Multas do GDPR chegam a €6,11 bilhões — "guardar tudo para sempre" é um risco de conformidade?

Em março de 2026, as multas do RGPD registradas na UE somavam cerca de €6.11 bilhões, referentes a 2.685 multas com valor e data conhecidos, segundo o relatório CMS GDPR Enforcement Tracker 2025/2026. O relatório registra 3.062 casos ao incluir entradas com informações incompletas. Multas individuais chegam a €1.2 bilhão. Independentemente de como sua organização avaliava os riscos quando o RGPD surgiu em 2018, oito anos depois as sanções já não são teóricas: representam um custo documentado para empresas que tratam dados de forma inadequada.

A maioria dos conselhos sobre retenção de e-mail se concentra no modo de falha errado. Eles dizem por quanto tempo guardar cada categoria de e-mail por conformidade — sete anos de registros financeiros, dois anos de chamados de suporte —, como se o risco fosse sempre apagar algo cedo demais. Esse risco é real. Mas os órgãos reguladores estão cada vez mais claros de que o erro oposto, guardar tudo indefinidamente porque apagar qualquer coisa parece arriscado, é uma violação por si só.

O princípio que a maioria das políticas de retenção pula

O GDPR não entrega um prazo fixo de retenção para e-mail, e é justamente essa ambiguidade que faz tanta organização recorrer ao "nunca apague nada, por via das dúvidas". Mas o Artigo 5(1)(e), o princípio da limitação de armazenamento, exige que os dados pessoais sejam guardados "por não mais tempo do que o necessário" para as finalidades para as quais foram coletados — e o Artigo 5(1)(c), a minimização de dados, está logo ao lado. A retenção indefinida não é um padrão seguro sob nenhum dos dois princípios. É justamente aquilo que eles foram escritos para proibir.

Na prática, isso significa que uma organização precisa conseguir responder, para cada categoria de e-mail que guarda: por que isso está sendo mantido e por quanto tempo mais. "Podemos precisar disso um dia" não é uma resposta que os reguladores aceitam, por mais compreensível que seja o instinto por trás dela.

Os reguladores agora querem prova, não um documento de política

A outra mudança que vale notar: uma política de retenção escrita, guardada em uma pasta de conformidade, já não satisfaz sozinha as expectativas da fiscalização. O que os reguladores pedem é evidência auditável de que a política é de fato cumprida — fluxos de exclusão documentados, cronogramas de retenção aplicados no nível do servidor em vez de deixados ao critério de cada funcionário, e procedimentos de retenção legal que corretamente suspendam a limpeza de rotina quando um litígio é razoavelmente previsível.

Isso também aparece em fiscalizações vizinhas. A CNIL francesa e o Garante italiano publicaram orientações formais em abril de 2026 que tratam a caixa de entrada como uma extensão da vida privada — em geral exigem consentimento para pixels de rastreamento, com exceções e disposições transitórias definidas. Confira as regras do regulador competente para o uso específico. É um mecanismo diferente do da fiscalização de retenção, mas a postura de fundo é a mesma: os reguladores estão olhando especificamente para o que as empresas fazem com o conteúdo do e-mail, e não apenas para a existência de um documento de política.

Um cronograma de retenção que se sustenta

Nada disso exige ferramentas exóticas. Uma estrutura defensável tem um número pequeno de categorias, cada uma com um motivo documentado e um prazo:

Correspondência operacional rotineira — coordenação interna, agendamentos, o vaivém do dia a dia, sem significado legal ou financeiro próprio. Costuma ser guardada por cerca de um ano e depois eliminada.

Correspondência de atendimento ao cliente — em geral guardada por mais tempo, muitas vezes dois anos, para cobrir os prazos de garantia e de contestação.

Registros financeiros e fiscais — regidos pelo que as regras fiscais e de auditoria da sua jurisdição exigirem, frequentemente sete anos.

Qualquer coisa sob bloqueio legal ativo — guardada independentemente da categoria até o bloqueio ser levantado, o que se sobrepõe a qualquer outro cronograma.

Os números exatos variam por setor e por país — o GDPR não os define; quem define é o seu regulador ou a sua própria justificativa documentada. O que importa é que cada categoria tenha um número atrelado a ela, e que esse número seja de fato cumprido, e não apenas uma boa intenção.

Onde um arquivo pessoal entra nisso

Um arquivo local muda onde um registro fica, mas não elimina obrigações de retenção. Para e-mails empresariais com dados pessoais, defina por que cada categoria precisa ser retida, quem pode acessar e quando deve ser excluída. Aplique a política ao e-mail do servidor, arquivos locais e cópias de backup. A retenção contínua precisa de uma finalidade válida ou obrigação legal; tirar e-mails do servidor não cria nenhuma delas. Consulte as orientações de retenção da CNIL.

O MailVault arquiva cada pasta da sua conta IMAP ou OAuth como arquivos .eml individuais no seu próprio disco, sem depender em nada da caixa postal do seu provedor. Use a cópia local apenas para registros que você tem direito de manter e inclua-a nos controles de acesso e no cronograma de exclusão. O MailVault não oferece políticas de retenção aplicadas centralmente, retenções legais ou certificação de conformidade. Os backups manuais são gratuitos e ilimitados; backups agendados, que mantêm o arquivo em dia automaticamente, são um recurso premium de $4/mês ou $25/ano, com 14 dias de teste no plano anual. Estas instruções sobre a estrutura dos arquivos se referem ao formato padrão Maildir. Configurações → Armazenamento também oferece armazenamento JMAP, que mantém os bytes originais das mensagens com registros JSON e elimina mensagens idênticas duplicadas.

Leitura relacionada: como apagar milhares de e-mails antigos com segurança, arquivamento de e-mail para freelancers e como manter os e-mails depois de apagá-los do servidor.