Apagar ou Guardar? A Política de Retenção de Notas Fiscais que Evita Multas e Quebra de LGPD

Não apague notas fiscais sem política formal. Em geral, a empresa precisa manter documentos fiscais por prazos legais que giram em torno de 5 anos ou mais, conforme a natureza da obrigação e do risco probatório. A saída correta não é escolher entre reter tudo ou deletar tudo, mas aplicar retenção por tipo documental, bloqueio ou pseudonimização de dados pessoais quando cabível e expurgo auditável ao fim do prazo.

Imagine o cenário: chega uma autuação pedindo NF-e, NFS-e ou CT-e de cinco anos atrás e o backup foi eliminado por uma política genérica de TI. Ou então um titular pede eliminação de dados pessoais e sua empresa descobre que não consegue isolar o dado sem apagar o documento fiscal inteiro. Nos dois casos, o problema não é apenas tecnologia: é governança de retenção mal desenhada.

Na prática, multas, glosas, perda de prova em litígios e desgaste com auditorias costumam surgir menos por falta de sistema e mais por falta de critério documentado. Para controllers, CFOs, compliance, fiscal, contabilidade e TI, a pergunta certa não é guardar ou apagar, mas o que guardar, por quanto tempo, com qual base legal, com qual proteção e com qual trilha de auditoria.

Como ponto de partida, a maior parte das empresas estrutura a política olhando para prescrição e decadência tributária, obrigações acessórias, suportes de folha e previdência, documentos que sustentam lançamentos contábeis e materiais úteis para defesa em litígios. O erro comum é usar um prazo único para tudo.

Em linguagem prática: retenção mínima obrigatória não é a mesma coisa que retenção recomendada. O mínimo legal evita infração básica; a retenção ampliada e justificada protege a empresa em auditorias, disputas comerciais, revisões de crédito tributário e questionamentos de stakeholders.

A LGPD não exige que a empresa apague documentos que precisa manter para cumprir obrigação legal ou regulatória. Em outras palavras, se a nota fiscal ou o documento vinculado deve ser preservado por obrigação fiscal, contábil, trabalhista ou probatória, essa base legal prevalece sobre o pedido simples de eliminação.

O ponto crítico é outro: mesmo quando a retenção do documento é legítima, a empresa deve reduzir exposição indevida. É aí que entram medidas como bloqueio de acesso, segregação por perfil, pseudonimização, anonimização de campos secundários quando possível e isolamento do documento em fluxo de acesso restrito.

Uma política de retenção sólida não nasce apenas no fiscal nem apenas em TI. Ela precisa de matriz de responsabilidades. Em empresas médias e grandes, o desenho maduro normalmente envolve fiscal e contabilidade definindo criticidade documental, jurídico e compliance validando base legal e exceções, e TI e segurança implementando controles técnicos e evidências de execução.

Se a política depende de planilha, pasta compartilhada e backup genérico, ela não é executável em escala. Para funcionar de verdade, o repositório de notas precisa suportar retenção configurável, imutabilidade, expurgo programado, logs auditáveis, criptografia, recuperação e algum nível de tratamento seletivo de dados pessoais.