Adequação LGPD para Escritórios de Advocacia

A adequação à LGPD deixou de ser opcional para escritórios de advocacia e se tornou requisito essencial de credibilidade, segurança e sobrevivência no mercado jurídico atual.

Por que a LGPD impacta diretamente os escritórios de advocacia

Escritórios de advocacia lidam diariamente com um volume expressivo de dados pessoais e dados pessoais sensíveis. Informações de clientes, documentos processuais, prontuários médicos anexados a ações previdenciárias, dados financeiros para cálculos trabalhistas, tudo isso constitui tratamento de dados nos termos da Lei 13.709/2018 (Lei Geral de Proteção de Dados Pessoais). Quando analisamos a rotina de um escritório, percebemos que praticamente toda atividade envolve alguma forma de coleta, armazenamento, compartilhamento ou eliminação de dados pessoais.

A particularidade do setor jurídico reside no fato de que muitos desses dados são sensíveis por natureza. Informações sobre saúde em ações previdenciárias, dados sobre convicções religiosas ou filiação partidária em processos de família, registros criminais em defesas penais: o enquadramento legal exige cuidado redobrado. Não basta tratar esses dados com boa-fé; é necessário demonstrar conformidade ativa, com registros, políticas e procedimentos documentados.

Além da obrigação legal, a adequação à LGPD representa um diferencial competitivo significativo. Clientes corporativos já exigem de seus prestadores de serviços jurídicos a comprovação de conformidade com a legislação de proteção de dados. Escritórios que não conseguem demonstrar essa adequação perdem contratos, especialmente em processos de seleção conduzidos por empresas que já passaram por seus próprios programas de compliance. A due diligence de dados, nesse contexto, funciona como o primeiro passo para mapear riscos e construir um programa de conformidade robusto.

Due diligence de dados: o diagnóstico essencial

A due diligence de dados consiste em um levantamento minucioso de todas as operações de tratamento de dados pessoais realizadas pelo escritório. Esse processo envolve identificar quais dados são coletados, por quais meios, com qual finalidade, onde são armazenados, quem tem acesso a eles, por quanto tempo são mantidos e como são descartados. Sem esse mapeamento inicial, qualquer tentativa de adequação será superficial e incompleta.

Quando conduzimos uma due diligence em escritórios de advocacia, verificamos que os pontos mais críticos costumam estar em áreas que passam despercebidas no dia a dia. O recebimento de documentos por e-mail sem criptografia, o armazenamento de processos em pastas compartilhadas sem controle de acesso, o uso de aplicativos de mensagens pessoais para troca de informações processuais, a manutenção de cadastros antigos de clientes sem política de retenção definida: cada um desses pontos representa uma vulnerabilidade concreta.

O mapeamento deve abranger todas as áreas do escritório, desde a recepção (que coleta dados de visitantes) até o departamento financeiro (que processa dados bancários de clientes para repasse de valores). Incluem-se também os sistemas de gestão processual, os servidores de arquivos, os backups em nuvem, os dispositivos móveis dos advogados e colaboradores, e até mesmo os documentos físicos armazenados em arquivo morto. A due diligence precisa ser exaustiva para cumprir seu papel de diagnóstico.

Para cada operação de tratamento identificada, registramos a base legal aplicável conforme o artigo 7º da LGPD. No caso de escritórios de advocacia, as bases legais mais frequentemente utilizadas são o exercício regular de direitos em processo judicial (artigo 7º, VI), a execução de contrato (artigo 7º, V) e o legítimo interesse (artigo 7º, IX). Para dados sensíveis, analisamos as hipóteses do artigo 11, com atenção especial ao exercício regular de direitos e à tutela da saúde, quando aplicáveis.

Estruturando o programa de conformidade no escritório

Após a conclusão da due diligence, o próximo passo é estruturar o programa de conformidade propriamente dito. Esse programa deve contemplar a elaboração de políticas internas, a implementação de medidas técnicas de segurança, a definição de processos para atendimento aos direitos dos titulares e a capacitação de todos os profissionais do escritório.

A Política de Privacidade do escritório precisa ser clara e acessível, informando aos clientes e demais titulares como seus dados são tratados. Diferentemente de políticas genéricas copiadas da internet, esse documento deve refletir a realidade específica do escritório, detalhando as categorias de dados tratados, as finalidades de cada tratamento, os terceiros com quem os dados podem ser compartilhados (como tribunais, peritos e correspondentes) e os direitos que os titulares podem exercer.

As medidas técnicas de segurança incluem a implementação de controles de acesso baseados em perfis (garantindo que cada profissional acesse apenas os dados necessários para suas funções), a criptografia de dados em trânsito e em repouso, a realização de backups regulares com testes periódicos de restauração, a utilização de antivírus e firewalls atualizados, e a adoção de autenticação em dois fatores para acesso aos sistemas do escritório. Verificamos que muitos escritórios negligenciam essas medidas básicas, confiando exclusivamente na boa-fé de seus colaboradores.

O Registro de Operações de Tratamento (ROPA, na sigla em inglês) é um documento obrigatório que consolida todas as informações levantadas na due diligence. Ele deve ser mantido atualizado e disponibilizado à Autoridade Nacional de Proteção de Dados (ANPD) quando solicitado. Para escritórios de advocacia, recomendamos organizar o ROPA por área de atuação (previdenciário, trabalhista, cível, tributário), facilitando a visualização dos fluxos de dados específicos de cada prática.

A conformidade com a LGPD não é um projeto com data de término, mas um processo contínuo que exige revisão constante das práticas de tratamento de dados no escritório.

Gestão de terceiros e compartilhamento de dados

Um aspecto frequentemente subestimado na adequação de escritórios de advocacia é a gestão dos terceiros com quem os dados são compartilhados. Correspondentes jurídicos, peritos, tradutores, empresas de tecnologia que fornecem sistemas de gestão, provedores de armazenamento em nuvem, contadores: todos esses parceiros recebem, em algum momento, dados pessoais tratados pelo escritório.

A LGPD estabelece que o controlador (no caso, o escritório) responde solidariamente pelos danos causados pelo operador (os terceiros que tratam dados sob suas instruções). Isso significa que, se um correspondente jurídico sofrer um vazamento de dados que foram compartilhados pelo escritório, este poderá ser responsabilizado. Por esse motivo, a due diligence de dados deve se estender aos fornecedores e parceiros, avaliando suas práticas de segurança e conformidade.

Na prática, isso se traduz na inclusão de cláusulas contratuais específicas sobre proteção de dados em todos os contratos com terceiros. Essas cláusulas devem estabelecer as obrigações do operador quanto à segurança dos dados, a proibição de uso dos dados para finalidades diversas daquelas determinadas pelo escritório, a obrigação de notificação imediata em caso de incidentes de segurança e o compromisso de cooperação para atendimento aos direitos dos titulares. Analisamos que escritórios que implementam essa governança contratual reduzem significativamente sua exposição a riscos.

Também é fundamental avaliar os sistemas e ferramentas utilizados pelo escritório. Softwares de gestão processual, plataformas de assinatura digital, serviços de armazenamento em nuvem e ferramentas de comunicação devem ser analisados sob a ótica da proteção de dados. Verificamos se esses fornecedores possuem políticas de privacidade adequadas, se oferecem recursos de segurança compatíveis com a sensibilidade dos dados tratados e se armazenam os dados em servidores localizados em países que oferecem nível adequado de proteção.

Cultura de proteção de dados e treinamento contínuo

A adequação à LGPD não se esgota na elaboração de documentos e na implementação de ferramentas tecnológicas. O elemento humano é, na maioria dos incidentes de segurança, o elo mais vulnerável da cadeia. Funcionários que clicam em links de phishing, advogados que utilizam senhas fracas, estagiários que compartilham documentos processuais por canais não seguros: essas situações cotidianas representam riscos concretos que nenhuma política escrita, por si só, consegue mitigar.

Por isso, o programa de conformidade deve incluir um plano de treinamento contínuo e abrangente. Todos os profissionais do escritório, desde os sócios até os estagiários e funcionários administrativos, precisam compreender os princípios básicos da LGPD, reconhecer situações de risco no tratamento de dados, saber como reportar incidentes e conhecer os procedimentos internos para atendimento aos direitos dos titulares. Esses treinamentos devem ser periódicos (recomendamos no mínimo semestrais) e atualizados conforme a evolução da legislação e das orientações da ANPD.

A nomeação de um Encarregado de Proteção de Dados (DPO) é outra medida relevante. A LGPD prevê essa figura como canal de comunicação entre o controlador, os titulares e a ANPD. Em escritórios de menor porte, essa função pode ser acumulada por um dos sócios ou por um profissional administrativo capacitado. Em escritórios maiores, pode ser designado um profissional dedicado ou contratado um serviço terceirizado de DPO as a Service. O importante é que essa pessoa tenha autonomia, conhecimento adequado e acesso direto à liderança do escritório.

Também recomendamos a elaboração de um Plano de Resposta a Incidentes de Segurança. Esse documento define os procedimentos a serem adotados em caso de vazamento ou acesso não autorizado a dados pessoais, incluindo a identificação e contenção do incidente, a avaliação de sua gravidade, a comunicação à ANPD e aos titulares afetados (quando aplicável) e as medidas corretivas. A LGPD determina que a comunicação à ANPD deve ser feita em prazo razoável, conforme regulamentação específica. Ter um plano pronto evita decisões precipitadas em momentos de crise e demonstra diligência por parte do escritório.

Por fim, o programa de conformidade deve prever revisões periódicas. A due diligence de dados não é um exercício pontual; ela deve ser repetida sempre que houver mudanças significativas nas operações do escritório, como a adoção de novos sistemas, a abertura de novas áreas de atuação, a contratação de novos fornecedores ou a publicação de novas regulamentações pela ANPD. Essa abordagem cíclica garante que o escritório mantenha sua conformidade ao longo do tempo e esteja preparado para responder a eventuais fiscalizações ou questionamentos de clientes.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada.