POLÍTICA V1 — RETENÇÃO E ANONIMIZAÇÃO DE DADOS PESSOAIS

TAMMAR — Município de Maraú/BA

Status: Política V1 elaborada pelo jurídico — submetida à validação formal do Município, Encarregado/DPO e Procuradoria Municipal (§14).

1. Objetivo

Esta política estabelece os critérios para retenção, anonimização, eliminação e conservação excepcional de dados pessoais tratados no âmbito da TAMMAR.

A política tem por objetivo conciliar:

• execução e fiscalização da política pública municipal;
• controle e auditoria da arrecadação;
• prestação de contas;
• prevenção e apuração de irregularidades;
• exercício regular de direitos;
• princípios da Lei nº 13.709/2018 — LGPD, especialmente finalidade, necessidade, segurança, prevenção e responsabilização.

A retenção de dados pessoais após o término da validade da tarifa não constitui finalidade autônoma de tratamento, devendo estar vinculada a uma das finalidades legalmente admitidas nesta política.

2. Bases jurídicas

O tratamento de dados pessoais no âmbito da TAMMAR poderá ocorrer independentemente de consentimento quando fundamentado nas hipóteses legais aplicáveis à Administração Pública, especialmente:

• cumprimento de obrigação legal ou regulatória;
• execução de políticas públicas previstas em leis e regulamentos;
• exercício regular de direitos em processo judicial, administrativo ou arbitral;
• demais hipóteses legalmente aplicáveis ao tratamento.

A operação da TAMMAR deverá observar a legislação municipal específica que institui e regulamenta a tarifa, bem como as normas aplicáveis à Administração Pública, arrecadação, controle, fiscalização e prestação de contas.

3. Prazo padrão de retenção

3.1 Dados pessoais identificáveis

Os dados pessoais identificáveis vinculados a uma tarifa deverão ser mantidos durante o período necessário à execução da operação da TAMMAR.

Após o encerramento da validade da tarifa, os dados identificáveis poderão ser conservados pelo prazo adicional de:

365 (trezentos e sessenta e cinco) dias contados do término da validade da tarifa.

Esse período tem como finalidade permitir:

• fiscalização;
• auditoria;
• conferência de arrecadação;
• apuração de inconsistências;
• prevenção e investigação de fraudes;
• atendimento a solicitações de órgãos de controle;
• tratamento de reclamações e contestações;
• exercício regular de direitos.

O prazo de 365 dias não deverá ser interpretado como prazo obrigatório imposto diretamente pela LGPD, mas como prazo administrativo de retenção definido em razão das finalidades acima.

4. Dados sujeitos à anonimização

Ao término do prazo de retenção, e inexistindo hipótese de conservação excepcional, deverão ser anonimizados ou eliminados os dados que permitam identificar direta ou indiretamente o titular.

Não será considerada suficiente, isoladamente, a remoção do CPF quando outros campos permanecerem capazes de identificar ou reidentificar o titular.

5. Dados que poderão permanecer após a anonimização

Poderão ser preservados, quando necessários às finalidades administrativas, estatísticas, contábeis, financeiras ou de gestão, dados que não permitam a identificação do titular, tais como:

• quantidade de tarifas;
• data/período da operação;
• valor arrecadado;
• categoria da tarifa;
• modalidade de pagamento;
• situação financeira;
• indicadores de arrecadação;
• dados estatísticos agregados;
• informações necessárias à prestação de contas, desde que não permitam identificação indevida do titular.

A preservação de dados estatísticos não autoriza a manutenção desnecessária de identificadores pessoais.

6. Cancelamentos, estornos e inconsistências

A anonimização não deverá ocorrer automaticamente apenas em razão do término da validade da tarifa quando houver circunstância que justifique conservação excepcional.

Deverão ser considerados, especialmente:

• cancelamento;
• estorno;
• contestação;
• reclamação;
• suspeita de fraude;
• inconsistência cadastral;
• inconsistência financeira;
• divergência de status;
• auditoria;
• fiscalização;
• investigação administrativa;
• processo administrativo;
• processo judicial;
• solicitação formal de órgão de controle.

Registros com inconsistência relevante não deverão ser anonimizados automaticamente até que sua situação seja resolvida ou submetida à análise responsável.

7. Legal Hold

A existência de investigação, auditoria, reclamação formal, processo administrativo ou judicial, requisição de autoridade competente ou outra obrigação legal de conservação suspenderá o processo automático de anonimização.

O sistema deverá permitir a marcação de `legalHold = true` e, preferencialmente, registrar:

• `legalHoldReason`
• `legalHoldCreatedAt`
• `legalHoldCreatedBy`
• `legalHoldReleasedAt`
• `legalHoldReleasedBy`

Enquanto o legal hold estiver ativo, o registro não poderá ser submetido à anonimização automática.

Após o encerramento da causa que justificou o legal hold, o registro deverá retornar ao fluxo normal de retenção, salvo determinação específica de conservação adicional.

8. Critérios mínimos para o motor de retenção

O motor de retenção deverá considerar, no mínimo:

1. término da validade da tarifa;
2. prazo de retenção aplicável;
3. status da tarifa;
4. existência de cancelamento ou estorno;
5. existência de inconsistência;
6. existência de reclamação/contestação;
7. existência de investigação/auditoria;
8. existência de legal hold;
9. existência de obrigação legal de conservação.

A regra não deverá ser implementada exclusivamente como:

validityStatus = EXPIRADA
AND periodEnd < cutoff

O sistema deverá possuir mecanismos de exceção.

9. Auditoria e registros de acesso

O sistema deverá registrar operações relevantes envolvendo dados pessoais, especialmente:

• acesso a dados pessoais sensíveis ou restritos;
• exportação;
• alteração;
• anonimização;
• eliminação;
• execução do processo de retenção;
• criação e liberação de legal hold;
• falhas de execução.

Os registros de auditoria deverão ser conservados por 2 (dois) anos, salvo prazo superior decorrente de obrigação legal, investigação, auditoria ou necessidade de exercício regular de direitos.

A eliminação dos registros de auditoria deverá obedecer política própria de expurgo e não deverá ocorrer de forma indiscriminada.

10. Execução operacional

O processo de retenção deverá ser executado de forma automatizada e periódica, preferencialmente mensalmente.

A execução deverá gerar registro contendo, no mínimo:

• `executionId`
• `startedAt` / `finishedAt`
• `recordsEvaluated`
• `recordsAnonymized`
• `recordsSkipped`
• `recordsOnLegalHold`
• `errors`
• `policyVersion`
• `executionStatus`

O processo deverá ser executado por conta técnica autorizada, sem necessidade de intervenção manual rotineira.

Exceções e falhas deverão ser registradas e disponibilizadas para análise administrativa/técnica.

POC: `pnpm db:retention:run` (simulação) · `pnpm db:retention:run -- --apply` (aplicação).

11. Segurança e criptografia

Dados pessoais armazenados de forma identificável deverão receber medidas técnicas e administrativas compatíveis com seu nível de risco.

A chave `LGPD_ENCRYPTION_KEY` deverá ser mantida em mecanismo seguro de gerenciamento de segredos, não em código-fonte ou repositório.

Deverão existir procedimentos internos para geração, armazenamento, controle de acesso, rotação, revogação, backup, recuperação e resposta a comprometimento da chave.

12. Regra jurídica para implementação

A equipe técnica deverá considerar esta política como fonte normativa da regra de retenção, e não incorporar diretamente no código decisões jurídicas não documentadas.

Alterações futuras em prazos, campos, hipóteses de retenção, hipóteses de anonimização, legal hold ou auditoria deverão resultar em atualização da política e da respectiva versão do motor de retenção.

13. Regra operacional consolidada

TARIFA ATIVA
    ↓
Dados identificáveis
    ↓
TÉRMINO DA VALIDADE
    ↓
Retenção por 365 dias
    ↓
Existe Legal Hold / investigação / obrigação de conservação?
    ├── SIM → NÃO ANONIMIZAR → aguardar liberação
    └── NÃO → verificar status e exceções
              ↓
         anonimizar identificadores pessoais
              ↓
         preservar somente dados necessários e não identificáveis
              ↓
         registrar operação no AuditLog

Regras fundamentais

• Nenhum dado pessoal deverá ser mantido indefinidamente por mera conveniência técnica ou operacional.
• Nenhum dado sujeito a obrigação de conservação, investigação, auditoria ou exercício regular de direitos deverá ser eliminado ou anonimizado automaticamente.

14. Aprovação

Esta Política V1 deverá ser submetida à validação formal do Município de Maraú, do responsável pelo tratamento de dados/encarregado e, quando aplicável, da Procuradoria Jurídica Municipal.

Referências cruzadas

• Tratamento operacional LGPD: [`docs/LGPD-POC-Tratamento-Dados.md`](../LGPD-POC-Tratamento-Dados.md)
• Plano de sprints: [`docs/Plano-Sprints-LGPD-Responsividade-Admin.md`](../Plano-Sprints-LGPD-Responsividade-Admin.md)
• Configuração executável: [`apps/api/src/retention/policies/retention-policy-v1.json`](../../apps/api/src/retention/policies/retention-policy-v1.json)