LGPD no escritório de advocacia: por onde começar

Escritórios de advocacia lidam todos os dias com dados pessoais — muitas vezes dados sensíveis, como saúde, origem racial ou filiação sindical, que aparecem em ações previdenciárias, trabalhistas e de família. A Lei 13.709/2018 (LGPD) se aplica integralmente, somando-se ao dever de sigilo profissional do Estatuto da Advocacia. Este roteiro ajuda a organizar o primeiro passo.

1. Entenda o seu papel

Na relação com o cliente, o escritório normalmente é controlador: decide para que e como os dados são usados. Os fornecedores que tratam dados por conta do escritório — sistema de gestão, e-mail, armazenamento em nuvem, contabilidade — são operadores (art. 5º, VI e VII).

O controlador responde pela escolha de operadores adequados e deve ter contrato que defina o que eles podem fazer com os dados.

2. Mapeie bases legais

Todo tratamento precisa de uma base legal (art. 7º, e art. 11 para dados sensíveis). Na advocacia, as mais comuns são:

• execução de contrato com o cliente (art. 7º, V);
• exercício regular de direitos em processo judicial, administrativo ou arbitral (art. 7º, VI, e art. 11, II, "d") — que alcança inclusive dados da parte contrária e de testemunhas;
• cumprimento de obrigação legal (art. 7º, II), como guardas fiscais.

O consentimento não é a única base, e muitas vezes não é a mais adequada: ele pode ser revogado a qualquer tempo.

3. Indique o encarregado (ou um canal)

A LGPD exige a indicação de um encarregado (art. 41). Agentes de tratamento de pequeno porte podem ser dispensados dessa indicação pela Resolução CD/ANPD nº 2/2022, mas devem manter um canal de comunicação com os titulares. Divulgue esse canal no site e nos contratos.

4. Revise fornecedores

Pergunte a cada fornecedor:

• Onde ficam os dados? Transferência internacional tem regras próprias (arts. 33 a 36).
• Quem tem acesso? Existe registro de acessos? O suporte entra na sua conta sem você saber?
• Como os dados são protegidos? Criptografia, isolamento entre clientes, autenticação em duas etapas.
• O que acontece no fim do contrato? Exportação completa e prazo de exclusão.

5. Tenha um plano para incidentes

Vazamentos acontecem. O controlador deve comunicar à ANPD e aos titulares os incidentes que possam acarretar risco ou dano relevante (art. 48). A Resolução CD/ANPD nº 15/2024 regulamentou o tema e fixou prazo de três dias úteis para a comunicação, contado do conhecimento do incidente que afete dados pessoais. Ter o roteiro pronto antes evita decisões apressadas.

6. Atenda os titulares

Clientes e outras pessoas podem pedir confirmação de tratamento, acesso, correção e, em certos casos, eliminação (art. 18). Note que a obrigação de guardar documentos do processo pode justificar a manutenção dos dados mesmo após o pedido (art. 16).

Como o Prazora ajuda

O Prazora foi desenhado para ser um operador que facilita a vida do controlador:

• servidores e cópias de segurança no Brasil;
• isolamento por escritório aplicado pelo próprio banco de dados;
• certificados e senhas em cofre de chaves;
• verificação em duas etapas opcional para cada pessoa;
• acessos do suporte só leitura, com motivo, prazo e registro visível ao escritório;
• exportação completa dos dados e exclusão com prazo definido em contrato.

A adequação à LGPD é um processo do escritório, não de um software — mas escolher fornecedores que deixem tudo à vista é metade do caminho.