Um escritório lida com dados pessoais o dia inteiro: a ficha do cliente, os documentos da parte contrária, o laudo médico de uma ação trabalhista, a lista de contatos que recebe o informativo mensal, o currículo de quem se candidatou à vaga de estagiário. A LGPD para escritórios de advocacia não é um tema de grandes bancas. Ela vale para quem atua sozinho e para quem tem cem advogados, e o volume e a sensibilidade dos dados tornam o assunto mais sério do que em muitos outros negócios.
A boa notícia é que a advocacia já convive com o dever de sigilo, o que dá uma base de cultura de confidencialidade. A Lei Geral de Proteção de Dados, porém, acrescenta obrigações formais: saber quais dados o escritório trata, com que fundamento, com quem compartilha, como protege e como responde quando o titular pergunta.
Este guia percorre as bases legais no trabalho jurídico, os dados sensíveis, o inventário de dados, os contratos com fornecedores, os direitos dos titulares e o tratamento de incidentes, e termina com um roteiro de adequação em oito passos.
O papel do escritório na LGPD
Na maior parte das situações, o escritório decide como e para que os dados são tratados, o que o coloca na posição de controlador. Em alguns contratos, especialmente quando executa tarefas definidas por um cliente empresarial sobre dados desse cliente, pode atuar como operador. Vale analisar caso a caso, porque o papel define as responsabilidades.
Também importa lembrar que o escritório trata dados de pessoas com quem não tem relação nenhuma: partes contrárias, testemunhas, terceiros citados em documentos. Isso exige atenção ao fundamento de cada tratamento.
Bases legais no trabalho jurídico
Todo tratamento de dados precisa de uma base legal. O consentimento é apenas uma delas, e muitas vezes não é a mais adequada. Veja exemplos comuns:
| Situação | Base legal possível | Observação |
|---|---|---|
| Atendimento ao cliente e execução do contrato de honorários | Execução de contrato ou procedimentos preliminares | Inclui o primeiro contato e a análise do caso |
| Dados da parte contrária e de testemunhas num processo | Exercício regular de direitos em processo | Não depende de consentimento do titular |
| Guarda de documentos fiscais e profissionais | Cumprimento de obrigação legal ou regulatória | Defina por quanto tempo guardar |
| Envio de conteúdo informativo a contatos | Consentimento ou legítimo interesse | Ofereça sempre a opção de sair da lista |
| Processo seletivo de estagiários e advogados | Procedimentos preliminares de contrato | Não guarde currículos indefinidamente |
Se o escritório envia informativos, vale ler também o texto sobre newsletter jurídica com ética e LGPD.
Dados sensíveis: cuidado redobrado
A lei dá proteção especial a dados sobre saúde, origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização religiosa, filosófica ou política, vida sexual, dados genéticos e biométricos. Na advocacia, eles aparecem com frequência: atestados e laudos em ações trabalhistas e previdenciárias, informações de saúde em casos de família, dados sindicais em causas coletivas.
As bases legais para dados sensíveis são mais restritas, mas incluem o exercício regular de direitos em processo. O cuidado prático é limitar quem acessa esses documentos, evitar que circulem por e-mail e aplicativos de mensagem sem necessidade e não manter cópias soltas em computadores pessoais.
Inventário de dados: o ponto de partida
Não dá para proteger o que não se conhece. O inventário mapeia cada atividade que envolve dados pessoais. Para cada uma, responda: que dados, de quem, para quê, com que base legal, onde ficam, quem acessa, com quem são compartilhados e por quanto tempo são guardados.
Um exemplo de linha do inventário:
- Atividade: recebimento de contatos pelo formulário do site.
- Dados: nome, telefone, e-mail e resumo do problema.
- Titulares: potenciais clientes.
- Finalidade: avaliar a demanda e retornar o contato.
- Base legal: procedimentos preliminares de contrato.
- Onde ficam: no sistema de gestão do escritório.
- Quem acessa: equipe responsável pelo primeiro atendimento.
- Guarda: prazo definido pelo escritório para contatos que não viraram clientes.
O formulário do site, aliás, é um bom lugar para exibir o aviso de privacidade; veja como estruturá-lo no texto sobre formulário de contato no site do escritório.
Por quanto tempo guardar os dados
Escritórios tendem a guardar tudo para sempre, “por via das dúvidas”. A LGPD pede o contrário: os dados devem ser mantidos enquanto houver finalidade ou obrigação que justifique a guarda. Defina uma tabela de temporalidade simples, por tipo de documento, considerando:
- Os prazos em que o escritório ou o cliente ainda podem precisar dos documentos para se defender ou comprovar o trabalho feito.
- As obrigações fiscais e profissionais que exigem a guarda.
- Os contatos e currículos que não geraram relação nenhuma, que podem ter prazo bem mais curto.
Ao fim do prazo, elimine ou anonimize, e registre que isso foi feito. A tabela deve ser validada pelos sócios, porque envolve avaliação jurídica de risco.
Contratos com fornecedores
Sistema de gestão, e-mail, armazenamento em nuvem, contabilidade, correspondentes, peritos e o fornecedor de publicações tratam dados em nome do escritório. Os contratos com eles devem prever, no mínimo:
- Finalidade limitada ao serviço contratado.
- Medidas de segurança adotadas.
- Regras para uso de subcontratados.
- Aviso rápido ao escritório em caso de incidente.
- Devolução ou eliminação dos dados ao fim do contrato.
- Informação sobre armazenamento fora do país e o mecanismo de transferência usado, como as cláusulas-padrão da ANPD.
Direitos dos titulares
Os titulares podem pedir, entre outras coisas, confirmação de que há tratamento, acesso aos dados, correção, eliminação de dados desnecessários e informações sobre compartilhamento. O escritório precisa de um caminho para receber e responder esses pedidos:
- Um canal conhecido, como um e-mail específico.
- Confirmação da identidade de quem pede.
- Localização dos dados em todos os lugares onde estão.
- Resposta dentro do prazo: para a declaração completa de confirmação ou de acesso, a lei fixa até 15 dias.
Atenção às exceções: o direito de eliminação alcança dados desnecessários, excessivos ou tratados com base no consentimento. Dados necessários para cumprir obrigação legal ou para o exercício de direitos em processo podem ser mantidos. Explique isso ao titular com clareza.
Incidentes de segurança
Incidente não é só invasão. Um e-mail com documentos enviado ao destinatário errado, um notebook furtado ou um arquivo compartilhado com link aberto também contam. Tenha um plano simples: conter o problema, avaliar quais dados e titulares foram afetados, registrar o ocorrido e decidir sobre a comunicação à ANPD e aos titulares quando houver risco ou dano relevante. O regulamento da ANPD fixa três dias úteis para essa comunicação, em dobro para agentes de pequeno porte. As medidas preventivas estão no guia de segurança da informação no escritório de advocacia.
Roteiro de adequação à LGPD para escritórios de advocacia
- Defina um responsável pelo programa e verifique se o escritório precisa indicar um encarregado.
- Faça o inventário das atividades que envolvem dados pessoais.
- Revise as bases legais de cada atividade.
- Atualize os avisos de privacidade do site, dos formulários e do contrato de honorários.
- Revise os contratos com fornecedores.
- Organize os acessos por função e adote uma política mínima de segurança.
- Crie procedimentos para pedidos de titulares e para incidentes.
- Treine a equipe e revise o programa ao menos uma vez por ano.
Como o LexFlow ajuda
No LexFlow, vários passos do roteiro ganham apoio no dia a dia. Os perfis de acesso são montados em árvore: para cada módulo, define-se se a pessoa pode adicionar, alterar ou excluir e quais abas de cada ficha ela vê. O perfil de acesso total pode ficar restrito a poucas pessoas, e no CRM e no Workspace há papéis por área e por quadro, como administrador, colaborador ou leitor.
Na Agenda, cada agenda tem compartilhamento próprio (só eu, toda a organização ou pessoas escolhidas), com níveis como “só ocupado”, e os eventos podem ser privados. A ficha de cada entidade reúne qualificação, contatos, negócios, tarefas, anexos, comentários e a atividade daquele cliente, o que ajuda a localizar o que o escritório tem sobre ele quando chega um pedido do titular. Concentrar esses dados num sistema, em vez de planilhas e pastas espalhadas, também simplifica o inventário.
Perguntas frequentes
O escritório precisa nomear um encarregado?
A regra geral da LGPD exige a indicação de encarregado pelo controlador, mas a ANPD dispensa os agentes de pequeno porte que não fazem tratamento de alto risco. Verifique se o seu escritório se enquadra e, mesmo dispensado, mantenha um canal para os titulares, que continua obrigatório.
O cliente pode pedir que o escritório apague os dados dele?
Pode pedir, e o escritório deve avaliar. Dados necessários para cumprir obrigação legal ou para o exercício de direitos em processo podem ser mantidos. O restante, quando desnecessário, deve ser eliminado.
Preciso de consentimento para tratar dados da parte contrária?
Em regra, não. O tratamento para atuar num processo pode se apoiar no exercício regular de direitos. Ainda assim, use apenas o necessário e proteja esses dados como os do cliente.
O sigilo profissional já não cobre a LGPD?
Não totalmente. O sigilo protege a confidencialidade, mas a LGPD exige também base legal, transparência, atendimento aos titulares, contratos com fornecedores e gestão de incidentes.
Conclusão
A adequação à LGPD é um processo contínuo, e não um documento assinado uma vez. Comece pelo inventário, revise as bases legais, organize os acessos e os contratos com fornecedores e prepare a equipe para pedidos de titulares e incidentes. Com o tempo, a proteção de dados passa a fazer parte da rotina do escritório, como já acontece com o sigilo.
