Destruição de Documentos: Guia Legal e Técnico para Descartar sem Gerar Passivo

Destruição de documentos é o processo controlado de eliminação definitiva de registros físicos e digitais cujo prazo legal de guarda expirou, executado com método rastreável, aprovação formal e comprovação documental. Envolve tabela de temporalidade, análise de valor probatório, fragmentação em níveis de segurança (DIN 66399), sanitização de mídias e emissão de certificado de destruição, requisitos que sustentam a conformidade com a LGPD (Lei 13.709/2018) e com a legislação trabalhista e fiscal.

A LGPD determina, no art. 15, que dados pessoais sejam eliminados ao término do tratamento. Ou seja: o acervo que sua empresa guarda “por precaução” há 15 anos deixou de ser zelo e virou infração passível de sanção da ANPD, com multa de até 2% do faturamento.

E o custo silencioso continua correndo: cada metro linear de arquivo morto ocupa espaço, exige controle e multiplica o risco de vazamento.

A seguir, o que pode ser destruído, quando, por qual método e como provar tudo isso em auditoria.

O que é destruição segura de documentos

Destruição segura de documentos é o processo controlado que torna a informação irrecuperável ao fim do prazo legal de guarda, com registro formal de tudo: o que foi eliminado, quando, por qual método e sob autorização de quem.

Ela encerra o ciclo de vida documental com evidência auditável, exigência direta da LGPD, que trata a eliminação como fase do tratamento de dados, sujeita às mesmas obrigações de segurança das etapas anteriores.

Jogar papel no lixo comum, mandar caixas pra reciclagem informal ou apagar um arquivo da pasta de rede não atende esse conceito. Nos três casos, a informação continua recuperável: o contrato inteiro no contêiner, o holerite no fardo de papel vendido a quilo, o dado pessoal ainda gravado no disco.

Descarte, expurgo e destruição segura

Vale separar três termos que o mercado mistura. Descarte é o ato genérico de se desfazer de algo. Expurgo é a retirada de documentos que cumpriram prazo, definida pela tabela de temporalidade. Destruição segura é a execução técnica desse expurgo, com método adequado ao sigilo do documento e comprovação formal ao final.

Essa distinção tem consequência prática em auditoria.

Quando a fiscalização trabalhista ou a ANPD questiona o paradeiro de um documento, a resposta aceitável é uma trilha: ata de eliminação, método aplicado, certificado de destruição. “Foi descartado” sem registro equivale a admitir perda de controle sobre dado pessoal, e o art. 46 da LGPD cobra exatamente esse controle.

Por que a destruição pressupõe gestão documental madura

Por isso a destruição segura pressupõe gestão documental madura. Só elimina com segurança quem sabe o que guarda, onde guarda e há quanto tempo. Empresas que tratam o descarte como faxina de fim de ano invertem a ordem do processo e assumem o risco no ponto mais frágil: a hora de provar.

Por que guardar documento além do prazo virou risco jurídico

Durante décadas, o RH aprendeu que guardar tudo era prudência. A LGPD inverteu essa lógica: dado pessoal retido sem finalidade ativa é tratamento irregular, sujeito a sanção de até 2% do faturamento, limitada a R$ 50 milhões por infração.

Retenção excessiva como violação da LGPD

O princípio da necessidade (art. 6º, III da Lei 13.709/2018) limita o tratamento ao mínimo indispensável. O art. 16 vai além: terminado o tratamento, o dado deve ser eliminado, salvo hipóteses como cumprimento de obrigação legal.

Traduzindo para o prontuário funcional: vencido o prazo de guarda trabalhista e previdenciária, a ficha daquele ex-colaborador deixa de ter amparo legal para existir no seu acervo. A partir dali, cada mês de retenção é exposição acumulada.

O custo invisível do acervo que ninguém audita

Metro linear de arquivo custa aluguel, climatização e mão de obra de busca, e boa parte dos acervos corporativos carrega décadas de papel que ninguém consegue justificar. Em caso de vazamento, esses documentos vencidos entram na conta do incidente perante a ANPD, ampliando o universo de titulares afetados e a gravidade da notificação.

Documento antigo como prova contra a própria empresa

Há ainda o efeito colateral processual: documento que a empresa não era obrigada a manter, mas manteve, pode ser requisitado em juízo e usado contra ela.

Acervo vencido não protege ninguém. Ele só espera a pergunta errada de um fiscal.

Prazos legais de guarda antes do descarte

Nenhum documento entra na esteira de destruição sem que o prazo legal tenha vencido. E aqui mora o detalhe que derruba muita empresa em auditoria: não existe um prazo único, existe uma malha de prazos por tipo documental, cada um com base legal própria.

Quadro de referência por tipo documental

O quadro abaixo resume as referências que Compliance e Jurídico precisam ter à mão:

A armadilha dos prazos misturados no mesmo prontuário

Perceba a armadilha: um prontuário funcional mistura documentos de 5, 20 e 30 anos na mesma pasta. Destruir a pasta inteira pelo prazo mais curto é gerar passivo; guardar tudo pelo mais longo é violar a LGPD.

Para o mapeamento completo por área, consulte a tabela de tempo de guarda de documentos e valide cada categoria antes de autorizar qualquer expurgo.

Quando a empresa pode destruir e quando não pode

Prazo vencido é condição necessária, nunca suficiente. Antes de qualquer lote entrar na esteira de eliminação, Jurídico e Compliance precisam responder uma pergunta: existe algum evento que suspende o descarte deste documento?

Se a resposta for sim para um único item do lote, ele sai da fila. Destruir prova durante disputa judicial pode ser lido como litigância de má-fé e inverte o ônus da prova contra a empresa.

Gatilhos que suspendem o descarte

Quatro situações travam a destruição mesmo com prazo legal cumprido:

• Litígio em curso ou iminente: reclamatória trabalhista, ação cível ou notificação extrajudicial que envolva o colaborador ou o contrato. Vale o conceito de legal hold, retenção preventiva formalizada pelo Jurídico.
• Fiscalização aberta: auditoria da Receita, do Ministério do Trabalho ou requisição da ANPD suspende o expurgo de tudo que se relacione ao escopo fiscalizado.
• Obrigação contratual vigente: contratos com cláusula de guarda estendida, comum em prestação de serviços para bancos e órgãos públicos.
• Obrigação fiscal em aberto: débito parcelado ou compensação pendente mantém viva a necessidade probatória dos documentos de origem.

Sinistro, litígio e fiscalização em curso

Um exemplo recorrente: cartão de ponto com cinco anos vencidos, mas ex-colaborador com reclamatória distribuída. Aquele registro específico fica retido até o trânsito em julgado, com anotação na ata de eliminação justificando a exceção.

A regra prática: o calendário autoriza, o contexto decide. Quem assina essa decisão é a comissão de avaliação documental, tema da seção sobre política de descarte.

Como fazer a destruição de documentos físicos na prática

A fragmentadora de escritório resolve o rascunho da impressora, não o expurgo de um acervo trabalhista. Volume, sigilo e comprovação exigem processo industrial, e ele começa antes da lâmina.

Triagem por tabela de temporalidade

Cada caixa passa por conferência item a item contra a tabela de temporalidade aprovada, com classificação de documentos que separa o que vence do que permanece. Documento sem identificação não vai para a esteira: volta para análise. Essa triagem gera a listagem que depois sustenta a ata de eliminação.

Nível de fragmentação pelo padrão DIN 66399

A norma alemã DIN 66399 define sete níveis de partícula, de P-1 a P-7. Para papéis de RH com dados pessoais, o mínimo recomendado é P-3; prontuários com dados sensíveis (saúde, sindicais) pedem P-4 ou P-5, em que a partícula fica pequena demais para reconstrução. Fragmentadora comum de escritório costuma operar em P-1 ou P-2, insuficiente para conformidade LGPD.

Cadeia de custódia até a usina

Entre o arquivo e a destruição, o lote viaja em caixas lacradas com numeração, veículo rastreado e recebimento registrado. Auditoria pergunta exatamente isso: quem tocou o documento entre a saída e a trituração? A presença de uma testemunha da empresa no ato fecha a trilha.

O resíduo fragmentado segue para reciclagem com destinação certificada. É ganho ambiental real, mas o argumento que sustenta o processo perante a ANPD é a irreversibilidade, não o selo verde.

Destruição de documentos digitais e eliminação de dados

Apagar um arquivo remove apenas a referência no índice do sistema. O conteúdo permanece gravado no disco até ser sobrescrito, e qualquer software de recuperação forense o traz de volta. Para a LGPD, esse dado continua sob tratamento, e a empresa continua respondendo por ele.

A eliminação com validade de auditoria exige sanitização de mídia. Três caminhos, em ordem crescente de rigor: sobrescrita (wiping) com múltiplos ciclos, seguindo referências como a NIST SP 800-88; desmagnetização, que inutiliza HDs e fitas magnéticas de forma irreversível; e destruição física da mídia, obrigatória quando o equipamento sai da empresa por descarte, devolução de leasing ou fim de contrato de datacenter.

Backups, réplicas e a cópia que sobrevive

O expurgo no sistema principal resolve metade do problema. Réplicas em servidores secundários, backups em fita, snapshots de nuvem e anexos em caixas de e-mail guardam cópias do mesmo dossiê. O procedimento de eliminação precisa mapear todas as instâncias e registrar a data em que cada backup contendo o dado expira ou é sobrescrito. Sem esse inventário, o certificado de destruição cobre só uma fração do acervo real.

Pedido de eliminação do titular

O art. 18 da LGPD dá ao ex-colaborador o direito de pedir a exclusão dos seus dados. O art. 16, porém, autoriza a retenção do que a lei obriga a guardar. A resposta correta elimina o excedente, mantém o obrigatório e documenta a justificativa legal de cada item retido.

Certificado de destruição e a prova que a auditoria pede

Lote triturado sem registro formal equivale, para o auditor, a documento desaparecido. A empresa perde a prova de que cumpriu o prazo de guarda e ainda fica sem resposta quando a ANPD questiona o destino daqueles dados pessoais. O certificado de destruição fecha essa lacuna.

O que o documento precisa conter

A ata de eliminação e o certificado emitido pelo executor precisam registrar, no mínimo:

• listagem individualizada dos itens destruídos (tipo documental, período, unidade de origem, quantidade de caixas ou volume de mídia);
• data, local e método aplicado (nível de fragmentação DIN 66399, técnica de sanitização, incineração);
• identificação nominal dos responsáveis pela autorização, pela execução e pela testemunha do ato;
• referência à tabela de temporalidade e ao parecer que aprovou o lote.

Certificado genérico, do tipo “destruímos 40 caixas em tal data”, não sustenta defesa. Sem a listagem item a item, ninguém prova que determinado contrato estava ou não naquele lote.

Rastreabilidade, logs e evidência de conformidade

Esse conjunto documental alimenta o registro de operações de tratamento exigido pelo art. 37 da LGPD e, quando houver, o relatório de impacto. A cadeia fecha quando cada certificado se liga ao inventário do acervo: o auditor consegue seguir o documento da admissão ao expurgo sem interrupção na trilha.

Guarde a ata pelo prazo prescricional do documento eliminado. Ela substitui o original como evidência de conformidade.

Política de descarte e tabela de temporalidade

Expurgo tratado como mutirão anual de limpeza sempre termina do mesmo jeito: alguém destrói o que devia ficar ou guarda o que devia sair. A saída é transformar o descarte em política formal, com regras escritas, responsáveis nomeados e calendário fixo.

A tabela de temporalidade é o coração dessa política. Ela lista cada tipo documental, o prazo de guarda com a base legal correspondente e a destinação final (eliminação ou guarda permanente). O documento precisa ser versionado e revisado sempre que a legislação mudar, e conversa diretamente com os métodos de arquivamento de documentos adotados no acervo.

Quem decide o que é descartado

Nenhuma pessoa sozinha. A decisão cabe a uma comissão de avaliação documental, formalizada em ato interno, com competência para aprovar a tabela e homologar cada lote de eliminação.

Comitê de RH, TI e Compliance

O RH responde pelo conteúdo dos prontuários e pela vigência de cada vínculo. TI garante que a eliminação digital alcance backups, réplicas e mídias fora de uso. Jurídico e Compliance verificam litígios em curso e fiscalizações abertas antes de liberar qualquer item.

Ciclo anual de expurgo

Defina uma janela fixa por ano, com quatro entregas documentadas: relação de elegíveis extraída da tabela, parecer da comissão, execução com certificado e atualização do inventário.

Rodada sem registro é rodada que não aconteceu para o auditor. A ata de cada ciclo integra a trilha de conformidade da empresa.

Terceirizar a destruição sem transferir o risco

O art. 42 da LGPD é claro: controlador e operador respondem solidariamente pelo dano causado ao titular. Contratar uma empresa de fragmentação não move a responsabilidade de lugar. Se o fornecedor extraviar uma caixa entre a coleta e a lâmina, quem responde à ANPD é a empresa que gerou os documentos.

Por isso a escolha do parceiro é decisão de compliance, com critérios técnicos verificáveis antes da assinatura.

Critérios técnicos para avaliar um fornecedor

• Certificações de segurança da informação e conformidade documentada com a LGPD;
• Cadeia de custódia lacrada da coleta até a destruição, com rastreio por lote;
• Fragmentação em nível compatível com o sigilo do acervo (referência DIN 66399);
• Emissão de certificado de destruição e ata de eliminação nos moldes que auditoria aceita;
• Contrato com cláusulas de confidencialidade, seguro contra extravio e direito de auditar a operação;
• Destinação ambiental comprovada do material fragmentado.

Fornecedor que resiste a qualquer item dessa lista está pedindo que você assuma o risco no lugar dele.

Como a eBox executa a destruição de ponta a ponta

A eBox trata o descarte como etapa final de um ciclo documental rastreável: guarda com inventário item a item, digitalização conforme o Decreto 10.278/2020 que autoriza eliminar o original com respaldo legal, e destruição segura com custódia lacrada e certificado formal.

O ganho prático aparece no volume: acervo digitalizado com validade jurídica reduz o que precisa ser destruído fisicamente, e cada expurgo futuro sai da tabela de temporalidade, sem mutirão e sem dúvida.

Por onde começar o expurgo ainda neste trimestre

O acervo parado no arquivo morto não é neutro. Cada caixa retida além do prazo acumula custo de armazenagem e, desde a LGPD, acumula também exposição regulatória: dado pessoal sem finalidade ativa é tratamento irregular, com sanção que pode chegar a 2% do faturamento.

Três princípios de um descarte que passa em auditoria

Depois de percorrer prazos, métodos e evidências, três princípios sustentam qualquer programa de descarte que passe em auditoria:

1. Nada se destrói sem tabela de temporalidade aprovada. Prazo vencido, sem processo judicial em curso e sem obrigação fiscal em aberto: só então o documento entra na esteira.
2. Método sem prova não vale nada. Fragmentação com nível DIN adequado ou sanitização de mídia, sempre com ata de eliminação, certificado de destruição e cadeia de custódia registrada.
3. Destruição segura é consequência de gestão madura. Quem não sabe o que tem, onde está e há quanto tempo guarda, não consegue eliminar nada sem risco.

O piloto que revela o tamanho do passivo

O passo concreto para amanhã: reúna Jurídico, Compliance e RH, escolha uma amostra de 50 prontuários de desligados há mais de dois anos e teste a temporalidade de cada item. Esse piloto revela em uma semana o tamanho real do passivo e do que já pode sair.

Se o diagnóstico apontar dispersão, o caminho é centralizar antes de eliminar. Agende uma análise de temporalidade com um especialista e mapeie o que já pode ser destruído, o que exige digitalização com valor legal e o que permanece em guarda.

Empresa que domina o próprio acervo destrói com segurança. As demais só acumulam risco em caixas.

Perguntas frequentes

Quando a empresa pode destruir documentos de funcionários?

Somente após o vencimento do prazo legal de guarda de cada tipo documental e depois de confirmar que não existe ação trabalhista, fiscalização ou obrigação fiscal em aberto envolvendo aquele registro. Documentos de FGTS, por exemplo, exigem 30 anos de guarda para fatos anteriores a novembro de 2019. Prazo vencido é condição necessária, mas a liberação final deve passar pela comissão de avaliação documental, com aprovação de Jurídico e Compliance.

É crime destruir documentos antes do prazo legal?

Pode configurar infração e gerar passivo grave. Destruir documento exigido em fiscalização trabalhista ou previdenciária inverte o ônus da prova contra a empresa, e eliminar prova durante disputa judicial pode ser interpretado como má-fé processual. Na esfera de dados pessoais, o descarte sem registro formal também expõe a empresa a sanção da ANPD, já que ela perde a capacidade de demonstrar o destino da informação.

O que é tabela de temporalidade de documentos?

É o instrumento que define, para cada tipo documental, o prazo de guarda, a base legal correspondente e a destinação final (eliminação ou guarda permanente). Ela deve ser aprovada por uma comissão de avaliação documental com representantes do Jurídico, Compliance, RH e áreas geradoras. Sem tabela aprovada, qualquer expurgo vira decisão improvisada, e é exatamente aí que se destrói o que devia ficar guardado.

Qual a diferença entre apagar um arquivo e eliminar um dado digital?

Apagar remove apenas a referência no índice do sistema; o conteúdo segue gravado no disco e pode ser recuperado por software forense. Para a LGPD, esse dado continua sob tratamento. A eliminação com validade de auditoria exige sanitização de mídia: sobrescrita certificada (wiping), desmagnetização ou destruição física do HD e dos backups, sempre com registro do método e da data.

O que precisa constar no certificado de destruição de documentos?

Identificação do lote eliminado (com referência à tabela de temporalidade), data e local da destruição, método utilizado e nível de segurança, responsável autorizador, executor do serviço e assinatura das partes. A ata de eliminação complementa o certificado com a decisão formal da comissão. Sem esses registros, o auditor trata o lote triturado como documento desaparecido, e a empresa fica sem resposta perante a ANPD.

Terceirizar a destruição transfere a responsabilidade legal?

Não. O art. 42 da LGPD estabelece responsabilidade solidária entre controlador e operador. Se o fornecedor extraviar uma caixa entre a coleta e a fragmentação, quem responde pelo dano ao titular é a empresa que gerou os documentos. Por isso o contrato precisa prever cadeia de custódia rastreável, transporte lacrado, certificado por lote e cláusulas de proteção de dados, e a escolha do parceiro deve passar por Compliance.

Posso destruir o documento físico depois de digitalizar?

Sim, desde que a digitalização siga o Decreto 10.278/2020: padrões técnicos mínimos de resolução, metadados obrigatórios e assinatura com certificado ICP-Brasil. Cumpridos esses requisitos, o documento digitalizado tem o mesmo valor legal do original para a maioria das finalidades. Documentos com valor histórico ou exigência específica de via física devem ser avaliados individualmente antes do descarte do papel.

Quais métodos de destruição física são aceitos em auditoria?

Fragmentação industrial classificada pela norma DIN 66399, que define níveis de segurança conforme a sensibilidade do conteúdo (dados pessoais de colaboradores pedem nível P-4 ou superior), incineração controlada com licença ambiental e reciclagem supervisionada com trilha de custódia. O critério de escolha combina sigilo do conteúdo, volume do acervo e exigência de comprovação. Fragmentadora de escritório não atende expurgo de acervo corporativo.

Escrito por:

Roberto Gonçalves

Especialista em Gestão de Processos Gerenciais e Segurança Cibernética, vem liderando desafios há pelo menos 20 anos nas empresas mais relevantes do setor. Na eBox, atua conectando pessoas, estratégias e tecnologia para impulsionar inovação e crescimento.