Descarte de gravação: quando e como apagar

O dia seguinte ao fim do prazo

A gravação precisa ser apagada quando a finalidade que justificou o tratamento se esgota e nenhuma das ressalvas do art. 16 da LGPD sustenta a guarda. É o art. 15 que define o término do tratamento (finalidade alcançada, dados que deixaram de ser necessários, fim do período declarado, pedido do titular, determinação da ANPD) e o art. 16 que manda eliminar depois disso, admitindo a conservação apenas para cumprimento de obrigação legal ou regulatória, estudo por órgão de pesquisa com anonimização, transferência a terceiro conforme a lei, e uso exclusivo do controlador com dado anonimizado.

Na prática, quase toda operação brasileira já escreveu a primeira metade dessa política (quanto tempo guardar) e nunca implementou a segunda. Se você quer o mapa dos prazos por regime, ele está na página sobre regras, prazos e prova na gravação de chamadas. Este texto começa depois: no dia em que o prazo vence e alguém precisa executar a eliminação, num sistema em que o botão de apagar frequentemente não existe.

O relógio raramente começa na data da chamada

O erro mais comum de implementação é configurar o expurgo como uma regra única de idade do arquivo ("apagar tudo acima de 90 dias") quando o marco inicial do prazo, na norma que o exige, é outro.

O Decreto 11.034/2022 fixa o mínimo de 90 dias para o áudio do SAC, mas trata o registro eletrônico do atendimento como objeto separado, com guarda mínima de dois anos contada da solução da demanda. Uma demanda que fica 45 dias aberta e é solucionada no dia 46 tem dois relógios diferentes rodando sobre o mesmo atendimento. A Resolução CMN 4.860/2020 conta os cinco anos da ouvidoria a partir do protocolo, não da ligação. E um protocolo pode reunir várias chamadas ao longo de semanas.

Quando a base é prescrição, o marco fica ainda mais distante da chamada. O art. 27 do CDC conta os cinco anos do conhecimento do dano e da autoria, um evento que o sistema de gravação não observa. A prescrição trabalhista do art. 7º, XXIX da Constituição é quinquenal no curso do contrato e se encerra dois anos após a extinção do vínculo. Isso amarra a retenção da gravação de um agente à data de desligamento dele, um dado que mora no RH e não no gravador.

A consequência de desenho é inevitável: a regra de expurgo precisa ler um evento de negócio, e não apenas o timestamp do arquivo. Operação que não consegue fazer isso costuma resolver por excesso, retendo tudo pelo maior prazo aplicável a qualquer fila. Isso não é a saída conservadora que parece ser, porque excesso de retenção é descumprimento do art. 16 combinado com o princípio da necessidade do art. 6º, III, e é um dos achados mais fáceis de uma fiscalização: basta perguntar qual norma sustenta o mês 37.

O áudio é a parte pequena

Apagar a gravação e deixar tudo o que foi derivado dela intacto é o padrão que encontramos com mais frequência quando uma operação abre a política de retenção pela primeira vez. Cada item abaixo costuma viver em um sistema diferente, com dono diferente:

Transcrição. Continua identificando a pessoa, continua contendo CPF, endereço, valor de dívida e às vezes diagnóstico, e é muito mais fácil de pesquisar e de vazar em volume do que o áudio. Precisa de prazo próprio, que pode ser menor que o do áudio, nunca maior sem justificativa.
Avaliação de qualidade. A nota, o formulário preenchido, o comentário do monitor e o trecho de áudio recortado como evidência. Esse recorte é uma segunda cópia do áudio, guardada fora do acervo principal, e é o item que mais sobrevive ao expurgo.
Dados derivados da análise. Motivo do contato classificado, sentimento, resumo automático, tags. São dado pessoal quando permanecem vinculados ao cliente ou ao agente.
CDR e protocolo. Aqui a recomendação se inverte: o registro de detalhe de chamada é leve, é frequentemente exigido por prazo maior que o do áudio e resolve sozinho a disputa mais comum, que é se a ligação existiu. Guardar o CDR por mais tempo que o áudio é decisão barata e defensável, desde que esteja escrita.
Exportações. O arquivo baixado para instruir uma defesa, anexado a um e-mail ao jurídico, salvo na pasta da supervisão. Política que só alcança o repositório principal não alcança as cópias que ela mesma autorizou criar.

O registro das operações de tratamento exigido pelo art. 37 precisa listar áudio, transcrição e derivados como itens distintos, com prazos distintos. Quando eles aparecem como uma linha só, o expurgo também vai ser um só, e vai deixar dois terços do dado para trás.

Retenção por litígio: a exceção precisa ter dono e data de saída

O art. 7º, VI autoriza o tratamento para exercício regular de direitos em processo judicial, administrativo ou arbitral, e o art. 16, I ressalva a conservação para cumprimento de obrigação legal. São essas as portas que sustentam manter uma gravação depois do prazo normal quando ela virou objeto de uma reclamação no PROCON, de uma NIP na ANS, de uma reclamação trabalhista ou de uma notificação extrajudicial.

O desenho que funciona tem quatro elementos: um evento que aciona a suspensão do expurgo, um conjunto identificado de gravações (por protocolo, por CPF, por agente, por período), um responsável nomeado e uma condição de liberação. Falta quase sempre a última. A retenção por litígio entra e nunca sai, porque ninguém avisa o sistema de que o processo transitou em julgado. Depois de alguns anos, a operação tem um acervo paralelo de retenção estendida que já não é sustentado por processo nenhum e que ninguém sabe explicar.

Invocar a hipótese para o acervo inteiro tem o mesmo problema, em escala maior. Manter 100% das gravações por cinco anos porque qualquer chamada pode virar processo transforma a exceção em política geral, e não sobrevive à pergunta de quantos dos arquivos retidos correspondem a um litígio concreto.

Anonimizar em vez de apagar

O art. 12 estabelece que dado anonimizado não é dado pessoal, desde que o processo de anonimização seja irreversível considerando meios técnicos razoáveis e disponíveis. O art. 16, IV autoriza a conservação para uso exclusivo do controlador quando o dado está anonimizado.

Isso abre uma saída legítima para o caso em que a operação quer preservar a série histórica (volume por motivo de contato, evolução de nota média, distribuição de tempo de espera) sem manter o acervo identificado. Com uma ressalva que precisa ser dita: anonimizar áudio é difícil, porque a voz permanece no arquivo e a voz é característica identificadora por natureza. Cortar nome e CPF do áudio reduz o dado exposto e não produz anonimização no sentido do art. 12.

Em transcrição, a conversa é diferente. Remover identificadores diretos e indiretos do texto, quebrar o vínculo com o cadastro e manter apenas o agregado é factível e costuma atender ao que a área de negócio realmente queria. O caminho prático é anonimizar o derivado, eliminar o áudio e registrar essa decisão com a descrição da técnica usada, porque a demonstração de que a anonimização é razoável é ônus do controlador.

Quando é o titular que pede

O pedido de exclusão chega por duas vias, com regimes diferentes. Pelo art. 18, IV, o titular pode pedir eliminação de dado desnecessário, excessivo ou tratado em desconformidade. Pelo art. 18, VI, pode pedir a eliminação de dado tratado com base em consentimento, hipótese em que a revogação prevista no art. 8º, §5º puxa a eliminação, ressalvadas as situações do art. 16.

A recusa é legítima quando existe obrigação legal ou regulatória de guarda, ou exercício regular de direito em processo. Um plano de saúde que recebe pedido para apagar a chamada de autorização de procedimento durante uma NIP aberta pode e deve recusar. O que não é legítimo é recusar sem dizer por quê. A resposta que resolve nomeia a norma, o prazo e a data em que a eliminação vai ocorrer. É essa resposta, guardada, que demonstra o cumprimento do art. 18 se o titular levar o caso à ANPD.

Há também a armadilha de base legal que aparece exatamente aqui. Se o aviso na URA diz "ao continuar, você concorda com a gravação" e o registro do art. 37 diz legítimo interesse, o pedido de exclusão baseado em revogação de consentimento expõe a contradição entre os dois documentos. Alinhar o texto do aviso ao registro é trabalho de uma tarde e evita um problema que não tem conserto depois do pedido.

Backup: a resposta honesta

A pergunta aparece em toda revisão de política e quase nunca tem resposta pronta: se a gravação foi apagada do repositório e continua no backup de três meses atrás, ela foi eliminada?

A resposta operacional aceita pela prática de governança é que o dado no backup permanece sujeito a controles equivalentes e sai do acervo pela rotação natural das mídias, desde que dois compromissos sejam verdadeiros e documentados: o backup não é usado para consulta corrente, e qualquer restauração dispara a reaplicação das regras de expurgo antes que o dado volte a ficar disponível. Sem esse segundo passo, uma restauração ressuscita, em produção, gravações que a empresa declarou ter eliminado. Essa inconsistência aparece em auditoria.

Prazo de retenção de backup mais longo que o prazo do dado é o conflito de fundo, e ele se resolve escrevendo os dois prazos no mesmo documento. Vale confirmar o desenho com o jurídico e com a segurança da informação antes de publicar a política.

A prova de que você apagou

Eliminação sem evidência é indistinguível de eliminação que não aconteceu. O que sustenta a demonstração do art. 16 é o relatório de expurgo: o que foi eliminado, em que volume, sob qual regra, em que data, e quais itens foram poupados por estarem sob retenção por litígio.

Isso exige que o expurgo seja automático. Política que depende de alguém lembrar de rodar um procedimento trimestral não produz série de relatórios, produz lacunas. E a lacuna é a pergunta que o fiscal faz. A mesma lógica vale para o certificado de eliminação que a contratante deve exigir do BPO no fim do contrato: devolução do acervo em formato aberto com metadados, prazo definido para a eliminação na ponta do prestador e comprovação escrita de que ela ocorreu. Sem essa cláusula, a controladora fica responsável por um dado que já não controla, hipótese que se agrava quando o prestador continua com cópia do acervo depois de encerrada a relação.

Erros que aparecem quando a política é auditada

Apagar o áudio aos 90 dias e manter o registro do atendimento indefinidamente, quando o Decreto 11.034/2022 fixa dois anos como mínimo, não como alvo.
Aplicar o prazo mais longo do grupo a todas as filas porque separar por regime dava trabalho.
Expurgo que não alcança o recorte de áudio anexado à avaliação de qualidade.
Retenção por litígio sem condição de saída, acumulada há anos.
Política publicada no portal de privacidade com prazos que o sistema não implementa: a divergência entre o prazo declarado ao titular e o prazo real é, sozinha, falha de transparência.

Se a gravação também alimenta o programa de monitoria de qualidade, vale revisar o ciclo de vida do material de avaliação junto com o do áudio: são os dois fluxos que mais criam cópia fora do repositório principal.

Cada operação tem um arranjo próprio de normas setoriais incidindo sobre as mesmas filas, e a política de descarte é o documento em que esse arranjo aparece inteiro. Submeta a versão final ao jurídico da empresa antes de ligar o expurgo automático. A regra que apaga é a única da política de retenção que não tem desfazer.