
- Bloqueio dos dados pessoais aos quais se refere a infração até a regularização
- Eliminação dos dados pessoais envolvidos na infração
- Suspensão parcial do banco de dados por até 6 meses, prorrogável
- Proibição parcial ou total do exercício de atividades relacionadas ao tratamento de dados
Vale destacar que a ANPD considera como agravantes na dosimetria das sanções: a reincidência, a extensão do dano causado, o número de titulares afetados, a ausência de medidas preventivas e a não cooperação com a autoridade durante a investigação. Uma empresa que não comprova que tinha processos de descarte adequados parte em desvantagem em qualquer processo sancionatório.
Como a SANIPLAN pode ajudar a sua empresa?
A SANIPLAN oferece o serviço completo de Destruição Certificada de Documentos e Mídias, atendendo às exigências da LGPD e às normas técnicas aplicáveis. Nossa solução abrange:
- Coleta programada de documentos em papel e mídias digitais nas dependências da empresa
- Fragmentação de documentos em nível de segurança adequado ao tipo de material e ao grau de confidencialidade das informações
- Destruição física de HDs, SSDs, pendrives, CDs/DVDs, fitas magnéticas e outros suportes
- Processo realizado com cadeia de custódia documentada — do recolhimento à destruição final
- Emissão de Certificado de Destruição individualizado por lote, com identificação dos itens destruídos
- Destinação ambientalmente correta dos resíduos gerados após a destruição
- Atendimento a empresas de todos os portes, com frequência programada ou pontual
| 📞 Fale com nossos especialistas Não deixe o descarte de documentos e mídias da sua empresa se tornar um passivo legal. Entre em contato com a SANIPLAN agora mesmo e receba uma proposta personalizada para o seu volume de descarte. WhatsApp: (21) 98272-2288 | www.saniplanengenharia.com.br |
Conclusão
A LGPD transformou o descarte de documentos de uma atividade operacional rotineira em uma obrigação legal com consequências reais. Empresas que mantêm pilhas de documentos físicos vencidos, que descartam equipamentos de TI sem destruição certificada das mídias ou que não possuem uma política formal de retenção e descarte estão expostas a riscos que vão muito além das multas da ANPD.
A boa notícia é que a adequação é simples quando feita com o parceiro certo. Um processo estruturado de descarte seguro protege a empresa juridicamente, demonstra maturidade em governança de dados e fortalece a confiança de clientes, colaboradores e parceiros comerciais.
Não espere um incidente acontecer. A conformidade começa com o próximo lote de documentos que sua empresa for descartar.