A Lei Geral de Proteção de Dados exige que você saiba quais dados pessoais possui, por quanto tempo os retém e que consiga excluí-los quando solicitado. Backup complica cada um desses requisitos — porque dados apagados do sistema principal podem continuar vivendo por meses ou anos nos backups.
O problema que ninguém conta quando assina o DPA
Imagine que um cliente solicita a exclusão de todos os seus dados pessoais da sua plataforma. Sua equipe de TI vai ao banco de dados, localiza os registros e apaga. No CRM, no sistema de atendimento, no e-mail marketing. Os dados foram excluídos dos sistemas ativos. Missão cumprida?
Não exatamente. Esses dados existem em cada snapshot de backup feito nos últimos 30, 60 ou 90 dias — dependendo da política de retenção. Se seu backup roda diariamente e retém 90 dias, existem até 90 cópias daquele dado pessoal nos repositórios de backup, completamente intactas.
Isso não é uma falha de LGPD imediata e inevitável — a lei reconhece a realidade técnica de backup. Mas exige que você tenha uma posição documentada sobre como trata esse cenário, o que sua política de retenção diz e o que acontece com esses dados no tempo.
O problema real aqui é que muitas empresas têm uma política de proteção de dados para os sistemas ativos e uma política de backup completamente separada e desconectada — sem que ninguém tenha reconciliado as duas com os requisitos da LGPD.
O que a LGPD exige sobre retenção e eliminação
A LGPD (Lei 13.709/2018) estabelece que dados pessoais devem ser:
- Coletados para finalidades específicas, explícitas e legítimas
- Conservados pelo tempo necessário para a finalidade que justificou a coleta
- Eliminados quando a finalidade cessar ou quando o titular solicitar (com exceções)
- Protegidos por medidas técnicas e administrativas adequadas
Para backup, os requisitos mais impactantes são a retenção limitada ao necessário e o direito à eliminação.
Retenção limitada ao necessário. Se você retém backups por 5 anos mas sua justificativa legal para manter os dados pessoais daquela categoria é de apenas 6 meses, os 4 anos e meio excedentes de backup com aqueles dados são uma exposição de compliance. A política de retenção de backup precisa ser compatível com a justificativa legal de retenção de cada categoria de dado.
Direito à eliminação. Quando o titular solicita exclusão e não há base legal para retenção (como obrigação legal ou processo judicial), você precisa excluir dos sistemas ativos — e, nos backups, a prática aceita é documentar que o dado existe nos backups históricos com prazo definido de expiração natural. A ANPD e guidelines internacionais (como do ICO britânico, referência para a interpretação da LGPD) reconhecem que eliminação imediata de todos os backups seria tecnicamente desproporcional.
Como implementar política de retenção compatível com LGPD
A solução não é destruir todos os backups que contêm dados pessoais — isso quebraria toda a estratégia de proteção. A solução é uma política de retenção que seja:
Documentada por categoria de dado. Diferentes tipos de dados pessoais têm diferentes justificativas legais e, portanto, diferentes prazos de retenção adequados. Dados de cliente para fins de prestação de serviço: enquanto durar o contrato mais o prazo prescricional legal (geralmente 5 anos). Dados de colaboradores: durante o vínculo empregatício mais os prazos trabalhistas. Dados de candidatos não contratados: até 6 meses após o processo seletivo, salvo consentimento para banco de talentos.
Implementada tecnicamente. Não basta documentar que “dados de candidatos são retidos por 6 meses”. O backup precisa expirar esses dados em 6 meses — ou a política precisa explicar por que o prazo de retenção de backup é maior e qual a base legal para isso.
Revisada periodicamente. Políticas de retenção ficam desatualizadas quando o negócio muda — novos produtos, novas categorias de dados, novas bases legais. Revisão anual é o mínimo.
Comunicada ao titular. A política de privacidade e o aviso de consentimento precisam informar por quanto tempo os dados serão retidos, inclusive em backup, de forma clara.
Criptografia de backup: requisito, não boa prática
O artigo 46 da LGPD exige que controladores e operadores adotem “medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas”.
Backup não criptografado com dados pessoais é uma violação dessa exigência. Se a mídia de backup — HD, fita, storage — for perdida, roubada ou acessada por pessoa não autorizada, os dados pessoais ficam expostos sem nenhuma barreira técnica. Isso é exatamente o cenário que o artigo 46 visa prevenir.
A criptografia de backup em repouso deve ser considerada obrigatória para qualquer dado pessoal, não opcional. A implementação é direta: todas as soluções modernas de backup (Veeam, Commvault, Rubrik) criptografam por padrão com AES-256 — é questão de confirmar que está habilitado e que as chaves são gerenciadas adequadamente.
Gerenciamento de chaves é o detalhe crítico: se as chaves de criptografia estiverem no mesmo repositório que os dados criptografados, a proteção é ilusória. Chaves precisam estar em local separado (HSM — Hardware Security Module, ou gerenciador de chaves dedicado como HashiCorp Vault).
Onde o backup pode estar armazenado — o requisito de localização
A LGPD não proíbe transferência internacional de dados, mas exige que quando ocorre, o país destinatário ofereça grau de proteção adequado ou que existam salvaguardas contratuais (cláusulas contratuais padrão ou regras corporativas vinculantes).
Para backup de dados pessoais sensíveis (saúde, biometria, dados de crianças), a cautela recomendada é manter os dados no Brasil para eliminar qualquer questionamento sobre transferência internacional.
Mesmo para dados pessoais não sensíveis, manter backup no Brasil simplifica o compliance: você responde à ANPD sem precisar demonstrar as salvaguardas da transferência internacional, e tem previsibilidade sobre qual jurisdição se aplica em caso de incidente.
A Adentro opera datacenters Tier III em Osasco/SP, Vinhedo/SP e Porto Alegre/RS — todos no Brasil, com SLA de 99,99% e faturamento em Real.
O que documentar para evidenciar conformidade em auditoria
Uma auditoria de LGPD sobre backup buscará:
- Registro de atividades de tratamento (ROPA) que inclua backup como uma atividade de tratamento, com base legal, finalidade, período de retenção e local de armazenamento
- Política de retenção de backup formal, aprovada, com versão e data de revisão
- Evidência de criptografia ativa nos repositórios (configuração de software de backup, certificados)
- Controles de acesso ao repositório de backup — quem tem acesso, como é autenticado, logs de acesso
- Política de resposta a solicitações de titulares que especifique como solicitações de exclusão são tratadas em relação aos backups
- Logs de jobs de backup que demonstrem que a política de retenção está sendo aplicada tecnicamente
- Contrato com o provedor de backup incluindo DPA (Data Processing Agreement) que estabeleça as obrigações do operador
O DPA com o provedor de backup é especialmente importante: o provedor tem acesso técnico potencial aos dados dos backups e, portanto, é um operador sob a LGPD. Sem DPA, essa relação não está formalizada como a lei exige.
A Adentro oferece Backup Corporativo com criptografia AES-256, dados no Brasil, DPA incluso no contrato e suporte para adequação à LGPD. Fale com nossos especialistas em conformidade.