A LGPD para escritórios exige que quem guarda dados de clientes saiba quais dados trata, por qual motivo, por quanto tempo e como eles estão protegidos. Se o seu escritório guarda dados de clientes, tem obrigações diretas nela. A responsabilidade não passa para o sistema, o fornecedor de TI ou o próprio cliente. Se algo vazar, existe prazo para comunicar. 

Escritórios de contabilidade e advocacia acumulam informação pessoal: documentos de identidade, holerites, declarações de imposto, processos, laudos. É essa rotina que a Lei Geral de Proteção de Dados (Lei 13.709/2018) olha de perto.

Neste artigo:

• Quem é controlador e quem é operador na LGPD? 
• Por que escritórios lidam com dados sensíveis o tempo todo? 
• Quais são as cinco obrigações da LGPD no dia a dia? 
• Até quando guardar os dados do cliente? 
• Vazou. E agora? O que fazer nas primeiras horas 
• Escritório pequeno tem regras mais leves? 
• O que acontece se o escritório não cumprir a LGPD? 
• Perguntas frequentes 
• Para fechar 

1. Quem é controlador e quem é operador na LGPD? 

A lei divide as responsabilidades entre dois papéis. O controlador decide para que os dados servem e como serão tratados. O operador trata os dados em nome do controlador, seguindo as instruções dele. 

Segundo o guia orientativo da Agência Nacional de Proteção de Dados (ANPD), a organização ocupa cada papel, e não as pessoas que trabalham nela. Funcionários, estagiários e sócios agem em nome do escritório. Além disso, a definição depende do contexto real, e não só do que está escrito em contrato. 

Situação	Papel mais provável do escritório	Por quê
Cadastro dos próprios clientes	Controlador	O escritório decide o que coleta e para quê.
Folha de pagamento dos funcionários de um cliente	Operador	A contabilidade processa os dados em nome da empresa cliente.
Atuação em um processo judicial	Controlador	O advogado decide quais dados usar na defesa, com autonomia técnica.

Um mesmo escritório pode ser controlador em uma atividade e operador em outra. O papel muda com a atividade, e não com o tamanho do escritório. atividade e operador em outra. O papel muda com a atividade, não com o tamanho do escritório.

2. Por que escritórios lidam com dados sensíveis o tempo todo?

A LGPD separa uma categoria com proteção reforçada: os dados pessoais sensíveis. Entram nela, entre outros, informações sobre saúde, origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato e dados biométricos. 

Parece distante, mas não é. Um atestado médico anexado à folha, a mensalidade sindical descontada no holerite, um laudo médico em um processo trabalhista, a biometria usada no ponto eletrônico de um cliente. Tudo isso é dado sensível. 

Há ainda um ponto específico para essas áreas. A ANPD inclui entre os critérios de risco relevante os dados protegidos por sigilo profissional, como os dados de clientes guardados por advogados e contadores. Por isso, o escritório deve comunicar um incidente com esse tipo de dado que possa afetar significativamente os titulares.

3. Quais são as cinco obrigações da LGPD no dia a dia? 

• Ter uma base legal para cada uso. A lei lista as situações em que o tratamento é permitido, como cumprir obrigação legal, executar contrato ou exercer direitos em processo. O consentimento é só uma delas. 
• Registrar as operações de tratamento. Controlador e operador devem manter registro do que fazem com os dados. A ANPD oferece um modelo simplificado para agentes de pequeno porte. 
• Proteger os dados. O art. 46 exige medidas técnicas e administrativas contra acessos indevidos, perdas e vazamentos, como controle de acesso, senhas fortes e backup. 
• Atender ao titular. Quem tem dados no escritório pode saber quais são, pedir correção e, em alguns casos, a exclusão. 
• Indicar um canal de contato. A regra geral é nomear um encarregado de proteção de dados, com exceções para pequeno porte (veja abaixo). 

4. Até quando guardar os dados do cliente?

A LGPD determina que os dados sejam eliminados quando o tratamento termina. Mas a própria lei abre exceções. Uma delas interessa diretamente aos escritórios: a guarda para cumprir obrigação legal ou regulatória. 

O escritório deve manter os documentos fiscais e trabalhistas pelo prazo legal de cada área. Já os processuais ficam guardados enquanto houver prazo para exercer direitos. O que a LGPD não permite é guardar “por via das dúvidas”, sem prazo e sem motivo. 

Vale montar uma tabela simples: tipo de documento, motivo da guarda e prazo. Quando o prazo vencer, o descarte precisa ser seguro, pois apagar o arquivo da pasta não é o mesmo que eliminar o dado.

5. Vazou. E agora? O que fazer nas primeiras horas 

Pelo Regulamento de Comunicação de Incidente de Segurança da ANPD (Resolução CD/ANPD nº 15/2024), o controlador precisa comunicar à ANPD e aos titulares todo incidente que possa gerar risco ou dano relevante. O prazo é de três dias úteis, contados do momento em que o escritório toma conhecimento de que dados pessoais foram afetados. 

Se o escritório atua como operador, como na folha de pagamento de um cliente, o primeiro passo é avisar o cliente, porque a comunicação cabe ao controlador. 

Um roteiro mínimo para não se perder: 

• Conter. Trocar senhas, isolar a máquina ou a conta comprometida e cortar o acesso indevido. 
• Registrar. Anotar a data e a hora em que se confirmou que dados pessoais foram afetados. É daí que o prazo de três dias úteis começa a contar. 
• Avaliar. Levantar quais dados foram afetados, de quantas pessoas e se há dados sensíveis ou protegidos por sigilo. 
• Comunicar. Se houver risco relevante, comunicar a ANPD pelo sistema oficial de peticionamento e avisar os clientes afetados, em linguagem clara. 

Mesmo quando o incidente não precisa ser comunicado, o escritório deve registrá-lo internamente por, no mínimo, cinco anos.

6. LGPD para escritório pequeno: há regras mais leves? 

Pode haver, se o escritório se enquadrar como microempresa ou empresa de pequeno porte. Segundo a Resolução CD/ANPD nº 2/2022, a ANPD: 

• dispensa a nomeação de encarregado, desde que exista um canal de comunicação com os titulares; 

• permite registro simplificado das operações de tratamento; 

• concede prazo em dobro para várias obrigações, inclusive a comunicação de incidentes. 

Mas as flexibilizações não valem para tratamento de alto risco. Ele ocorre quando se reúnem larga escala (ou possibilidade de afetar significativamente direitos) e outro critério, como o uso de dados sensíveis. Como escritórios lidam com esses dados, vale conferir o enquadramento antes de contar com o regime simplificado. 

Além disso, nenhuma flexibilização libera de proteger os dados ou respeitar os direitos dos titulares. 

7. O que acontece se o escritório não cumprir a LGPD? 

A LGPD prevê sanções administrativas, que a ANPD aplica. Elas vão da advertência à multa de até 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração. A lei também prevê a publicização da infração e a suspensão ou proibição do tratamento. 

Para um escritório, porém, o maior custo costuma estar fora da multa. Além de responder por danos aos titulares, quem vive de confiança perde muito quando os dados vazam. 

Perguntas frequentes 

• O escritório precisa de um encarregado (DPO)? 
  Pela regra geral, sim. Porém, microempresas e empresas de pequeno porte que não fazem tratamento de alto risco podem ser dispensadas, desde que mantenham um canal de comunicação com os titulares. 
• Mandar documento do cliente por e-mail é vazamento? 
  Enviar ao destinatário certo, por um canal adequado, não é. Enviar à pessoa errada, ou ter a caixa de e-mail invadida, pode configurar incidente de segurança. 
• O cliente pode pedir para eu apagar os dados dele? 
  Pode pedir, mas o escritório não precisa apagar o que deve guardar por obrigação legal ou regulatória. Vale explicar o motivo e o prazo da guarda. 
• Se o sistema que eu uso vazar os dados, a culpa é do fornecedor? 
  O fornecedor pode responder, mas o escritório continua responsável. Por isso, vale prever no contrato como cada parte cuida dos dados.

A LGPD para escritórios não pede que se vire especialista em tecnologia. Pede que ele saiba quais dados guarda, por que guarda, por quanto tempo e quem tem acesso. Aqui no blog da TechsLab, a ideia é explicar a tecnologia da rotina da empresa sem complicar. No próximo artigo: como reconhecer um e-mail falso antes de clicar.