Lista de Conservação RGPD

Look up commonly used GDPR retention benchmarks and the typical legal basis for marketing data, HR files, CCTV footage, logs, cookies, and more.

Por Marshkalk

-
Conservação máxima recomendada
-
Base jurídica habitual

-

O RGPD em si não fixa prazos concretos, apenas o princípio da "limitação da conservação": guardar os dados apenas pelo tempo necessário à sua finalidade. Estes são pontos de referência práticos habituais publicados pelas autoridades de proteção de dados, não uma obrigação legal exata, e isto não constitui aconselhamento jurídico. Consulte um encarregado de proteção de dados ou um profissional de direito para o seu caso concreto.

Categoria de dados Base jurídica Conservação máx.

Por que a CNPD, e não o próprio texto do RGPD, dá os números usados na prática

O RGPD fixa o princípio da "limitação da conservação" (artigo 5.º, n.º 1, alínea e): guardar os dados "durante não mais tempo do que o necessário para as finalidades" do tratamento, mas propositadamente não fixa nenhum valor concreto no seu texto. Na prática, é a Comissão Nacional de Proteção de Dados (CNPD) que publica orientações e critérios de referência para situações habituais, e são esses pontos de referência, amplamente seguidos pelos encarregados de proteção de dados em Portugal, que esta lista reproduz.

Alguns pontos de referência habituais

Categoria de dadosMáximo habitual
Dados de prospeção comercial3 anos após o último contacto
Cookies e rastreadores13 meses
Videovigilância1 mês, salvo processo em curso

Limites desta ferramenta

Estes valores são pontos de referência práticos habituais, não mínimos ou máximos legais fixados diretamente no texto do RGPD, e um setor específico, uma lei nacional que se sobrepõe ao RGPD, ou um litígio em curso podem justificar uma conservação mais longa num caso documentado. Esta ferramenta não consegue avaliar a sua finalidade de tratamento ou a sua base jurídica exata, mostra apenas o ponto de referência geral.

A única regra que se aplica sempre

Seja qual for a categoria, o prazo de conservação deve estar ligado a uma finalidade documentada, ser revisto periodicamente, e os dados pessoais devem ser eliminados ou anonimizados assim que essa finalidade deixe de se aplicar, em vez de conservados indefinidamente por defeito.