Multas do GDPR chegam a €6,11 bilhões — "guardar tudo para sempre" é um risco de conformidade?

Em março de 2026, as multas acumuladas do GDPR em toda a UE chegaram a cerca de €6,11 bilhões, distribuídas em 2.685 casos de fiscalização registrados, segundo o CMS GDPR Enforcement Tracker Report de 2025/2026. Casos individuais nesse conjunto chegam a €1,2 bilhão. Seja qual for o modelo de risco da sua organização quando o GDPR era novidade, em 2018, o padrão de fiscalização oito anos depois não é mais teórico — é um custo constante e bem documentado para as empresas que erram no tratamento de dados.

A maioria dos conselhos sobre retenção de e-mail se concentra no modo de falha errado. Eles dizem por quanto tempo guardar cada categoria de e-mail por conformidade — sete anos de registros financeiros, dois anos de chamados de suporte —, como se o risco fosse sempre apagar algo cedo demais. Esse risco é real. Mas os órgãos reguladores estão cada vez mais claros de que o erro oposto, guardar tudo indefinidamente porque apagar qualquer coisa parece arriscado, é uma violação por si só.

O princípio que a maioria das políticas de retenção pula

O GDPR não entrega um prazo fixo de retenção para e-mail, e é justamente essa ambiguidade que faz tanta organização recorrer ao "nunca apague nada, por via das dúvidas". Mas o Artigo 5(1)(e), o princípio da limitação de armazenamento, exige que os dados pessoais sejam guardados "por não mais tempo do que o necessário" para as finalidades para as quais foram coletados — e o Artigo 5(1)(c), a minimização de dados, está logo ao lado. A retenção indefinida não é um padrão seguro sob nenhum dos dois princípios. É justamente aquilo que eles foram escritos para proibir.

Na prática, isso significa que uma organização precisa conseguir responder, para cada categoria de e-mail que guarda: por que isso está sendo mantido e por quanto tempo mais. "Podemos precisar disso um dia" não é uma resposta que os reguladores aceitam, por mais compreensível que seja o instinto por trás dela.

Os reguladores agora querem prova, não um documento de política

A outra mudança que vale notar: uma política de retenção escrita, guardada em uma pasta de conformidade, já não satisfaz sozinha as expectativas da fiscalização. O que os reguladores pedem é evidência auditável de que a política é de fato cumprida — fluxos de exclusão documentados, cronogramas de retenção aplicados no nível do servidor em vez de deixados ao critério de cada funcionário, e procedimentos de retenção legal que corretamente suspendam a limpeza de rotina quando um litígio é razoavelmente previsível.

Isso também aparece em fiscalizações vizinhas. A CNIL, na França, e o Garante, na Itália, publicaram orientações formais em abril de 2026 tratando a caixa de entrada como uma extensão da vida privada da pessoa — as novas regras deles sobre pixels de rastreamento em e-mail exigem consentimento prévio antes que qualquer coisa invisível informe o que acontece dentro da caixa postal de quem recebe. É um mecanismo diferente do da fiscalização de retenção, mas a postura de fundo é a mesma: os reguladores estão olhando especificamente para o que as empresas fazem com o conteúdo do e-mail, e não apenas para a existência de um documento de política.

Um cronograma de retenção que se sustenta

Nada disso exige ferramentas exóticas. Uma estrutura defensável tem um número pequeno de categorias, cada uma com um motivo documentado e um prazo:

Correspondência operacional rotineira — coordenação interna, agendamentos, o vaivém do dia a dia, sem significado legal ou financeiro próprio. Costuma ser guardada por cerca de um ano e depois eliminada.

Correspondência de atendimento ao cliente — em geral guardada por mais tempo, muitas vezes dois anos, para cobrir os prazos de garantia e de contestação.

Registros financeiros e fiscais — regidos pelo que as regras fiscais e de auditoria da sua jurisdição exigirem, frequentemente sete anos.

Qualquer coisa sob bloqueio legal ativo — guardada independentemente da categoria até o bloqueio ser levantado, o que se sobrepõe a qualquer outro cronograma.

Os números exatos variam por setor e por país — o GDPR não os define; quem define é o seu regulador ou a sua própria justificativa documentada. O que importa é que cada categoria tenha um número atrelado a ela, e que esse número seja de fato cumprido, e não apenas uma boa intenção.

Onde um arquivo pessoal entra nisso

Há uma tensão real para pessoas físicas e equipes pequenas aqui: a disciplina de retenção diz para apagar as mensagens antigas do servidor, mas ninguém quer perder quinze anos de correspondência porque uma regra de conformidade diz que a caixa postal ativa não deve mais guardá-las. A saída é a mesma que vale para o risco de backup — separar o que fica no servidor de aquilo de que você guarda uma cópia.

O MailVault arquiva cada pasta da sua conta IMAP ou OAuth como arquivos .eml individuais no seu próprio disco, sem depender em nada da caixa postal do seu provedor. Isso dá espaço para você de fato aplicar um cronograma de retenção na conta ativa — apagando o que passou da janela justificada — sem perder o registro por baixo, porque o registro já vive em um lugar que você controla, em um formato que qualquer cliente abre. Os backups manuais são gratuitos e ilimitados; backups agendados, que mantêm o arquivo em dia automaticamente, são um recurso premium de $4/mês ou $25/ano, com 14 dias de teste no plano anual.

Leitura relacionada: como apagar milhares de e-mails antigos com segurança, arquivamento de e-mail para freelancers e como manter os e-mails depois de apagá-los do servidor.