Domínio 5 · Privacidade, dados e segurança
Retenção e eliminação
Definição de prazos e procedimentos para manter e descartar dados de forma segura.
Resultado esperado
Dados não são mantidos além do necessário e a eliminação é verificável.
Por que é importante
Bases antigas acumulam risco sem gerar valor proporcional.
Direitos relacionados
- Privacidade
- Segurança
- Informação
- Proteção contra exploração
Práticas fundamentais
Medidas mínimas necessárias para estruturar a capacidade.
- Tabela de temporalidade por tipo de dado.
- Procedimento de eliminação segura.
- Registro das eliminações realizadas.
Práticas de evolução
Medidas que ampliam consistência, integração, monitoramento e melhoria contínua.
- Automatização dos ciclos de eliminação.
- Verificação independente da execução.
Evidências possíveis
- Inventário de dados de crianças e adolescentes
- Registro de bases legais e finalidades
- Política de retenção e eliminação
- Relatórios de testes de segurança
As evidências apresentadas são exemplos orientativos. A pertinência e a suficiência devem ser avaliadas considerando porte, setor, risco e contexto da organização.
Indicadores sugeridos
Minimização de dados
- Objetivo
- Acompanhar a redução de campos e coletas não essenciais.
- Método de cálculo
- Campos de dados eliminados ou tornados opcionais em relação ao inventário inicial.
- Periodicidade
- Anual
- Fonte
- Inventário de dados
- Responsável
- Área responsável pelo domínio
- Observações
- Indicador sugerido. A meta deve ser definida pela organização conforme porte, setor e risco.
Cobertura de controles de segurança críticos
- Objetivo
- Verificar aplicação de controles em sistemas que tratam dados infantojuvenis.
- Método de cálculo
- Sistemas com controles críticos implementados dividido pelo total de sistemas no escopo.
- Periodicidade
- Semestral
- Fonte
- Gestão de segurança da informação
- Responsável
- Área responsável pelo domínio
- Observações
- Indicador sugerido. A meta deve ser definida pela organização conforme porte, setor e risco.
Perguntas de autoavaliação
- Existe uma prática formal documentada?Ver no Assessment
- Há responsável definido?Ver no Assessment
- A prática é aplicada de maneira consistente?Ver no Assessment
- Existem evidências disponíveis?Ver no Assessment
- Os resultados são monitorados?Ver no Assessment
- Há revisão periódica?Ver no Assessment
- Crianças, adolescentes ou seus representantes são considerados?Ver no Assessment
- A alta liderança recebe informações sobre o tema?Ver no Assessment
- Fornecedores e terceiros estão incluídos?Ver no Assessment
- Incidentes geram aprendizado e ajustes?Ver no Assessment
Dependências
Responsáveis recomendados
- Encarregado de dados
- Segurança da informação
- Engenharia
Riscos de implementação
- Coleta ampla justificada por uso futuro indefinido
- Compartilhamento com terceiros sem avaliação
- Ausência de prazos de retenção
Exemplos orientativos
- Organização de pequeno porte: começa formalizando retenção e eliminação em um documento simples, com responsável nomeado.
- Organização de grande porte: integra retenção e eliminação aos processos corporativos, com indicadores e revisão periódica.
Referências
- LGPD
- Marco Civil da Internet
- ISO/IEC 27001
- NIST Privacy Framework
Conteúdo orientativo. Não constitui certificação, conformidade automática ou parecer jurídico, técnico ou regulatório.