Introdução: sair não significa desaparecer
Cancelou a sua subscrição de telecomunicações há quatro anos. Continua a receber, duas vezes por ano, uma oferta «especial antigo cliente» em seu nome, para a sua antiga morada postal, com um número de processo que ainda existe. Encerrou a sua conta numa loja online: três meses depois, um e-mail anuncia-lhe que «o seu carrinho está à sua espera». Cancelou a subscrição de uma newsletter: já não recebe nada desse remetente, mas o seu endereço passou a constar de uma lista de supressão — uma lista que, por construção, contém o seu e-mail para toda a eternidade.
Não há necessariamente má-fé nisto. Uma empresa tem obrigações contabilísticas, fiscais, de garantia e de prova em caso de litígio. A lei impõe-lhe que guarde certos registos. Mas entre «aquilo que a lei obriga a conservar» e «aquilo que de facto fica nas bases de dados porque ninguém programou a purga», a diferença é considerável.
O RGPD estabelece dois princípios que se aplicam plenamente no momento da saída: a limitação da conservação (artigo 5.º-1-e: os dados só são guardados pelo tempo necessário à finalidade) e o direito ao apagamento (artigo 17.º, popularizado sob o nome de «direito ao esquecimento»). A CNIL publicou referenciais setoriais — gestão comercial, gestão de dívidas em atraso, telecomunicações — que quantificam com precisão os prazos admitidos.
Este guia explica o que subsiste realmente após um cancelamento, durante quanto tempo, que categorias de dados pode exigir ver suprimidas de imediato, e como redigir um pedido que não acabe num ticket encerrado sem resposta.
Parte 1 — As três vidas de um processo de cliente
Para compreender o que lhe acontece, é preciso conhecer o vocabulário interno das bases de dados de clientes. Um processo não passa de «ativo» a «suprimido». Atravessa pelo menos três estados.
A base ativa
Enquanto a relação existe, está tudo lá: identidade, contactos, histórico de encomendas, trocas com o serviço de apoio ao cliente, meios de pagamento parcialmente mascarados, dados de ligação, por vezes gravações de chamadas. É a configuração normal.
O arquivo intermédio
É o estado que mais surpreende. Depois do fim do contrato, o processo não é destruído: é retirado da base ativa e colocado num espaço de acesso restrito, consultável apenas em caso de necessidade concreta (litígio, inspeção fiscal, reclamação). A CNIL admite explicitamente este mecanismo. Em termos práticos, os seus dados continuam a existir, mas já ninguém deve poder consultá-los para fins de marketing.
Na prática, a fronteira é porosa. Muitas empresas conservam um «identificador de cliente» reativável, precisamente para o poderem reconhecer se voltar — e para lhe enviarem ofertas de recuperação.
A supressão definitiva (ou a anonimização)
Último estado: ou os dados desaparecem, ou são anonimizados — isto é, transformados de forma irreversível para alimentar estatísticas sem permitir reidentificá-lo. Atenção ao vocabulário: a pseudonimização (substituir o seu nome por um código) não é uma anonimização. Dados pseudonimizados continuam a ser dados pessoais na aceção do RGPD.
Retenha a pergunta que resolve tudo: «Com as tabelas conservadas, é possível reconstituir quem eu era?» Se sim, continuam a ser os meus dados, e os meus direitos aplicam-se.
Parte 2 — Durante quanto tempo, legalmente?
Eis os prazos de referência mais frequentemente encontrados, tal como decorrem dos textos franceses e dos referenciais da CNIL. Não são caprichos das empresas: têm uma base legal.
| Dado conservado | Prazo habitual | Fundamento |
|---|---|---|
| Faturas e documentos contabilísticos | 10 anos | Código Comercial (art. L123-22) |
| Contratos e prova de execução | 5 anos após o fim do contrato | Prescrição civil (art. 2224 do Código Civil) |
| Dados de prospeção (antigo cliente) | 3 anos após o último contacto | Referencial CNIL de gestão comercial |
| Dados de ligação / tráfego (operadores) | 1 ano | Código dos Correios e Comunicações Eletrónicas |
| Documento de identificação recolhido para verificação | Duração da verificação, depois supressão | Doutrina da CNIL |
| Dados bancários (IBAN) | Até ao último pagamento + prazos de contestação | Referencial CNIL |
| Gravação de chamada para o apoio ao cliente | 6 meses no máximo, em geral | Recomendação da CNIL |
Daqui resultam duas lições práticas.
Primeira lição: o famoso prazo de «10 anos» que alguns operadores de atendimento invocam para recusar tudo diz respeito apenas aos documentos contabilísticos. Não justifica guardar o seu endereço de e-mail numa lista de marketing, nem conservar a fotografia do seu cartão de cidadão, nem armazenar as suas trocas com o apoio ao cliente.
Segunda lição: o limite dos três anos após o último contacto para a prospeção é o mais útil de conhecer. Passado esse prazo, uma empresa já não tem fundamento para o abordar comercialmente. Uma «oferta especial antigo cliente» quatro anos depois do cancelamento está, portanto, em princípio, fora do enquadramento legal.
Parte 3 — Cancelar como deve ser: o método em seis tempos
Um cancelamento bem-sucedido do ponto de vista da privacidade não se joga no momento do clique final, mas nas semanas que o envolvem.
1. Recupere antes de sair
Exerça o seu direito de acesso (artigo 15.º do RGPD) antes do encerramento, enquanto ainda tem uma conta funcional. Obterá a lista do que está na posse da empresa — e, portanto, a matéria do seu futuro pedido de apagamento. Após o encerramento, o exercício continua possível mas torna-se muito mais pesado: é frequente ter de comprovar a identidade por carta.
2. Neutralize os meios de pagamento
Elimine você mesmo o IBAN e os cartões registados antes de encerrar. Depois, do lado do banco, revogue a autorização de débito direto SEPA: o cancelamento de um contrato não revoga automaticamente a autorização de debitar. É a causa mais frequente dos débitos «fantasma» vários meses depois de uma saída.
3. Desative antes de eliminar as ligações a terceiros
Se se inscreveu através de um botão «continuar com…», a conta sobrevive por vezes numa forma órfã. Desative a autorização junto do fornecedor de identidade e só depois elimine a conta do lado do serviço. Pela ordem inversa, deixa um registo que já não poderá administrar.
4. Esvazie o conteúdo armazenado
Fotografias, documentos, mensagens, avaliações publicadas, listas de desejos: elimine-os um a um antes do encerramento. Muitas plataformas dissociam a eliminação da conta da dos conteúdos publicados, que permanecem online sob um pseudónimo ou a menção «utilizador eliminado».
5. Envie um pedido de apagamento por escrito
É a etapa que quase ninguém cumpre, e é a única que deixa um registo invocável. Veja o modelo na parte 5.
6. Verifique três meses depois
Anote a data na agenda. Se chegar um e-mail comercial, tem uma prova datada de um incumprimento — e um processo sólido para uma queixa à CNIL.
Para manter este historial sem depender da memória, basta um caderno de notas de capa dura: uma página por serviço, a data do cancelamento, o canal utilizado, a data prevista para o seguimento. O papel tem aqui uma vantagem real — não sincroniza nada para uma nuvem.
Parte 4 — O caso particular das newsletters
O link «cancelar subscrição» funciona, mas não como imagina.
Quando clica, o seu endereço não é apagado: é transferido para uma lista de supressão (suppression list), um ficheiro cuja finalidade é precisamente impedir qualquer novo envio. É uma das raras situações em que a conservação do seu endereço o protege. Eliminar simplesmente o registo criaria um risco de reinscrição acidental na próxima importação de ficheiros.
O que é, em contrapartida, contestável:
- Os píxeis de rastreio. A maioria das newsletters contém uma imagem invisível que assinala a abertura, a hora, o cliente de correio e uma aproximação geográfica. Desative o carregamento automático das imagens remotas na sua aplicação de e-mail: é o ajuste mais rentável de todo este artigo.
- Os links rastreados. Cada link passa por um redirecionador que registra o seu clique antes de o enviar para o destino. Nada o obriga a clicar: copie o domínio final e escreva-o.
- A revenda ou a partilha com «parceiros». Verifique a menção no momento da inscrição. Uma vez que o endereço saiu, está fora do seu alcance.
A técnica do endereço descartável
A verdadeira defesa está a montante. Crie aliases: um endereço diferente por serviço, todos redirecionados para a sua caixa principal. Vantagens imediatas:
- Sabe quem deixou fugir o seu endereço quando um spam chega a um alias específico.
- Corta um alias sem negociar com ninguém — o cancelamento torna-se unilateral.
- Nunca dá o seu identificador principal, muitas vezes construído a partir do seu nome.
O mesmo raciocínio vale para o telefone. Dar um número secundário para entregas, assistência pós-venda e inscrições evita que a sua linha principal se torne, como passou a ser hábito, o seu identificador nacional de facto. Um envio de SMS anónimo resolve, aliás, as situações em que é preciso escrever uma única vez, sem abrir um canal permanente até si.
Parte 5 — Redigir um pedido de apagamento que dê resultado
Os pedidos recusados são-no quase sempre pela mesma razão: são vagos. «Apaguem tudo» colide imediatamente com a obrigação contabilística, e o processo é encerrado. Um pedido segmentado, por seu lado, é muito difícil de rejeitar.
Modelo a adaptar
Assunto: Pedido de apagamento — artigo 17.º do RGPD — processo n.º [referência]
Exmos. Senhores,
Em seguimento do cancelamento do meu contrato em [data], solicito que procedam ao apagamento dos seguintes dados, cuja conservação já não é necessária às finalidades iniciais:
- os meus contactos constantes dos seus ficheiros de prospeção comercial, bem como a sua eventual transmissão a terceiros;
- as cópias de documentos de identificação e comprovativos de residência entregues no momento da adesão;
- as gravações telefónicas das minhas trocas com o seu serviço de apoio ao cliente;
- os meus dados bancários, tendo o último pagamento ocorrido em [data];
- a minha conta online e os conteúdos a ela associados.
Tomo nota de que os documentos contabilísticos estão sujeitos a uma obrigação legal de conservação. O meu pedido não incide sobre esses.
Solicito igualmente que me indiquem, em conformidade com o artigo 19.º do RGPD, os destinatários a quem os meus dados foram comunicados.
Recordo o prazo de um mês previsto no artigo 12.º-3 do RGPD.
Envie-o ao encarregado da proteção de dados (DPO) quando exista — a maioria das grandes empresas publica o seu contacto na política de privacidade — e guarde um comprovativo de envio. Para os casos sensíveis, uma carta registada continua a ser a prova mais sólida: um pequeno lote de envelopes com janela e um bloco de papel decente tornam o exercício menos penoso do que parece.
Se nada acontecer
Passado um mês sem resposta satisfatória, pode apresentar queixa à CNIL online. A queixa é gratuita, preenche-se em quinze minutos e exige apenas: a identidade da entidade, a cópia do seu pedido inicial, a prova do envio e a ausência ou insuficiência de resposta. É precisamente por isso que a etapa 5 da parte 3 conta tanto.
Parte 6 — Os pontos cegos que se esquecem sistematicamente
Mesmo um cancelamento exemplar deixa resíduos noutros lugares além da empresa em questão.
- Os corretores de dados. O seu processo pode ter sido enriquecido e depois partilhado com agregadores. O artigo 19.º do RGPD dá-lhe o direito de conhecer os destinatários: use-o, é a única forma de subir a cadeia.
- Os ficheiros de incidentes. Em caso de não pagamento, pode constar de um ficheiro interno, ou até dos ficheiros do Banco de França (FICP, FCC). Estes têm os seus próprios prazos e o seu próprio procedimento de eliminação após regularização.
- As cópias de segurança. Uma supressão na base de dados não apaga os conjuntos de backup, que funcionam em ciclos de várias semanas a vários meses. Isto é lícito, desde que essas cópias não sejam reexploradas.
- O seu próprio dispositivo. Palavras-passe guardadas, faturas descarregadas, cookies, aplicações ainda instaladas. A limpeza local faz parte do cancelamento. Para os documentos em papel acumulados (contratos, extratos, cartas de cancelamento), um destruidor de documentos de corte cruzado vale mais do que um saco do lixo: as faturas contêm nome, morada, referência de cliente e às vezes IBAN parcial.
- Os objetos devolvidos ou revendidos. Router, descodificador, relógio inteligente, altifalante: reponha a configuração de fábrica antes da devolução e retire o aparelho da sua conta online. Um estojo de arrumação antiestático para o material a devolver evita, além disso, litígios sobre o estado do produto.
Conclusão: cancelar é um gesto de privacidade
Trata-se o cancelamento como uma formalidade administrativa — um formulário a preencher, uma poupança mensal a conseguir. É, na verdade, um dos raros momentos em que dispõe de uma verdadeira alavanca: já não tem nada a esperar da empresa, logo nada a perder ao exigir a aplicação da lei.
Bastam três reflexos para transformar o hábito:
- Pedir os seus dados antes de sair, nunca depois.
- Escrever um pedido de apagamento segmentado, que distinga a obrigação legal do conforto comercial.
- Verificar três meses depois e apresentar queixa à CNIL se o compromisso não for cumprido.
E a montante, a melhor decisão continua a ser esta: não dar um ponto de contacto permanente quando uma relação temporária é suficiente. Um alias, um número secundário, uma mensagem pontual sem canal de retorno — outras tantas maneiras de tornar o futuro cancelamento muito mais simples, porque haverá simplesmente menos para cancelar.
Para saber mais
- CNIL — fichas «Durées de conservation», «Droit à l'effacement» e referenciais setoriais (cnil.fr)
- Regulamento (UE) 2016/679 (RGPD) — artigos 5.º, 15.º, 17.º, 19.º e 21.º
- Loi Informatique et Libertés de 6 de janeiro de 1978, na versão alterada
- Código Comercial, artigo L123-22 (conservação dos documentos contabilísticos)
- Banco de França — notas FICP e FCC, procedimentos de eliminação do registo
