LGPD em verificação por SMS: o que guardar e por quanto tempo

Verificação por SMS mexe com dado pessoal por definição: número de telefone identifica pessoa. Se você guarda esses números, guarda logs de quem verificou o quê, ou registra IP de quem acessou, a LGPD se aplica ao seu sistema. Este texto trata do que isso significa na prática para quem constrói a integração. Não é orientação jurídica — para o caso concreto, fale com quem responde por isso na sua empresa.

O que conta como dado pessoal aqui

Mais coisas do que parece:

• Número de telefone — identifica pessoa, mesmo sem nome junto.
• Endereço IP — a autoridade brasileira trata como dado pessoal na maioria dos contextos.
• User-agent com identificadores — sozinho é fraco, combinado com IP e horário deixa de ser.
• Logs de verificação — quem tentou verificar o quê e quando é comportamento associado a pessoa.

O erro comum é achar que só o nome importa. Um banco de dados com número, IP e data já é uma base de dados pessoais.

Base legal antes de coleta

A LGPD exige uma base legal para cada tratamento. Para verificação por SMS, as duas que costumam servir:

Execução de contrato (art. 7º, V) — o usuário pediu para criar conta, verificar o telefone faz parte de entregar isso. É a base mais natural para o número em si.

Legítimo interesse (art. 7º, IX) — costuma cobrir logs antifraude, desde que você consiga justificar a necessidade e o volume. Legítimo interesse não é curinga: pede avaliação registrada e não vale para tudo.

Consentimento é a base mais frágil aqui, porque pode ser retirado a qualquer momento — e você não vai querer apagar um log antifraude porque alguém clicou em revogar.

Minimização: o princípio que mais economiza problema

O artigo 6º manda coletar só o necessário. Na prática:

Guarde o hash, não o número. Se você só precisa saber "este telefone já foi verificado", guarde um hash com sal. Comparação continua funcionando, e um vazamento não expõe telefone nenhum.

Não guarde o corpo do SMS. O código de verificação não serve para nada depois de usado. Guardar a mensagem inteira é guardar dado sem finalidade — e finalidade é requisito, não detalhe.

Trunque o IP se só quer estatística. Para contar visitantes, os dois primeiros octetos bastam. Para investigar fraude, talvez precise inteiro — mas aí a finalidade é outra e o prazo de retenção também.

Retenção: o item que quase todo mundo esquece

Dado pessoal não pode ficar guardado para sempre "porque um dia pode ser útil". Isso viola finalidade e necessidade ao mesmo tempo.

Defina um prazo por tipo de dado e apague de verdade quando vencer:

Dado	Prazo típico	Por quê
Corpo do SMS	horas	perde utilidade assim que o código é usado
Número verificado	enquanto a conta existir	é o vínculo com o usuário
Log de acesso	6 meses (Marco Civil)	o mínimo legal para provedor de aplicação
Métrica de visita	agregue e descarte o bruto	estatística não precisa de identificação

Um cron que apaga o vencido é umas dez linhas. Sem ele, o prazo que você escreveu na política de privacidade é ficção — e política que descreve o que o sistema não faz é pior do que não ter política, porque documenta o descumprimento.

O que precisa estar na política de privacidade

Se o seu sistema guarda IP de visitante, isso precisa estar escrito. Se guarda número verificado, também. A política precisa dizer, para cada categoria: o que você coleta, por que, por quanto tempo e com quem compartilha.

O compartilhamento merece atenção em verificação por SMS: o número passa por um fornecedor de numeração e por operadoras. Isso é transferência a terceiros e precisa aparecer na política. Se algum fornecedor está fora do Brasil, é transferência internacional, com requisitos próprios.

Direitos do titular

A pessoa pode pedir acesso, correção e eliminação. Na prática isso significa ter, antes do primeiro pedido chegar:

• uma forma de encontrar todos os registros de um titular — o que é difícil se o número está espalhado em log não indexado;
• uma forma de exportar em formato legível;
• uma forma de apagar sem quebrar integridade referencial.

Quem pensa nisso no dia do primeiro pedido descobre que apagar um usuário quebra cinco tabelas. Pensar antes custa uma tarde.

Do lado de quem usa número virtual

Se você usa números virtuais para testar seu próprio fluxo de cadastro, o número não é de uma pessoa real — não há titular, e a LGPD não se aplica àquele dado específico. É um dos motivos pelos quais testar cadastro com número descartável é mais limpo do que usar o telefone de alguém da equipe.

O que continua se aplicando é tudo que o seu sistema guarda sobre os usuários reais que passarem pelo mesmo fluxo depois.

Checklist prático

• Base legal definida e registrada para cada tratamento
• Número armazenado como hash quando dá
• Corpo do SMS descartado após o uso
• Prazo de retenção escrito e implementado em código
• Política de privacidade descrevendo o que o sistema faz de verdade
• Fornecedores e transferência internacional declarados
• Caminho pronto para atender pedido de acesso e eliminação

O item que mais falha na auditoria é o terceiro da lista de baixo para cima: a política diz um prazo, o banco guarda para sempre.

Para os testes do próprio cadastro, os países disponíveis estão em números virtuais.