Como adequar um escritório de advocacia à LGPD?

A conformidade com a LGPD protege os dados de clientes jurídicos quando o escritório transforma a coleta, o uso, o armazenamento e o descarte de informações em processos controlados, documentados e seguros. Para adequar uma banca à Lei nº 13.709/2018, você precisa mapear os tratamentos, definir bases legais, limitar acessos e saber exatamente como reagir a incidentes.

Quem atua em escritório, departamento jurídico ou advocacia autônoma conhece bem o peso desses documentos. Uma procuração, um prontuário, um contrato ou uma conversa de WhatsApp pode reunir dados pessoais de alto risco. O sigilo da advocacia continua indispensável, claro, mas ele não substitui os deveres regulatórios de proteção de dados.

Aqui, a proposta é sair da teoria e levar a governança de dados pra rotina do escritório: identificar riscos, implantar controles e reunir provas de conformidade para auditorias. Aproveite ferramentas grátis da Voga que vão alavancar sua atuação profissional!

Como a conformidade com a LGPD funciona na rotina de um escritório jurídico?

A conformidade com a LGPD começa quando o escritório identifica cada operação de tratamento, quem participa dela e quais controles fazem sentido em cada etapa. Você precisa enxergar o percurso inteiro da informação, desde a entrada até o descarte, ou até a retenção que realmente se justifica.

O ponto cego costuma estar fora dos sistemas oficiais. Planilhas paralelas, e-mails pessoais, pastas abertas, aplicativos de mensagem e permissões concedidas sem revisão podem concentrar risco tanto quanto, ou mais do que, o software jurídico contratado pela banca.

Quem trata os dados e qual fluxo deve ser mapeado no escritório jurídico?

O escritório precisa mapear todos os agentes e todas as etapas em que dados pessoais são coletados, usados, compartilhados, armazenados ou descartados. A LGPD chama de tratamento toda operação realizada com dado pessoal, da coleta ao descarte.

Na prática, também é preciso definir o papel do escritório. Ele atua como controlador quando decide a finalidade e os meios do tratamento. Atua como operador quando trata dados em nome de um cliente corporativo. Essa distinção muda responsabilidades, contratos e procedimentos internos.

Pense numa ação trabalhista. O escritório recebe RG, CPF, endereço, extratos, atestados e conversas do cliente. Depois cadastra o caso no software, envia documentos ao perito e protocola a petição. Cada um desses atos cria uma etapa de tratamento, com destinatários, sistemas e níveis de risco próprios.

Dados de saúde, biometria, origem racial, filiação sindical e convicção religiosa são dados pessoais sensíveis, regulados pelo art. 11 da LGPD. Quando eles entram no dossiê, a análise precisa ser mais cuidadosa: qual hipótese legal permite o uso, por que aquele dado é necessário e quem realmente precisa acessá-lo?

Pra tornar o mapeamento útil no dia a dia, registre as etapas que compõem cada fluxo jurídico relevante:

  • Entrada: formulário, reunião, WhatsApp, indicação ou audiência;
  • Uso: análise jurídica, elaboração de peças, cálculo, diligência e atendimento;
  • Compartilhamento: cliente, correspondente, perito, tribunal, órgão público ou fornecedor;
  • Retenção: arquivo físico, software jurídico, nuvem, backup e e-mail;
  • Descarte: eliminação segura, anonimização ou guarda justificada.

Atenção: o inventário não se limita aos dados do cliente. Dados de partes adversas, testemunhas, empregados, contatos comerciais e visitantes também precisam aparecer no mapa de tratamentos.

Cada finalidade de tratamento precisa ter uma base legal própria prevista na LGPD, como execução de contrato, cumprimento de obrigação legal, exercício regular de direitos ou legítimo interesse. Base legal não é campo genérico de política de privacidade. É a justificativa concreta para uma atividade específica.

Numa cobrança judicial, por exemplo, o escritório pode tratar dados do devedor para formular e executar a pretensão com fundamento no exercício regular de direitos. Já o envio de newsletter sobre mudanças tributárias a ex-clientes pede outra análise, muitas vezes ligada ao consentimento ou ao legítimo interesse, desde que exista um teste de balanceamento bem feito.

O consentimento não é a saída automática da advocacia. Em certos casos, ele é até inadequado, especialmente quando há desequilíbrio entre as partes ou quando o tratamento decorre de dever legal. E a revogação do consentimento não apaga tratamentos que já tinham fundamento em outra hipótese, nem elimina documentos que precisam ser preservados.

Minha recomendação é simples: crie uma matriz que ligue finalidade, categoria de dado, base legal, área responsável, destinatários e prazo de retenção. Isso evita consentimentos inúteis e dá ao escritório condições de explicar suas escolhas numa auditoria ou diante de uma solicitação da ANPD.

As bases legais mais recorrentes na rotina jurídica costumam aparecer nestas atividades:

  • Execução de contrato: contratação, faturamento e comunicação sobre o mandato;
  • Obrigação legal ou regulatória: registros fiscais, contábeis e deveres profissionais;
  • Exercício regular de direitos: análise de provas, processos administrativos e judiciais;
  • Legítimo interesse: prevenção a fraudes e controles internos, após avaliação de impacto;
  • Consentimento: comunicações opcionais e finalidades que não tenham base mais adequada.

Atenção: uma procuração autoriza a representação processual, mas não substitui, sozinha, a definição e o registro da base legal exigida pela LGPD.

Quais controles da LGPD reduzem riscos de vazamento e responsabilização?

Os controles que mais reduzem risco de vazamento são bem conhecidos, embora nem sempre sejam bem executados: limitar acessos, proteger documentos físicos e digitais, controlar terceiros e responder rápido a incidentes. A medida adequada depende da sensibilidade do dado e do impacto que uma exposição pode causar.

Ferramenta ajuda, mas não resolve sozinha. Segurança da informação pede processo, definição clara de responsabilidade e revisão periódica de permissões concedidas a profissionais, fornecedores e contas que já deveriam estar inativas.

Como limitar acessos e proteger documentos físicos e digitais?

O acesso a documentos jurídicos deve seguir o critério de menor privilégio: cada pessoa acessa apenas o que precisa para exercer sua função, pelo tempo necessário. Parece básico. Ainda assim, é um dos controles que mais falham em escritórios.

O art. 46 da LGPD exige medidas técnicas e administrativas capazes de proteger dados contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão. Segurança, então, vai muito além de instalar antivírus.

Imagine um estagiário da área de família acessando a pasta inteira do contencioso empresarial porque toda a banca utiliza a mesma unidade compartilhada. Mesmo que não haja vazamento externo, essa permissão ampla contraria o princípio da necessidade e expõe documentos estratégicos sem motivo.

A regra vale para sócios, associados, estagiários, correspondentes, BPO financeiro, fornecedores de TI e contas de ex-colaboradores. O ideal é atribuir permissões por função, revisá-las em ciclos definidos e revogá-las imediatamente quando deixarem de ser necessárias.

Pra colocar isso em prática, combine medidas técnicas e administrativas compatíveis com a realidade do escritório:

  • Controle de acesso: perfis individuais, MFA e revisão de permissões;
  • Proteção de arquivos: criptografia em repouso e em trânsito, com links restritos;
  • Dispositivos: bloqueio de tela, gestão de notebooks e proibição de contas pessoais;
  • Ambiente físico: armários trancados, mesa limpa e descarte com fragmentação certificada;
  • Terceiros: contrato com cláusulas de confidencialidade, segurança e suboperadores.

Atenção: enviar autos ou documentos com dados pessoais para uma ferramenta de IA sem avaliar retenção, treinamento de modelos e transferência internacional pode resultar em compartilhamento irregular.

O que fazer quando ocorre um incidente com dados pessoais?

Quando há incidente com dados pessoais, o escritório precisa conter o evento, registrar os fatos, avaliar o risco aos titulares e decidir, de forma documentada, se deve comunicar a ocorrência. Tempo conta muito aqui. A resposta precisa ser rápida, coordenada e apoiada em evidências preservadas.

Incidente de segurança é qualquer evento que comprometa confidencialidade, integridade ou disponibilidade de dados. Pode ser um e-mail enviado ao destinatário errado, ransomware, perda de notebook, credencial vazada ou link público com petições e documentos.

Se uma assistente encaminhar por engano um laudo médico ao advogado da outra parte, apagar o e-mail e seguir o dia não basta. O escritório deve registrar o fato, tentar conter a divulgação, confirmar o alcance, avaliar os dados envolvidos e documentar a decisão sobre comunicação.

A Resolução CD/ANPD nº 15/2024 prevê comunicação à ANPD e aos titulares quando o incidente puder acarretar risco ou dano relevante. Como regra, o controlador deve comunicar em até 3 dias úteis, contados do conhecimento do incidente. Não espere uma investigação interminável para começar a agir.

Mantenha um playbook com responsáveis do jurídico, TI, segurança e comunicação, além de modelos de registro e notificação. Simular incidentes ao menos uma vez por ano faz diferença, porque resposta rápida depende menos de improviso e mais de papéis definidos antes da crise.

O fluxo de resposta deve seguir etapas objetivas e registráveis:

  • Conter: revogar acessos, desativar links, isolar dispositivo e preservar evidências;
  • Classificar: identificar titulares, dados, volume, exposição e possibilidade de uso indevido;
  • Avaliar: estimar risco ou dano relevante e definir necessidade de comunicação;
  • Comunicar: informar ANPD e titulares, quando aplicável, no prazo regulatório;
  • Corrigir: eliminar causa raiz, revisar controles e registrar as lições aprendidas.

Atenção: não ocultar o incidente é diferente de notificar automaticamente qualquer falha. A decisão precisa ser técnica, documentada e baseada na probabilidade e na gravidade do impacto aos titulares.

Como documentar a governança da LGPD no escritório jurídico?

Governança de LGPD se prova com documentos vivos: inventários, políticas, registros de incidentes, contratos e evidências de treinamento. O objetivo não é encher uma pasta de arquivos. É demonstrar que os controles existem, funcionam e acompanham a operação.

A LGPD adota o princípio da responsabilização e prestação de contas, previsto no art. 6º, X. Boa intenção, costume interno ou política genérica não bastam quando o escritório precisa comprovar conformidade.

Uma estrutura mínima de governança deve reunir documentos e registros que reflitam a rotina real da banca:

  • Inventário de tratamentos atualizado por área, processo e sistema;
  • Matriz de bases legais vinculada às finalidades efetivamente praticadas;
  • Políticas internas de segurança, retenção, acesso e uso aceitável de ferramentas;
  • Registros de incidentes, solicitações de titulares e revisões de permissões;
  • Contratos com operadores e fornecedores que tratem dados em nome do escritório;
  • Treinamentos com lista de presença, conteúdo aplicado e reciclagens periódicas.

Atenção: política de privacidade publicada no site não comprova, sozinha, conformidade interna. A evidência precisa acompanhar o fluxo real de documentos, pessoas, sistemas e decisões do escritório.

Como estruturar registros de tratamento para uma auditoria de LGPD?

O registro das operações de tratamento deve documentar cada processo relevante, com finalidade, dados envolvidos, base legal, compartilhamentos, sistemas, medidas de segurança e prazo de retenção. Previsto no art. 37 da LGPD, ele é a espinha dorsal da demonstração de conformidade.

Esse registro ganha ainda mais peso para controladores e operadores que lidam com grande volume de dados ou dados sensíveis. Ele permite identificar riscos, responder a solicitações e mostrar que o escritório sabe exatamente o que faz com as informações que recebe.

Numa banca que atende empresas em contencioso trabalhista, não adianta registrar apenas “gestão de processos”. É preciso separar, por exemplo, o recebimento de documentos de empregados, a análise de laudos ocupacionais, o envio de subsídios ao cliente, o uso da plataforma processual e a guarda do dossiê depois do encerramento da demanda.

Para cada operação, documente finalidade, categorias de titulares e dados, base legal, compartilhamentos, sistemas envolvidos, medidas de segurança, prazo de retenção e responsável interno. Havendo dados sensíveis ou potencial impacto elevado, registre também a justificativa de necessidade, as restrições de acesso e a avaliação de riscos adotada.

Evite a planilha gigante que ninguém atualiza. O melhor caminho é ligar a atualização do inventário aos eventos que mudam a operação: contratação de software, abertura de nova área, entrada de cliente relevante, alteração de formulário ou integração com parceiro.

Quando o Relatório de Impacto à Proteção de Dados Pessoais é necessário?

O Relatório de Impacto à Proteção de Dados Pessoais, ou RIPD, é necessário quando o tratamento puder gerar riscos às liberdades civis e aos direitos fundamentais dos titulares, especialmente em operações sensíveis ou de maior impacto. A ANPD pode requisitá-lo ao controlador.

O relatório descreve o tratamento, sua necessidade e proporcionalidade, os riscos identificados e as medidas adotadas para mitigá-los. Também costuma ser especialmente relevante em operações baseadas no legítimo interesse ou que envolvam tratamento sensível num contexto de maior impacto.

Imagine um escritório que cria uma plataforma para triagem automatizada de ações previdenciárias. A ferramenta recebe documentos médicos, identifica padrões em laudos e classifica a probabilidade de êxito para priorizar atendimentos.

A tecnologia pode ser útil, mas esse fluxo reúne dados sensíveis, potencial perfilamento e uma decisão capaz de afetar a forma como o cliente é atendido. O RIPD ajuda a perceber se a operação precisa ser redesenhada, limitada, suspensa ou cercada de salvaguardas adicionais.

Faça o relatório antes de lançar iniciativas de maior risco, não depois de uma reclamação ou fiscalização. Quando jurídico, tecnologia, segurança e a área dona do processo participam desde o início, fica mais fácil cortar coleta excessiva, reduzir campos obrigatórios e impedir que automações opacas se transformem em passivos silenciosos.

Como atender os titulares e controlar fornecedores conforme a LGPD?

O escritório precisa atender os direitos dos titulares por meio de um fluxo seguro e previsível. Também precisa supervisionar fornecedores que tratam dados fora de seus sistemas. São dois pontos que exigem critério, porque uma resposta ou contratação mal conduzida pode expor segredo profissional, prejudicar a estratégia processual ou criar um novo incidente.

Improviso costuma sair caro. A governança deve definir responsáveis, canais de atendimento, prazos internos, validações e critérios de risco para cada situação.

Pra organizar essa frente, estabeleça componentes operacionais claros:

  • Canal de recebimento para requisições de titulares, inclusive por e-mail e formulário;
  • Validação de identidade proporcional ao risco antes de revelar qualquer informação;
  • Triagem jurídica para distinguir dado pessoal, documento sigiloso e informação protegida por terceiros;
  • Prazos internos menores que o prazo legal, com registro de cada etapa da resposta;
  • Cadastro de fornecedores com classificação de risco e revisão contratual;
  • Monitoramento de suboperadores, transferências internacionais e acessos concedidos.

Atenção: atender um direito do titular não significa entregar integralmente os autos, e-mails internos ou documentos de terceiros. A resposta deve preservar sigilo profissional, segredo de justiça, direitos de outras pessoas e informações cuja guarda decorra de obrigação legal.

Como responder aos direitos dos titulares sem comprometer a estratégia jurídica?

O escritório deve autenticar o solicitante, delimitar o pedido, localizar os dados e avaliar as limitações legais antes de responder. A resposta precisa ser inteligível, documentada e compatível com o sigilo profissional e o exercício regular de direitos.

O art. 18 da LGPD assegura ao titular direitos como confirmação de tratamento, acesso, correção, anonimização, bloqueio, eliminação, portabilidade e informação sobre compartilhamentos. No ambiente jurídico, porém, o atendimento exige cuidado com hipóteses de conservação de dados, deveres de sigilo e estratégia de defesa.

Pense num ex-cliente que pede “todos os dados” mantidos pelo escritório depois de uma disputa societária. A equipe não deve simplesmente exportar a pasta inteira do caso. Ela pode conter dados de sócios, testemunhas, advogados adversos, análises internas e documentos cuja retenção seja necessária para defesa em eventual discussão sobre responsabilidade profissional.

O procedimento correto começa com a autenticação do solicitante e a delimitação do pedido. Depois, a área responsável localiza os dados, verifica o fundamento de retenção, identifica informações de terceiros e prepara uma resposta que indique dados tratados, finalidades, compartilhamentos e limitações legais aplicáveis.

Crie modelos de resposta, mas não os use como mensagens automáticas. Eles devem prever campos para justificar retenção, informar canal de recurso e registrar a análise feita. Quando o pedido envolver processo em curso, segredo de justiça ou risco à defesa do cliente, a minuta deve passar pela revisão de um responsável jurídico antes do envio.

O que exigir de softwares, correspondentes e outros operadores de dados?

O escritório deve exigir dos operadores cláusulas contratuais, evidências de segurança, regras para suboperadores, comunicação de incidentes e procedimentos de devolução ou descarte de dados. Contratar um fornecedor não transfere integralmente a responsabilidade do controlador, nem elimina o dever de supervisão.

Quando um fornecedor trata dados pessoais seguindo as instruções do escritório, ele tende a atuar como operador. É o que acontece com plataformas de gestão jurídica, armazenamento em nuvem, serviços de assinatura eletrônica, empresas de digitalização, call centers e prestadores de suporte de TI.

Se a banca contrata uma empresa para digitalizar arquivos físicos de inventários, esse fornecedor pode acessar certidões, documentos patrimoniais e informações familiares. Antes de enviar as caixas, avalie quem terá acesso, onde os arquivos ficarão armazenados, se haverá subcontratação, por quanto tempo as cópias existirão e como a eliminação será comprovada ao fim do serviço.

O contrato precisa descrever objeto e instruções de tratamento, finalidade, confidencialidade, medidas de segurança, comunicação imediata de incidentes, cooperação em pedidos de titulares, regras para suboperadores, devolução ou descarte de dados e auditoria ou apresentação de evidências. Se houver transferência internacional, verifique o mecanismo aplicável e as garantias exigidas pela regulamentação da ANPD.

Classifique fornecedores por criticidade antes da contratação. Um software que armazena documentos processuais e dados médicos pede diligência muito mais profunda do que uma ferramenta sem acesso a dados pessoais. Questionários de segurança, evidências de MFA, política de backup, testes de restauração e histórico de incidentes ajudam nessa avaliação.

Como monitorar a conformidade com a LGPD de forma contínua?

Conformidade com a LGPD não termina quando a política é aprovada ou quando um software novo entra em operação. Ela precisa ser acompanhada continuamente por indicadores, revisões proporcionais ao risco e planos de ação para corrigir desvios.

O que importa é descobrir onde o procedimento documentado se afastou da rotina real das equipes. Esse acompanhamento transforma privacidade em processo gerenciável, com responsáveis, periodicidade e consequência prática.

Para acompanhar exposição, correção e recorrência, monitore indicadores como:

  • percentual de revisões de acesso concluídas no prazo;
  • quantidade de solicitações de titulares recebidas e respondidas;
  • número de incidentes, quase-incidentes e falhas de procedimento;
  • fornecedores críticos avaliados ou reavaliados no período;
  • treinamentos concluídos por área e função;
  • pendências de adequação abertas, vencidas e tratadas.

Atenção: indicador só serve quando tem responsável, periodicidade de análise e consequência prática. Medir sem corrigir desvio cria aparência de controle, mas não reduz risco regulatório.

Quais indicadores mostram se os controles de LGPD funcionam na prática?

Indicadores eficazes de LGPD medem a efetividade dos controles, não apenas sua existência formal. Uma política de acesso, por exemplo, precisa ser confrontada com registros de concessão, revogação e revisão de perfis.

A pergunta relevante é se alguém sem necessidade operacional continua acessando dossiês. Não basta saber se a política foi aprovada. O mesmo raciocínio vale para treinamentos, gestão de fornecedores, incidentes e pedidos de titulares.

Numa área de contencioso de massa, o escritório pode verificar mensalmente quantos acessos permaneceram ativos depois de transferências internas ou desligamentos. Se um ex-estagiário ainda consulta documentos de processos trabalhistas semanas após sair, existe falha concreta de governança, mesmo que o contrato de confidencialidade esteja assinado.

Os números pedem leitura com contexto. Mais registros de incidentes podem apontar piora nos controles, mas também podem revelar que a equipe passou a comunicar eventos que antes ficavam escondidos.

Na prática, analise volume, gravidade, tempo de resposta, reincidência e causa raiz antes de dizer que o programa avançou ou retrocedeu. Defina uma linha de base nos primeiros ciclos e crie metas progressivas por risco, priorizando redução de acessos indevidos, cumprimento de prazos de correção e diminuição de falhas repetidas.

Como conduzir revisões periódicas de LGPD sem paralisar a operação jurídica?

As revisões periódicas devem seguir um calendário compatível com a criticidade dos tratamentos, sem travar a operação jurídica. Processos que envolvem dados de saúde, informações de crianças e adolescentes, documentos financeiros ou grande volume de titulares merecem frequência maior.

Revisão não pode virar auditoria burocrática, nem checklist preenchido sem evidência. Uma mudança aparentemente pequena, como ativar integração entre CRM e e-mail, pode alterar de forma relevante os compartilhamentos e exigir reavaliação imediata.

Imagine que o escritório adote uma nova ferramenta de inteligência artificial para resumir documentos recebidos em consultas previdenciárias. Antes de liberar o uso para toda a banca, a revisão precisa confirmar quais dados seguem para a ferramenta, se há retenção pelo fornecedor, quais usuários têm acesso e se o resultado passa pela validação de profissional habilitado.

Organize revisões trimestrais para controles operacionais e anuais para políticas, contratos e matriz de riscos. Também faça revisões extraordinárias depois de incidentes, mudanças tecnológicas ou novas orientações da ANPD.

Cada achado deve gerar plano de ação, prazo e responsável. Sem isso, os relatórios se acumulam e nada melhora de verdade. O escritório mantém agilidade e, ao mesmo tempo, preserva evidências atualizadas para clientes, auditorias e autoridades.

Como se preparar para auditorias e fiscalizações de proteção de dados?

Para enfrentar auditorias e fiscalizações de proteção de dados, o escritório precisa manter evidências atualizadas, coerentes e fáceis de localizar. A auditoria vai comparar obrigação legal, documentação interna e controles que a equipe efetivamente pratica.

Preparação reduz improviso diante de questionamento de cliente, auditoria contratual, apuração interna ou requisição da Autoridade Nacional de Proteção de Dados. O objetivo é explicar decisões, responsabilidades e resultados sem expor mais dados do que o necessário.

Monte um dossiê de evidências com estes documentos e registros:

  • inventário de tratamentos e matriz de bases legais;
  • políticas, normas e procedimentos internos vigentes;
  • evidências de treinamentos e comunicações às equipes;
  • relatórios de revisão de acessos, backups e testes de recuperação;
  • contratos, aditivos e avaliações de fornecedores críticos;
  • registros de incidentes, decisões tomadas e medidas corretivas;
  • histórico de solicitações de titulares e respostas encaminhadas.

Atenção: inconsistência entre documentos é um dos pontos mais sensíveis numa auditoria. Se a política prevê eliminação em certo prazo, mas os sistemas guardam cópias indefinidamente, a divergência precisa ser corrigida ou tecnicamente justificada.

Como organizar evidências de LGPD sem criar documentação meramente formal?

Evidências de LGPD devem registrar data, responsável, escopo, resultado e providência adotada diante de não conformidades. Não basta afirmar que houve treinamento, revisão de fornecedor ou eliminação de arquivos.

Evidência de conformidade é qualquer registro confiável que permita verificar uma decisão ou atividade. Ela precisa mostrar que o controle foi executado e que eventuais falhas receberam tratamento adequado.

Se o escritório diz que revisa os acessos à plataforma de gestão processual a cada semestre, deve conseguir apresentar a lista de usuários analisados, as permissões removidas, as exceções aprovadas e quem validou o procedimento. Uma ata genérica dizendo que “os acessos foram revisados” dificilmente comprova a efetividade do controle.

A produção de evidências também precisa respeitar minimização e sigilo. Guardar cópias integrais de documentos de clientes apenas para provar que um processo foi cumprido pode criar nova exposição. Sempre que possível, registre metadados, identificadores internos, logs e conclusões.

Crie uma matriz de evidências que relacione cada obrigação ou controle ao documento comprobatório, ao repositório de guarda e ao responsável pela atualização. Ela acelera respostas e mostra lacunas antes que um cliente corporativo, auditor externo ou autoridade competente as encontre.

O que fazer diante de uma requisição da ANPD ou de um cliente?

Diante de uma requisição da ANPD ou de um cliente, o escritório deve preservar registros, delimitar o objeto da solicitação, centralizar a resposta e designar responsáveis pela coleta e validação das informações. Receber uma requisição não significa, por si só, que houve infração.

A resposta precisa ser tecnicamente consistente e entregue dentro do prazo indicado. A primeira providência é preservar os registros relevantes, evitando alteração indevida de evidências durante a apuração.

Suponha que um cliente empresarial questione o armazenamento de documentos de empregados em uma plataforma usada pelo escritório. A resposta não deve se resumir ao envio da política de privacidade.

É preciso verificar o contrato aplicável, as instruções do cliente, os controles do fornecedor, o prazo de retenção e os acessos efetivamente concedidos ao material. Há risco tanto na resposta incompleta quanto no compartilhamento excessivo de relatórios internos, dados de outros clientes ou análises protegidas por sigilo profissional.

Mantenha um protocolo de resposta com registro de recebimento, classificação da demanda, responsáveis, documentos enviados e validação final. Em situações mais complexas, faça uma linha do tempo dos fatos e um memorando interno de fundamentação. A capacidade de explicar as decisões costuma pesar tanto quanto a documentação apresentada.

Como implementar um plano de adequação à LGPD por prioridades?

Um plano de adequação à LGPD deve priorizar riscos ligados a dados sensíveis, sigilo profissional, continuidade do negócio e obrigações contratuais. A ideia não é tentar fazer tudo ao mesmo tempo. Primeiro, corrija as exposições mais graves e mais prováveis.

Essa priorização permite que escritórios de tamanhos diferentes construam um programa viável. Medidas de processo, treinamento e gestão podem resolver vulnerabilidades relevantes antes da adoção de ferramentas complexas ou de projetos longos.

Uma sequência prática de implantação pode incluir as seguintes ações:

  • definição de responsável pela coordenação da privacidade;
  • mapeamento dos tratamentos e identificação de dados críticos;
  • correção de acessos excessivos e falhas de segurança prioritárias;
  • formalização de contratos e instruções com operadores;
  • criação de fluxos para incidentes e direitos dos titulares;
  • treinamento direcionado às áreas de maior risco;
  • monitoramento, auditoria e atualização periódica do programa.

Atenção: começar pela redação de documentos institucionais, sem conhecer os fluxos reais de dados, costuma produzir políticas desconectadas da operação e difíceis de aplicar pelas equipes.

Como definir prioridades de LGPD em um escritório com recursos limitados?

A priorização deve combinar probabilidade de ocorrência e impacto do evento, concentrando esforços nos tratamentos mais críticos. Dados sensíveis, dados de grande número de pessoas, informações submetidas a segredo de justiça e arquivos essenciais à defesa de clientes geralmente exigem resposta mais rápida.

Um pequeno escritório pode descobrir que seus maiores riscos não estão num sistema sofisticado, mas em pastas compartilhadas sem controle de acesso, contas de e-mail pessoais usadas para receber documentos e notebooks sem criptografia. Corrigir isso pode ser bem mais urgente do que comprar uma plataforma complexa de governança.

Nem toda falha pede o mesmo investimento. Algumas dependem de tecnologia; outras se resolvem com definição de processo, treinamento ou decisão de gestão. O erro comum é deixar vulnerabilidades básicas abertas enquanto projetos caros e demorados avançam devagar.

Use uma matriz de priorização com colunas para risco, requisito legal ou contratual, custo, esforço, dependência e prazo. Cada ação precisa ter um proprietário e um critério objetivo de conclusão, como “MFA ativo para todos os acessos remotos”, e não apenas “melhorar a segurança”.

Como engajar sócios, advogados e equipes administrativas na LGPD?

Para engajar sócios, advogados e equipes administrativas, apresente proteção de dados como tema de qualidade, continuidade e confiança, não como obrigação isolada do encarregado ou do setor de tecnologia. Cada função tem responsabilidade prática na segurança das informações.

Sócios definem prioridades e orçamento. Advogados controlam fluxos de documentos. Equipes administrativas operam cadastros, faturamento e comunicação com titulares. Por isso, regras genéricas têm menos efeito do que orientações adaptadas à atividade de cada grupo.

Numa banca de direito de família, a recepção pode receber por aplicativos de mensagem documentos com dados de menores, informações patrimoniais e relatos íntimos. Treinamento genérico sobre LGPD terá pouco efeito se não mostrar como registrar o atendimento, transferir os arquivos para ambiente autorizado e excluir cópias locais.

A resistência aparece quando as regras parecem entraves à produtividade. Exigir várias etapas sem explicar o risco, ou sem oferecer ferramenta adequada, incentiva atalhos como contas pessoais, compartilhamentos abertos e armazenamento fora dos ambientes institucionais.

Transforme procedimentos em orientações específicas por função e incorpore requisitos de privacidade à integração de novos profissionais, à contratação de ferramentas e à abertura de novos serviços. Patrocínio visível da liderança e comunicação de casos reais, sem expor pessoas indevidamente, mostram que o controle protege o cliente e o próprio escritório.

Como adequar um escritório de advocacia à LGPD de forma efetiva?

Adequar um escritório de advocacia à LGPD exige mapear tratamentos, limitar acessos e compartilhamentos, documentar decisões, preparar respostas a incidentes e revisar continuamente os controles. Conformidade efetiva junta sigilo profissional, segurança da informação, gestão contratual e governança operacional.

Se fosse preciso resumir a prioridade em dois pontos, seriam estes: conhecer o ciclo completo dos dados e aplicar controles proporcionais aos riscos identificados. A retenção de documentos jurídicos pode ser necessária para cumprir obrigação legal, preservar direitos e resguardar a defesa do cliente, desde que seja justificada, segura e limitada ao necessário.

Para manter o programa de pé no longo prazo, o escritório deve sustentar uma rotina prática de ações:

  • mapear dados, finalidades, bases legais e ciclos de retenção;
  • proteger documentos e sistemas com controles proporcionais ao risco;
  • estruturar resposta a incidentes e atendimento responsável aos titulares;
  • supervisionar operadores, softwares e demais fornecedores;
  • monitorar evidências, corrigir desvios e atualizar o programa continuamente.

Atenção: LGPD não exige a eliminação indiscriminada de documentos jurídicos. A retenção pode ser necessária para cumprir obrigação legal, preservar direitos e resguardar a defesa do cliente, desde que seja justificada, segura e limitada ao necessário.

Por que a privacidade deve integrar a estratégia do escritório?

Privacidade precisa entrar na estratégia do escritório porque a matéria-prima da advocacia é, muitas vezes, informação confidencial. Dados processuais, históricos médicos, informações patrimoniais, relatos pessoais e documentos corporativos pedem controles compatíveis com sua sensibilidade e com a confiança depositada pelo cliente.

Quando um cliente empresarial escolhe uma banca para conduzir investigação interna ou litígio relevante, ele também observa a capacidade do escritório de preservar evidências, restringir acessos e coordenar fornecedores. Uma falha de privacidade pode atingir a relação comercial, a estratégia do caso e uma reputação construída durante anos.

O desafio é escapar de dois extremos. De um lado, tratar a LGPD como formalidade documental. De outro, adotar restrições que ignoram a realidade jurídica. Proteção de dados deve preservar a agilidade necessária ao atendimento, sem transformar práticas arriscadas em rotina aceitável.

A maturidade aparece quando privacidade vira critério de decisão, da contratação de uma plataforma à definição do prazo de guarda de um dossiê. O escritório deixa de apenas reagir a problemas isolados e passa a administrar riscos de maneira previsível e defensável.

Como começar a adequação à LGPD no escritório agora?

O ponto de partida mais seguro é escolher um processo de alto risco e examiná-lo desde o recebimento do dado até sua eliminação ou retenção justificada. Esse exercício mostra quais dados entram no escritório, quem os consulta, onde ficam armazenados, quais terceiros participam e quais controles precisam mudar.

Por exemplo, uma área que recebe documentos médicos para ações previdenciárias pode começar revisando o canal de envio, a pasta de armazenamento, os perfis de acesso, a contratação de ferramentas de transcrição ou análise e o descarte de cópias depois do encerramento da atividade. O aprendizado pode ser levado aos demais fluxos.

Não espere incidente, exigência contratual ou fiscalização para começar a organizar a casa. Quanto mais tempo práticas informais ficam sem registro, maior será a dificuldade de reconstruir decisões, corrigir acessos e demonstrar diligência diante de um questionamento relevante.

Comece mapeando um fluxo crítico, corrija as falhas mais graves e formalize responsáveis, evidências e revisões periódicas. Aproveite ferramentas grátis da Voga que vão alavancar sua atuação profissional!

Perguntas frequentes

Escritório de advocacia precisa se adequar à LGPD?

Sim. Escritórios tratam dados pessoais de clientes, partes, testemunhas, empregados e fornecedores e, por isso, devem observar os princípios, bases legais e medidas de segurança previstos na LGPD.

  • O porte do escritório influencia a proporcionalidade dos controles, não a necessidade de proteção;
  • Dados sensíveis e documentos submetidos a sigilo exigem cuidados reforçados;
  • A conformidade deve refletir os fluxos reais da banca.

É obrigatório nomear um encarregado de dados em escritório de advocacia?

A necessidade de indicar encarregado depende das regras aplicáveis e da avaliação do caso concreto. A ANPD pode prever hipóteses de dispensa ou flexibilização, mas o escritório ainda deve manter canal de comunicação e responsáveis pela privacidade.

  • Defina quem recebe demandas de titulares e autoridades;
  • Formalize responsabilidades internas para incidentes e fornecedores;
  • Avalie volume, sensibilidade e complexidade dos tratamentos realizados.

Qual é o prazo para responder a uma solicitação de titular pela LGPD?

O prazo varia conforme o direito solicitado e a forma de resposta, nos termos do art. 19 da LGPD. O mais seguro é criar prazos internos menores para autenticar, triar e responder à solicitação com qualidade.

  • A confirmação de existência ou o acesso simplificado deve ser fornecido imediatamente, quando possível;
  • A declaração clara e completa pode ser fornecida em até 15 dias;
  • A resposta deve preservar dados de terceiros, segredo de justiça e sigilo profissional.

O escritório pode guardar documentos de ex-clientes?

Pode, desde que a retenção tenha finalidade legítima, seja limitada ao necessário e conte com proteção adequada. A eliminação imediata nem sempre é correta quando há obrigação legal, defesa de direitos ou necessidade de resguardar a responsabilidade profissional.

  • Defina prazos de retenção por tipo de documento e processo;
  • Restrinja acessos aos arquivos mantidos após o encerramento do caso;
  • Elimine ou anonimize cópias que não tenham mais justificativa de guarda.

WhatsApp pode ser usado para receber documentos de clientes?

Pode ser usado, mas não deve funcionar como repositório informal e permanente de documentos jurídicos. O escritório precisa orientar o recebimento, transferir os arquivos para ambiente autorizado e controlar acessos e cópias locais.

  • Prefira contas institucionais e dispositivos gerenciados;
  • Evite encaminhamentos desnecessários para grupos;
  • Estabeleça procedimento para armazenamento e exclusão segura das cópias.

O que acontece se um escritório vazar dados de clientes?

O vazamento pode gerar prejuízos ao titular, danos reputacionais, responsabilização contratual e medidas administrativas previstas na LGPD. O escritório deve conter o incidente, avaliar seu impacto e comunicar a ANPD e os titulares quando houver risco ou dano relevante.

  • Preserve evidências e registre todas as decisões tomadas;
  • Revogue acessos e interrompa a exposição o mais rápido possível;
  • Corrija a causa raiz para evitar reincidência.

Preciso de consentimento para tratar dados de clientes na advocacia?

Nem sempre. Muitas atividades jurídicas podem ser fundamentadas em execução de contrato, obrigação legal, exercício regular de direitos ou outra base legal aplicável. O consentimento deve ser usado apenas quando for realmente adequado à finalidade.

  • Registre a base legal de cada operação de tratamento;
  • Não use consentimento como autorização genérica para qualquer finalidade;
  • Para dados sensíveis, observe as hipóteses específicas do art. 11 da LGPD.

Como escolher um software jurídico compatível com a LGPD?

A escolha exige verificar como o fornecedor trata, protege, armazena e elimina dados pessoais. O contrato e as evidências de segurança devem ser proporcionais à criticidade das informações que a plataforma receberá.

  • Avalie controle de acesso, MFA, criptografia, backup e logs;
  • Verifique suboperadores, transferências internacionais e retenção de dados;
  • Exija cláusulas sobre incidentes, cooperação e devolução ou descarte de dados.

Base técnica e referências

Este conteúdo foi estruturado com base na Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais — LGPD), especialmente nas regras sobre princípios, bases legais, direitos dos titulares, segurança, registros de tratamento e responsabilização.

A interpretação prática e a atualização regulatória devem considerar as orientações, regulamentos e guias publicados pela Autoridade Nacional de Proteção de Dados (ANPD), autoridade responsável por zelar pela proteção de dados pessoais e fiscalizar o cumprimento da LGPD no Brasil.

Referências de autoridade:

Quer facilitar ainda mais a sua rotina? Conheça as ferramentas completas da Voga, feitas para quem quer atuar profissionalmente com estratégia e eficiência. 😎