A boa notícia é que a advocacia já convive com o dever de sigilo, o que dá uma base de cultura de confidencialidade. A Lei Geral de Proteção de Dados, porém, acrescenta obrigações formais: saber quais dados o escritório trata, com que fundamento, com quem compartilha, como protege e como responde quando o titular pergunta.

Este guia percorre as bases legais no trabalho jurídico, os dados sensíveis, o inventário de dados, os contratos com fornecedores, os direitos dos titulares e o tratamento de incidentes, e termina com um roteiro de adequação em oito passos.

O papel do escritório na LGPD

Na maior parte das situações, o escritório decide como e para que os dados são tratados, o que o coloca na posição de controlador. Em alguns contratos, especialmente quando executa tarefas definidas por um cliente empresarial sobre dados desse cliente, pode atuar como operador. Vale analisar caso a caso, porque o papel define as responsabilidades.

Também importa lembrar que o escritório trata dados de pessoas com quem não tem relação nenhuma: partes contrárias, testemunhas, terceiros citados em documentos. Isso exige atenção ao fundamento de cada tratamento.

Bases legais no trabalho jurídico

Todo tratamento de dados precisa de uma base legal. O consentimento é apenas uma delas, e muitas vezes não é a mais adequada. Veja exemplos comuns:

Se o escritório envia informativos, vale ler também o texto sobre newsletter jurídica com ética e LGPD.

Dados sensíveis: cuidado redobrado

A lei dá proteção especial a dados sobre saúde, origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização religiosa, filosófica ou política, vida sexual, dados genéticos e biométricos. Na advocacia, eles aparecem com frequência: atestados e laudos em ações trabalhistas e previdenciárias, informações de saúde em casos de família, dados sindicais em causas coletivas.

As bases legais para dados sensíveis são mais restritas, mas incluem o exercício regular de direitos em processo. O cuidado prático é limitar quem acessa esses documentos, evitar que circulem por e-mail e aplicativos de mensagem sem necessidade e não manter cópias soltas em computadores pessoais.

Inventário de dados: o ponto de partida

Não dá para proteger o que não se conhece. O inventário mapeia cada atividade que envolve dados pessoais. Para cada uma, responda: que dados, de quem, para quê, com que base legal, onde ficam, quem acessa, com quem são compartilhados e por quanto tempo são guardados.

Um exemplo de linha do inventário:

• Atividade: recebimento de contatos pelo formulário do site.
• Dados: nome, telefone, e-mail e resumo do problema.
• Titulares: potenciais clientes.
• Finalidade: avaliar a demanda e retornar o contato.
• Base legal: procedimentos preliminares de contrato.
• Onde ficam: no sistema de gestão do escritório.
• Quem acessa: equipe responsável pelo primeiro atendimento.
• Guarda: prazo definido pelo escritório para contatos que não viraram clientes.

O formulário do site, aliás, é um bom lugar para exibir o aviso de privacidade; veja como estruturá-lo no texto sobre formulário de contato no site do escritório.

Por quanto tempo guardar os dados

Escritórios tendem a guardar tudo para sempre, “por via das dúvidas”. A LGPD pede o contrário: os dados devem ser mantidos enquanto houver finalidade ou obrigação que justifique a guarda. Defina uma tabela de temporalidade simples, por tipo de documento, considerando:

• Os prazos em que o escritório ou o cliente ainda podem precisar dos documentos para se defender ou comprovar o trabalho feito.
• As obrigações fiscais e profissionais que exigem a guarda.
• Os contatos e currículos que não geraram relação nenhuma, que podem ter prazo bem mais curto.

Ao fim do prazo, elimine ou anonimize, e registre que isso foi feito. A tabela deve ser validada pelos sócios, porque envolve avaliação jurídica de risco.

Contratos com fornecedores

Sistema de gestão, e-mail, armazenamento em nuvem, contabilidade, correspondentes, peritos e o fornecedor de publicações tratam dados em nome do escritório. Os contratos com eles devem prever, no mínimo:

• Finalidade limitada ao serviço contratado.
• Medidas de segurança adotadas.
• Regras para uso de subcontratados.
• Aviso rápido ao escritório em caso de incidente.
• Devolução ou eliminação dos dados ao fim do contrato.
• Informação sobre armazenamento fora do país e o mecanismo de transferência usado, como as cláusulas-padrão da ANPD.

Direitos dos titulares

Os titulares podem pedir, entre outras coisas, confirmação de que há tratamento, acesso aos dados, correção, eliminação de dados desnecessários e informações sobre compartilhamento. O escritório precisa de um caminho para receber e responder esses pedidos:

1. Um canal conhecido, como um e-mail específico.
2. Confirmação da identidade de quem pede.
3. Localização dos dados em todos os lugares onde estão.
4. Resposta dentro do prazo: para a declaração completa de confirmação ou de acesso, a lei fixa até 15 dias.

Atenção às exceções: o direito de eliminação alcança dados desnecessários, excessivos ou tratados com base no consentimento. Dados necessários para cumprir obrigação legal ou para o exercício de direitos em processo podem ser mantidos. Explique isso ao titular com clareza.

Incidentes de segurança

Incidente não é só invasão. Um e-mail com documentos enviado ao destinatário errado, um notebook furtado ou um arquivo compartilhado com link aberto também contam. Tenha um plano simples: conter o problema, avaliar quais dados e titulares foram afetados, registrar o ocorrido e decidir sobre a comunicação à ANPD e aos titulares quando houver risco ou dano relevante. O regulamento da ANPD fixa três dias úteis para essa comunicação, em dobro para agentes de pequeno porte. As medidas preventivas estão no guia de segurança da informação no escritório de advocacia.

Roteiro de adequação à LGPD para escritórios de advocacia

1. Defina um responsável pelo programa e verifique se o escritório precisa indicar um encarregado.
2. Faça o inventário das atividades que envolvem dados pessoais.
3. Revise as bases legais de cada atividade.
4. Atualize os avisos de privacidade do site, dos formulários e do contrato de honorários.
5. Revise os contratos com fornecedores.
6. Organize os acessos por função e adote uma política mínima de segurança.
7. Crie procedimentos para pedidos de titulares e para incidentes.
8. Treine a equipe e revise o programa ao menos uma vez por ano.

Como o LexFlow ajuda

No LexFlow, vários passos do roteiro ganham apoio no dia a dia. Os perfis de acesso são montados em árvore: para cada módulo, define-se se a pessoa pode adicionar, alterar ou excluir e quais abas de cada ficha ela vê. O perfil de acesso total pode ficar restrito a poucas pessoas, e no CRM e no Workspace há papéis por área e por quadro, como administrador, colaborador ou leitor.

Na Agenda, cada agenda tem compartilhamento próprio (só eu, toda a organização ou pessoas escolhidas), com níveis como “só ocupado”, e os eventos podem ser privados. A ficha de cada entidade reúne qualificação, contatos, negócios, tarefas, anexos, comentários e a atividade daquele cliente, o que ajuda a localizar o que o escritório tem sobre ele quando chega um pedido do titular. Concentrar esses dados num sistema, em vez de planilhas e pastas espalhadas, também simplifica o inventário.

Perguntas frequentes

O escritório precisa nomear um encarregado?

A regra geral da LGPD exige a indicação de encarregado pelo controlador, mas a ANPD dispensa os agentes de pequeno porte que não fazem tratamento de alto risco. Verifique se o seu escritório se enquadra e, mesmo dispensado, mantenha um canal para os titulares, que continua obrigatório.

O cliente pode pedir que o escritório apague os dados dele?

Pode pedir, e o escritório deve avaliar. Dados necessários para cumprir obrigação legal ou para o exercício de direitos em processo podem ser mantidos. O restante, quando desnecessário, deve ser eliminado.

Preciso de consentimento para tratar dados da parte contrária?

Em regra, não. O tratamento para atuar num processo pode se apoiar no exercício regular de direitos. Ainda assim, use apenas o necessário e proteja esses dados como os do cliente.

O sigilo profissional já não cobre a LGPD?

Não totalmente. O sigilo protege a confidencialidade, mas a LGPD exige também base legal, transparência, atendimento aos titulares, contratos com fornecedores e gestão de incidentes.

Conclusão

A adequação à LGPD é um processo contínuo, e não um documento assinado uma vez. Comece pelo inventário, revise as bases legais, organize os acessos e os contratos com fornecedores e prepare a equipe para pedidos de titulares e incidentes. Com o tempo, a proteção de dados passa a fazer parte da rotina do escritório, como já acontece com o sigilo.

Agende uma demonstração do LexFlow

The post LGPD para escritórios de advocacia: obrigações e adequação appeared first on LexFlow Blog.

O risco também mudou de lugar. Antes, a preocupação era o arquivo físico trancado. Hoje, a informação está em notebooks, celulares, serviços de nuvem e aplicativos de mensagem, e um único clique num e-mail falso pode expor anos de trabalho.

Este guia mostra os riscos mais comuns no dia a dia, como organizar o controle de acesso por perfil, o que considerar na escolha entre nuvem e servidor local, como fazer backup que funcione e uma política mínima de segurança para adotar já.

Por que a segurança da informação no escritório de advocacia é diferente

Três fatores tornam o tema mais sensível no escritório do que em muitos outros negócios. O primeiro é o dever de sigilo profissional, previsto no Estatuto da Advocacia e no Código de Ética e Disciplina da OAB, que alcança os fatos de que o advogado toma conhecimento no exercício da profissão. O segundo é a natureza dos dados: estratégias processuais, informações financeiras de empresas, dados de saúde e de família. O terceiro é a proteção de dados pessoais, que exige medidas de segurança adequadas; o guia de LGPD para escritórios de advocacia trata dessas obrigações.

Há ainda o fator reputação. Um vazamento de informações de cliente pode custar mais caro em confiança perdida do que em qualquer prejuízo direto.

Os riscos mais comuns no dia a dia

Senha compartilhada

Um único login para a equipe toda parece prático, mas impede saber quem fez o quê e mantém o acesso de quem já saiu. Cada pessoa deve ter usuário próprio, senha forte e, sempre que o serviço oferecer, verificação em duas etapas. Um gerenciador de senhas ajuda a manter senhas diferentes sem depender da memória.

E-mail e contas pessoais

O advogado encaminha documentos para o e-mail pessoal para trabalhar de casa. O arquivo passa a existir fora de qualquer controle do escritório. Use contas institucionais e combine que documentos de clientes não saem delas.

Arquivos soltos

Área de trabalho, pasta de downloads, pendrive, HD externo. Cada cópia solta é um ponto de vazamento. Defina um repositório oficial e proíba cópias locais de documentos sensíveis, salvo necessidade justificada.

Golpes e e-mails falsos

Mensagens imitando tribunais, bancos ou o próprio cliente pedem um clique ou um pagamento. Há também golpes em que criminosos se passam pelo escritório para pedir dinheiro a clientes. Treine a equipe para desconfiar de urgência, confirmar pedidos de pagamento por telefone e avisar os clientes sobre como o escritório se comunica.

Mensageiros sem regra

Aplicativos de mensagem são úteis, mas misturam vida pessoal e profissional no mesmo aparelho. Veja como estabelecer regras no texto sobre WhatsApp no escritório de advocacia.

Ferramentas de IA sem cuidado

Colar trechos de peças ou documentos de clientes em ferramentas de inteligência artificial sem avaliar a política de uso de dados pode expor informações sigilosas. O tema é aprofundado em IA e sigilo profissional.

Controle de acesso por perfil

O princípio é simples: cada pessoa acessa o que precisa para a sua função, e nada além disso. É o chamado princípio do menor privilégio. Ele reduz o estrago de um erro, de um golpe bem-sucedido ou de uma conta comprometida.

Um exemplo de mapa de acessos:

Defina perfis por função, e não por pessoa, para que a configuração seja reaproveitada. E revise os acessos periodicamente, porque as pessoas mudam de área e acumulam permissões que não usam mais.

A saída de um integrante merece um checklist próprio: desativar o usuário no último dia, trocar senhas de serviços compartilhados, recolher equipamentos, remover dos grupos de mensagem e transferir as tarefas e os documentos para quem fica.

Nuvem ou servidor local?

Não existe resposta única, mas existem critérios para decidir.

Ao avaliar um fornecedor de nuvem, pergunte onde os dados ficam armazenados, como são feitos os backups, quem da empresa pode acessar os dados, como funciona a comunicação de incidentes e como os dados são devolvidos se o contrato terminar.

Backup que funciona

Backup só existe de verdade se for testado. Uma referência conhecida é a regra 3-2-1: três cópias dos dados, em dois tipos de armazenamento diferentes, com uma delas fora do escritório. Algumas cautelas adicionais:

• Mantenha uma cópia desconectada da rede, para que um ataque de sequestro de dados não alcance também o backup.
• Teste a restauração periodicamente, recuperando arquivos de verdade.
• Defina quem é responsável por conferir se os backups estão rodando.

Política mínima de segurança

Uma página basta para começar. Adapte estes dez itens à realidade do escritório:

1. Cada pessoa tem usuário próprio; senhas não são compartilhadas.
2. Verificação em duas etapas ativada sempre que disponível.
3. Documentos de clientes só em contas e repositórios do escritório.
4. Acessos definidos por perfil de função e revisados periodicamente.
5. Computadores e celulares com bloqueio de tela e sistema atualizado.
6. Nada de redes Wi-Fi públicas sem proteção para acessar dados de clientes.
7. Pedidos de pagamento ou de dados confirmados por um segundo canal.
8. Backup com cópia fora do escritório e teste de restauração.
9. Checklist de entrada e saída de integrantes.
10. Um responsável para receber e tratar incidentes, com um roteiro simples de resposta.

Como o LexFlow ajuda

O LexFlow trata o controle de acesso como parte da configuração. Os perfis de acesso são montados em árvore: para cada módulo, define-se se o perfil pode adicionar, alterar ou excluir e quais abas de cada ficha aparecem. O perfil de acesso total pode ficar com poucas pessoas, e no CRM e no Workspace há papéis por área e por quadro, como administrador, colaborador ou leitor.

O compartilhamento também é granular em outros pontos. Cada agenda pode ser só do dono, de toda a organização ou de pessoas escolhidas, com níveis como “só ocupado”, “ver tudo” e “editar”, e os eventos podem ser privados. Nos Dashboards, cada painel tem a definição de quem vê, e os relatórios podem ser pessoais ou compartilhados.

Para quem conecta o Claude ou o ChatGPT ao LexFlow via MCP, a IA consulta e opera o sistema dentro do perfil de acesso de quem conectou, sem enxergar além do que essa pessoa já vê.

Perguntas frequentes

Escritório pequeno precisa de política de segurança?

Precisa, e pode ser curta. Os riscos mais comuns, como senha compartilhada, golpe por e-mail e falta de backup, atingem escritórios de qualquer tamanho. Uma página com regras claras já reduz muito a exposição.

Posso enviar documentos de clientes por aplicativo de mensagem?

Evite como regra e, quando for necessário, use contas profissionais e combine com o cliente. Documentos sensíveis devem ficar no repositório do escritório, e não espalhados em conversas.

O que fazer no dia em que alguém deixa o escritório?

Desative o usuário, troque as senhas de serviços compartilhados, recolha os equipamentos, remova a pessoa dos grupos e transfira tarefas e documentos para quem assume.

A nuvem é segura para dados sigilosos?

Pode ser, desde que o fornecedor seja bem escolhido e o contrato trate de armazenamento, acesso, backup e incidentes. O servidor local não é automaticamente mais seguro: depende de manutenção e de backups fora do escritório.

Conclusão

Segurança da informação no escritório é uma soma de cuidados simples: contas individuais, acessos por perfil, repositório oficial, backup testado, equipe treinada contra golpes e uma rotina de entrada e saída de pessoas. Nenhum deles é complexo, mas juntos protegem o que a advocacia tem de mais valioso: a confiança do cliente no sigilo.

Agende uma demonstração do LexFlow

The post Segurança da informação no escritório de advocacia: sigilo, acessos e perfis appeared first on LexFlow Blog.

O sigilo não é uma gentileza com o cliente. É dever ético do advogado e, ao mesmo tempo, uma garantia da própria profissão. Quando um dado sai do ambiente controlado do escritório ou do departamento jurídico e vai para o serviço de um terceiro, você precisa saber onde ele fica guardado, quem pode acessá-lo e para que ele será usado. Com ferramentas de IA, essas respostas variam de plano para plano e mudam com o tempo.

A seguir: onde estão os riscos concretos, o que ler nos termos de uso, como anonimizar e como escrever uma política interna curta, que a equipe consiga seguir.

Por que IA e sigilo profissional viraram assunto de gestão

O sigilo costumava ser tratado como conduta individual. A IA generativa mudou a escala. É comum que estagiários, assistentes e advogados usem ferramentas diferentes, cada um com a sua conta, sem que a coordenação saiba quais são. É o uso “na sombra”: não é proibido, mas também não é visto.

Assim, o risco deixa de ser um deslize isolado e vira padrão: se dez pessoas colam trechos de contratos em contas pessoais, há dez cópias de informação de cliente em lugares que o escritório não controla. A pergunta certa não é “a IA é segura?”, e sim “quais ferramentas, com quais dados e sob quais regras?”.

O dever de sigilo também convive com a LGPD. Boa parte do que o jurídico manipula são dados pessoais, e alguns são sensíveis, como informações de saúde, origem racial, convicção religiosa ou filiação sindical. Enviar esse material a um fornecedor sem base adequada e sem contrato que proteja o tratamento cria um problema duplo: ético e de proteção de dados. Para aprofundar essa parte, veja o guia de LGPD para escritórios de advocacia.

Onde mora o risco

Contas pessoais e versões gratuitas

A versão gratuita de uma ferramenta costuma ter condições diferentes da versão corporativa. Em muitos casos, o fornecedor reserva o direito de usar as conversas para melhorar o serviço, guarda o histórico por mais tempo e não oferece contrato de confidencialidade. Além disso, a conta pertence à pessoa, não ao escritório: quando o profissional sai, o histórico vai junto.

Uso dos dados para treinar modelos

Treinamento é o processo em que o fornecedor usa grandes volumes de texto para ajustar o modelo. Se as suas conversas entram nesse conjunto, você entregou informação de cliente para um uso que o cliente não autorizou, ainda que a chance de o trecho reaparecer seja pequena.

Retenção e acesso humano

Mesmo sem treinamento, as conversas podem ficar armazenadas por um período, e em alguns serviços pessoas do fornecedor podem revisar amostras. Nada disso é necessariamente ilegítimo, mas precisa estar claro antes de você decidir o que envia.

Extensões e integrações sem controle

Uma extensão de navegador instalada para resumir artigos pode ter permissão para ler tudo o que aparece na tela, inclusive o sistema jurídico aberto na aba ao lado.

O que ler nos termos de uso antes de adotar uma ferramenta

Termos de uso são longos e mudam. Em vez de tentar ler tudo, procure respostas para as perguntas abaixo e anote a data em que conferiu:

Se a ferramenta não responde com clareza, não a use com dados de clientes. Ela ainda pode servir para tarefas sem informação sigilosa, como revisar um artigo para o blog.

Anonimização: o que tirar antes de colar

Anonimizar é retirar do texto o que permite identificar uma pessoa ou um caso. Não resolve tudo, mas reduz bastante o risco quando você precisa da ajuda da IA com um material real. Um roteiro simples:

1. Troque nomes por papéis: “Autora”, “Empresa A”, “Fornecedor B”, “Testemunha 1”.
2. Apague números de documentos, endereços, telefones, e-mails, contas bancárias e números de processo.
3. Generalize datas e valores quando eles não forem essenciais para a tarefa (“no início do ano”, “valor na casa dos seis dígitos”).
4. Procure identificadores indiretos: um cargo único, uma cidade pequena, um fato que saiu na imprensa. Combinados, eles identificam tanto quanto um nome.
5. Deixe de fora dados sensíveis, como diagnósticos, quando a tarefa não depender deles.
6. Releia o trecho final antes de enviar, como se você fosse um terceiro tentando descobrir de quem se trata.

Um exemplo. Em vez de colar “Maria, gerente financeira da Construtora Alfa, foi demitida após o diagnóstico de depressão”, escreva “uma gerente de área de uma empresa de médio porte foi desligada pouco depois de um afastamento por motivo de saúde”. Para pedir a estrutura de uma linha de argumentação, isso basta.

A anonimização tem limites: operações societárias específicas e casos conhecidos continuam identificáveis mesmo sem nomes. Nesses casos, use só ferramentas aprovadas, com contrato, ou não use.

Como escrever uma política interna de uso de IA

Uma boa política cabe em duas páginas. Ela precisa responder ao que a equipe vai perguntar na prática:

• Quais ferramentas estão aprovadas e com qual tipo de conta (corporativa, administrada pelo escritório).
• Como a informação é classificada e o que pode ir para cada ferramenta.
• O que nunca entra, em nenhuma hipótese.
• Revisão humana obrigatória: nenhum texto produzido pela IA sai para cliente, tribunal ou contraparte sem a leitura de um advogado responsável.
• Comunicação ao cliente: como formalizar, por escrito e antes do uso, que o escritório usa IA.
• Quem responde pela política, como pedir a aprovação de uma ferramenta nova e quando o texto será revisado.
• O que fazer em caso de incidente, como o envio por engano de um documento completo.

Uma tabela de classificação ajuda a equipe a decidir rápido:

O Conselho Federal da OAB aprovou, em novembro de 2024, a Recomendação n. 001/2024, com diretrizes para o uso de IA generativa na prática jurídica: sigilo, supervisão humana, políticas internas e comunicação ao cliente. Use-a como base da sua política, adaptando à realidade da equipe. Para uma visão mais ampla de usos e limites, veja também o texto sobre inteligência artificial na advocacia.

Quando a IA se conecta ao sistema do escritório

Até aqui falamos da IA como um chat separado, para onde você leva o texto. No outro modelo, o assistente se conecta ao sistema jurídico e consulta os registros diretamente. A pergunta muda de “o que eu colo?” para “o que a IA pode ver e fazer?”.

A resposta segura é o princípio do menor privilégio: cada pessoa, e cada assistente que age em nome dela, acessa só o que precisa. Se a estagiária não vê os contratos da diretoria, o assistente ligado à conta dela também não deve ver. Isso exige perfis de acesso bem desenhados antes da integração, tema da segurança da informação no escritório de advocacia.

Como o LexFlow trata o acesso da IA

No LexFlow, a conexão com o Claude e com o ChatGPT é feita por MCP (Model Context Protocol), um padrão para ligar assistentes de IA a sistemas. A IA consulta e opera o LexFlow dentro do perfil de acesso de quem fez a conexão. Na prática, o assistente tem o mesmo alcance do perfil daquela pessoa: os mesmos módulos e as mesmas ações.

Os perfis de acesso são montados em árvore: o módulo, as ações de adicionar, alterar e excluir e as abas de cada ficha. Há ainda papéis por área e por quadro no CRM e no Workspace. O desenho de acesso da equipe vale também para o assistente, por isso convém revisá-lo antes de liberar a integração.

Para outros clientes compatíveis com MCP, há tokens de integração. A integração é um módulo contratável: a organização decide se quer usá-la.

A inteligência vem do Claude ou do ChatGPT, com os termos de uso do provedor escolhido. Por isso, a sua política interna deve dizer qual plano e qual tipo de conta estão aprovados para a conexão.

Perguntas frequentes

Posso usar IA com dados de clientes?

Pode, desde que a ferramenta seja aprovada pelo escritório, tenha condições contratuais adequadas e o uso seja necessário para o trabalho. Mesmo assim, envie só o mínimo e prefira material anonimizado.

Anonimizar resolve o problema do sigilo?

Reduz o risco, mas não o elimina. Detalhes combinados podem identificar o cliente. Em casos sensíveis ou muito conhecidos, use apenas ambiente corporativo aprovado ou deixe a IA de fora.

Preciso avisar o cliente que uso IA?

A Recomendação n. 001/2024 do Conselho Federal da OAB orienta formalizar isso antes do uso, em documento escrito e claro, com propósito, riscos, medidas de proteção e revisão humana, e com o consentimento do cliente. O contrato de honorários é um bom lugar para isso.

Proibir a IA não seria mais simples?

Proibir costuma empurrar o uso para contas pessoais, onde ninguém vê. Uma política clara, com ferramentas aprovadas, protege mais.

Conclusão

IA e sigilo podem conviver, mas não por acaso. Escolha ferramentas cujos termos você leu, defina o que pode ser enviado, ensine a equipe a anonimizar e, antes de conectar a IA ao sistema, revise os perfis de acesso. A ferramenta muda; a responsabilidade pelo segredo do cliente continua sendo sua.

Agende uma demonstração do LexFlow

The post IA e sigilo profissional: o que o advogado precisa saber antes de usar appeared first on LexFlow Blog.