Por Ricardo Maravalhas (*)
A transformação digital fez dos dados pessoais um dos ativos mais valiosos das organizações. Ao mesmo tempo, nunca foi tão caro perdê-los. Segundo o relatório Cost of a Data Breach 2025, da IBM, o custo médio global de um vazamento de dados alcançou US$ 4,44 milhões. No Brasil, esse valor chegou a R$ 7,19 milhões em 2025, um aumento de 6,5% em relação ao ano anterior. Enquanto empresas investem bilhões em inteligência artificial, ferramentas de monitoramento e soluções sofisticadas de cibersegurança, uma pergunta continua sendo feita com pouca frequência: a organização realmente precisava armazenar todos os dados que acabaram expostos?
O debate sobre proteção de dados costuma se concentrar em temas como criptografia, autenticação multifator, resposta a incidentes e ataques cibernéticos. Todos são fundamentais. No entanto, existe um princípio previsto na Lei Geral de Proteção de Dados (LGPD) que, embora seja um dos mais simples de compreender, continua sendo um dos menos observados na prática: o princípio da necessidade, também conhecido como minimização de dados.
O princípio da necessidade
Sua lógica é direta. Se uma informação não é indispensável para cumprir uma finalidade legítima, ela não deve ser coletada. Se deixou de cumprir essa finalidade, não há justificativa para permanecer armazenada indefinidamente. A legislação brasileira rompeu com uma cultura que predominou durante décadas, segundo a qual guardar o máximo possível de informações era sempre uma vantagem competitiva. Hoje, essa mesma prática pode representar exatamente o contrário: um aumento desnecessário dos riscos financeiros, operacionais e reputacionais.
A facilidade proporcionada pelo armazenamento em nuvem ajudou a consolidar a ideia de que manter grandes volumes de dados praticamente não gera custos. O espaço ficou barato, mas a proteção dessas informações nunca foi tão cara. Cada dado pessoal armazenado exige controles de segurança, políticas de retenção, mecanismos de governança, atendimento aos direitos dos titulares e monitoramento constante. Em outras palavras, o custo deixou de estar na infraestrutura de armazenamento e passou para a gestão do risco.
Custos e riscos cibernéticos
Os números ajudam a dimensionar esse cenário. O mesmo relatório da IBM mostra que empresas que utilizam inteligência artificial e automação em suas operações de segurança conseguem reduzir, em média, US$ 1,9 milhão no custo de um incidente de vazamento. No Brasil, os setores de Saúde, Finanças e Serviços registraram alguns dos maiores prejuízos decorrentes de violações de dados, justamente porque lidam diariamente com grandes volumes de informações pessoais e sensíveis. Ainda segundo o levantamento, ataques de phishing continuam sendo a principal porta de entrada para incidentes no país, respondendo por 18% das violações analisadas, seguidos pelo comprometimento de terceiros (15%) e pela exploração de vulnerabilidades (13%).
Infelizmente, muitas empresas ainda confundem maturidade digital com capacidade de acumular dados. Formulários continuam solicitando informações desnecessárias. Cadastros permanecem ativos anos após o encerramento da relação com clientes. Currículos são armazenados indefinidamente. Bases de dados duplicadas coexistem em diferentes departamentos, muitas vezes sem qualquer controle sobre quem acessa essas informações ou por quanto tempo elas permanecerão disponíveis.
Superfície de ataque ampliada
Cada informação armazenada representa uma responsabilidade permanente. Em caso de incidente, pouco importa se determinado dado estava esquecido em um servidor ou se não era utilizado havia anos. Se ele permanecia sob a guarda da organização, cabia a ela protegê-lo. Quanto maior o volume de informações armazenadas, maior também a superfície de ataque, mais complexa se torna a governança e maiores tendem a ser os impactos financeiros, regulatórios e reputacionais decorrentes de um vazamento.
Essa cultura do acúmulo se fortaleceu ainda mais com o avanço da inteligência artificial. Consolidou-se a percepção de que quanto maior o volume de dados disponível, melhores serão os resultados obtidos pelos modelos. Na prática, porém, a qualidade costuma ser muito mais importante do que a quantidade. Informações desatualizadas, redundantes ou sem contexto adequado podem comprometer análises, ampliar vieses e dificultar decisões estratégicas. Para a inteligência artificial, assim como para a proteção de dados, bases organizadas e relevantes tendem a produzir resultados muito superiores a enormes repositórios de informações sem critério.
A minimização como estratégia
Sob essa perspectiva, a minimização de dados deixa de ser apenas um princípio jurídico para se tornar uma estratégia de negócios. Empresas que revisam seus formulários, eliminam campos desnecessários, definem políticas de retenção, descartam informações cuja finalidade se esgotou e conhecem efetivamente seus ativos informacionais reduzem custos operacionais, simplificam processos de conformidade, facilitam auditorias e diminuem significativamente os impactos financeiros e reputacionais de um eventual vazamento.
A própria Agência Nacional de Proteção de Dados (ANPD) tem reforçado, em seus guias orientativos, que o tratamento de dados deve observar os princípios da necessidade, da finalidade e da adequação. Em outras palavras, a conformidade com a LGPD não depende apenas da adoção de tecnologias sofisticadas, mas também de decisões conscientes sobre quais informações realmente precisam ser coletadas e por quanto tempo devem permanecer armazenadas.
Diante de um cenário em que os ataques cibernéticos se tornam cada vez mais frequentes e sofisticados, todo cuidado é pouco. A proteção de dados deixou de ser uma preocupação restrita às áreas de tecnologia e passou a integrar a estratégia das organizações, influenciando sua reputação, sua sustentabilidade e a confiança de clientes, parceiros e investidores. Nesse contexto, a minimização de dados merece ocupar um lugar de destaque.
Afinal, antes de investir milhões para proteger enormes bases de informações, talvez a pergunta mais importante seja outra: todos esses dados precisam mesmo estar ali? Quando a resposta for negativa, eliminar o excesso deixa de ser apenas uma medida de conformidade com a LGPD e passa a ser uma das formas mais eficazes de reduzir riscos em um mundo cada vez mais digital. Mais do que proteger melhor os dados, é preciso aprender a coletar apenas aqueles que realmente fazem sentido para o negócio e para os titulares. Em tempos de ameaças constantes, essa pode ser a estratégia mais inteligente, e também a mais segura.
(*) é fundador da “DPOnet” democratiza a Lei geral de proteção de dados (LGPD) para mais de 5.000 clientes. A plataforma Software as a service (SaaS) automatiza a governança com serviço de Data protection officer (DPO) integrado. A solução utiliza Business process outsourcing (BPO) e a “DPO Artificial Intelligence” para simplificar a segurança e a privacidade digital.
