Legal Hold e congelamento de dados

1) O que é Legal Hold e o que é necessário

Legal Hold (Moratória Legal de Remoção/Alteração de Dados) é um «congelamento» controlado de dados específicos potencialmente importantes para investigação, auditoria, reclamação, processo judicial ou regulatório. O objectivo é manter a integridade de provas: impedir a destruição, modificação ou limpeza automática dos horários de retenção enquanto houver risco legal.

• Oportunidade: hold é introduzido sem atrasos após «expectativa razoável» de disputa/verificação.
• Precisão: apenas conjuntos relevantes (data minimization) são congelados.
• Observabilidade e audibilidade: todas as ações são logadas e disponíveis para verificação.
• Reversibilidade: Há um procedimento claro para retirar hold e voltar aos gráficos normais de remoção.

2) Quando você digita Legal Hold: desencadeadores típicos

Aviso de reclamação, queixa do regulador, providências de supervisão.
Investigação interna (complacência/segurança/finanças/AML).
eDiscovery/solicitações de consultores externos.
Incidentes de segurança (fuga, fraude).
Sinais das linhas de proteção: Legal, DPO, CISCO, Internal Auditoria.

3) Volume de congelamento: fontes de dados

Armazéns operacionais: BD transações, logs de pagamentos, KYC/KYB, sinais AML.
Comunicações corporativas, e-mails, bate-papos, gravações de call, tíquetes.
Repositórios de arquivos e datalees DWH: camadas crus e derivadas.
Backaps e arquivos: snapshots, armazenamento WORM, S3 Object Lock/imutability.
Processadores de terceiros: fornecedores KYC, PSP, plataformas de marketing, nuvens.

O congelamento vale para cópias e derivados (ETL/vítores/cajas).

4) Papéis e Responsabilidades (RACI)

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

5) Processo de passagem (SOP)

1. Iniciação: O Legal registra um caso, cria um «scope»: tópicos, datas, sujeitos, sistemas.
2. Avaliação e mapeamento: Data Owners + Ops legais criam uma lista de fontes/tabelas/bacapes.

• Incluir tags/regras hold no DLP/EDRM/Arquivo.
• Bloquear remoção automática/anonimato em esquemas afetados.
• Para bacapes - Aplicar imutability/WORM; fixar a retenção override.
• 4. Notificações (Legal Hold Notice): para os destinatários (custodianos) - para quem é obrigado a salvar e não remover.
• 5. Controle de execução: confirmação, lembretes, treinamento, monitoramento de violações.
• 6. Revisão periódica: mínimo mensal - Se a hold é relevante, se a cobertura é excessiva.
• 7. Levantamento hold: solução por escrito Legal; um cheque-folha de recuperação de políticos normais.
• 8. Defensive-disposição: reativação de remoções programadas e anonimato, fixação em revistas.

6) Políticas de reticência e «congelamento»: como combinam

Regra: Hold suspende os prazos de retenção adequados apenas para os objetos afetados.
Conflito com o Private by Design: espalhe o scope minimamente; não bloquear conjuntos «não relevantes».
Granularidade: objeto (ID/sujeito), tabela/partição, espaço/baquete, tipo de documento.

7) Medidas técnicas de controle

Armazéns imutáveis: WORM/S3 Object Lock, Write-Once volumes, sistemas de arquivos de registro.
Controle de integridade: hashtags, cadeias de provas, registro de auditoria (append-only).
Congelamento em BD: bandeiras policy e desencadeadores que proíbem UPDATE/DELETE com as chaves especificadas.
Arquivamento de comunicações: registro automático de e-mails/bate-papos com a API Legal Hold (jornaling, AIP/EDRM).
DLP/EDRM Integração: rótulos «LegalHold=true», proibição de remoção, exportação por mala.
Backups: Casais hold bacaps, com prazo de armazenamento maior, teste de recuperação.
Observabilidade: dashboard hold mala, SLA, erros de aplicação, política à deriva.

8) Pontos de integração (arquitetura forense)

Case Management (Legal): sistema de negócios ↔ catálogo de dados ↔ orquestrador de políticas.
IAM/Secret: Delegar o mínimo de acesso necessário para exportação/visualização.
Data Catalog/Lineage: «pintura» automática de datasets dependentes.
I/CD de configurações de retenção: regras hold - como código (policy-as-código), revezamento/versão.
SIEM/SOAR: alertas sobre tentativas de remoção/modificação sob hold.

9) Conflitos e como resolvê-los

DSAR/direito de remoção vs Legal Hold: a solicitação do sujeito pode ser postergada legalmente se os dados estiverem sujeitos ao cumprimento de obrigações legais; registramos a justificativa e notificamos o sujeito sobre o atraso.
Minimização e proporcionalidade: reveja scope; separa os dados pessoais não relacionados.
Transferências Cruzborder: Se mantivermos cópias em outras jurisdições, verifiquemos os fundamentos legais e os mecanismos de transferência (SCC/BCR/registos locais).
Criptografia e chaves: não é possível contornar hold destruindo chaves; Rotações KMS são documentadas.

10) Contexto regulatório (para fins de referência)

eDiscovery/padrões de processo civil (por exemplo, FRCP 37 (e)) - sanções por perda de ESI.
GDPR/leis locais de dados: legalidade de armazenamento, notificação, limitação de metas.
Financeira/AML: Os prazos de armazenamento exigidos (transações, KYC) podem ser mais longos do que os normais.

(As normas atuais são definidas por Legal para sua jurisdição/mercado.)

11) Métricas e SLA

Time-to-Hold: desde o desencadeador até a aplicação em todos os sistemas de destino (alvo: ≤24 h).
Coverage:% dos sistemas confirmados custodianos/sob hold (objetivo: 100%).
Draft/Violations: Tentativas de remoção/edição bloqueadas por políticas.
Scope Creep: Proporção de objetos não essenciais - reduzir a revisão mensal.
Time-to-Release: desde a solução Legal até a retirada completa (meta: ≤48 -72 h).

12) Folha de cheque de lançamento Legal Hold

• Registrar a mala e os fundamentos legais.
• Formar scope (entidades, datas, sistemas, tipos de dados).
• Atualizar mapa de dados e lineage.
• Incluir regras hold em DLP/arquivos/BD/arquivos/backaps.
• Enviar o Legal Hold Notice e as instruções.
• Ativar monitoramento e alertas.
• Fixar bacapes resistentes a falhas (imutability) e testar recuperação.
• Plano de revisão regular e data da próxima revisão.

13) Modelo Legal Hold Notice (breve)

Tema: Legal Hold: obrigação de preservação de dados

Destinatários: [Lista de custodianos/proprietários de dados]

Base: [número da mala/tipo de processo]

O que salvar: [sistemas/pastas/tabelas/caixas de correio/intervalo de datas]

Proibido: remover, alterar, limpar, substituir, criptografar sem concordar

Instruções: onde e como armazenar, tags/rótulos, contato Ops legal

Prazo: até aviso de retirada individual

Confirmação: link/formulário para confirmar leitura e execução

14) Procedimento de remoção Legal Hold (Release)

1. Solução Legal + descrição das causas.
2. Exportação final/consolidação de provas (se necessário).
3. Revogação de notificações, regulação de tempo.
4. Restaurar políticas normais de retenção e anonimato.
5. Relatório de encerramento: O que havia sob hold, quem foi notificado, quais remoções foram retomadas.

15) Erros frequentes e como evitá-los

Scope ímpar → armazenamento em excesso, riscos de privacidade e custos.
A ignorar os bacapes e os cajus, o congelamento incompleto, a vulnerabilidade do caso.
Não há imutabilidade → risco de modificação não autorizada.
Má comunicação com custodianos → fator humano e violações.
A falta de visão regular é «eternamente» holds sem necessidade.

16) Mini-playbook «na terra» (operação)

DBA: aplicar atributos 'legal _ hold = true' nas partituras/chaves afetadas; ativar os triggers de auditório; bloquear alterações no DDL de esquemas.
Armazenamento: transferir baquetes/pastas apropriadas para o modo WORM/Retence Lock; Criar snapshots.
Mail/Chat: incluir registro e exportação sob a mala; proibição purge.
DWH/ETL: marcar tabelas como read-only; congelar a limpeza planeada de partituras históricas.
Backups: réplicas selecionadas com prazo maior; verificação semanal de recuperação.
Monitoring: alertas no Slack/Email sobre qualquer evento DELETE/TTL por scope.

17) Política (amostra de formulação)

A organização introduz Legal Hold imediatamente se houver uma expectativa razoável de disputa/verificação.
O volume hold é determinado pelos princípios de necessidade e proporcionalidade.
Todos os funcionários devem respeitar as notificações e confirmar a execução.
A imutabilidade técnica é garantida por imutabilidade e auditoria-logging.
O Hold é revisto pelo menos 1 vezes a cada 30 dias.
O levantamento hold é feito por escrito e acompanhado de restauração de políticas padrão.

18) Seções wiki associadas

Private by Design e minimização de dados

Gráficos de armazenamento e remoção de dados

Remover e anónima dados

Legal/Regulatory Requests & eDiscovery

Gestão de Incidentes e Forensica

DLP/EDRM e arquivamento de comunicações

Resultado

O Legal Hold é um «congelamento» controlado, medido e auditado de dados rigorosamente definidos. Um programa forte baseia-se em (1) desencadeador rápido e scope preciso, (2) permanência técnica (WORM, object lock, auditoria), (3) papéis transparentes e SLA, (4) revisão regular e levantamento seguro hold com retoma normal.