律师事务所的LGPD合规整改

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

对于律师事务所而言，LGPD（巴西《通用个人数据保护法》）合规已不再是可选项，而是关系到当下法律服务市场中公信力、安全乃至生存的核心要求。

为什么LGPD会直接影响律师事务所

律师事务所每天都要处理大量个人数据和敏感个人数据：客户信息、诉讼文件、社会保障案件中附带的医疗病历、用于劳动债权计算的财务数据……依据第13.709/2018号法律（《通用个人数据保护法》），这些都属于数据处理行为。只要看一看事务所的日常运作就会发现，几乎每一项工作都涉及对个人数据的收集、存储、共享或删除。

法律服务行业的特殊之处在于，其中许多数据本身就具有敏感性：社会保障案件中的健康信息、家事案件中涉及宗教信仰或政党归属的数据、刑事辩护中的犯罪记录。在法律定性上，这些数据都需要格外谨慎对待。仅仅出于善意处理这些数据是不够的，还必须以记录在案的登记、政策和程序来证明事务所在积极履行合规义务。

除了法律义务之外，LGPD合规还是一项重要的竞争优势。企业客户如今已经要求其法律服务提供方出具符合数据保护法规的证明。无法证明自身合规的事务所，会因此丢掉合同，尤其是在那些本身已经实施过合规（compliance）项目的企业所主导的遴选过程中。在这种情况下，数据尽职调查（due diligence）就是梳理风险、构建稳健合规体系的第一步。

数据尽职调查：必不可少的诊断

数据尽职调查，是对事务所开展的全部个人数据处理活动进行细致的全面梳理。这一过程需要查明：收集了哪些数据、通过什么方式收集、出于什么目的、存放在哪里、谁可以接触、保存多长时间，以及如何销毁。没有这一前期梳理，任何合规整改的尝试都只会流于表面、不够完整。

我们对律师事务所开展尽职调查时发现，最关键的薄弱环节往往出现在日常中不易察觉的地方：通过未加密的电子邮件接收文件；把案件材料存放在没有访问控制的共享文件夹里；使用个人即时通讯软件交换案件信息；长期保留旧客户档案却没有明确的留存政策。这些情形，每一项都是实实在在的漏洞。

梳理工作应覆盖事务所的所有部门，从前台（收集访客数据）到财务部门（处理客户银行数据以便转付款项）。案件管理系统、文件服务器、云备份、律师和工作人员的移动设备，乃至存放在旧档案室中的纸质文件，也都应纳入其中。尽职调查只有做到详尽无遗，才能真正发挥诊断的作用。

对于查明的每一项数据处理活动，我们都会依据LGPD第7条登记其适用的法律依据。就律师事务所而言，最常用的法律依据是：在司法程序中正当行使权利（第7条，VI项）、履行合同（第7条，V项）以及正当利益（第7条，IX项）。对于敏感数据，则分析第11条规定的各种情形，并在适用时特别关注正当行使权利和保护健康这两项。

在事务所内搭建合规体系

尽职调查完成之后，下一步就是搭建合规体系本身。该体系应当包括：制定内部政策、落实技术安全措施、确定处理数据主体权利请求的流程，以及对事务所全体人员进行培训。

事务所的隐私政策必须清晰易懂，向客户及其他数据主体说明其数据是如何被处理的。与从网上照搬的通用政策不同，这份文件应当反映事务所的实际情况，详细说明所处理的数据类别、每项处理的目的、数据可能被共享的第三方（如法院、鉴定人和代理律师），以及数据主体可以行使的权利。

技术安全措施包括：实施基于角色的访问控制（确保每位人员只能接触履行职责所必需的数据）；对传输中和存储中的数据加密；定期备份并定期进行恢复测试；使用及时更新的杀毒软件和防火墙；以及对事务所系统的访问采用双因素认证。我们发现，许多事务所忽视了这些基本措施，完全依赖员工的善意。

LGPD合规不是一个有终止日期的项目，而是一个持续的过程，需要不断审视事务所的数据处理做法。

数据处理活动记录（ROPA，英文缩写）是一份强制性文件，用来汇总尽职调查中梳理出的全部信息。它必须保持更新，并在国家数据保护局（ANPD）提出要求时提供。对于律师事务所，建议按业务领域（社会保障、劳动、民事、税务）来编排ROPA，以便清楚呈现各业务线特有的数据流向。

第三方管理与数据共享

在律师事务所的合规整改中，一个常被低估的方面，是对数据共享对象的第三方管理。法律代理律师、鉴定人、翻译人员、提供管理系统的科技公司、云存储服务商、会计师：这些合作方都会在某个环节接触到事务所处理的个人数据。

LGPD规定，控制者（在此即事务所）对处理者（即按其指示处理数据的第三方）造成的损害承担连带责任。这意味着，如果某位法律代理律师发生数据泄露，而泄露的数据是由事务所共享的，事务所可能要承担责任。因此，数据尽职调查应当延伸到供应商和合作伙伴，评估其安全与合规做法。

在实践中，这体现为在所有与第三方签订的合同中加入有关数据保护的专门条款。这些条款应当明确处理者在数据安全方面的义务、禁止将数据用于事务所指定目的之外的其他用途、发生安全事件时立即通知的义务，以及配合落实数据主体权利的承诺。我们的分析表明，落实这种合同治理的事务所，能够显著降低自身面临的风险。

评估事务所所使用的系统和工具同样十分重要。案件管理软件、电子签名平台、云存储服务和沟通工具，都应当从数据保护的角度加以审查，包括：这些供应商是否有适当的隐私政策，所提供的安全功能是否与所处理数据的敏感程度相匹配，以及数据是否存放在提供充分保护水平的国家的服务器上。

数据保护文化与持续培训

LGPD合规并不止于起草文件和部署技术工具。在大多数安全事件中，人的因素才是整个链条中最薄弱的一环。点击钓鱼链接的员工、使用弱密码的律师、通过不安全渠道分享案件文件的实习生：这些日常情形所带来的现实风险，是任何书面政策单靠自身都无法化解的。

因此，合规体系应当包含一项持续而全面的培训计划。从合伙人到实习生和行政人员，事务所的所有人员都需要了解LGPD的基本原则，能够识别数据处理中的风险情形，知道如何报告事件，并熟悉内部处理数据主体权利请求的程序。培训应当定期开展（建议至少每半年一次），并随法律的变化和ANPD指引的更新而调整。

指定数据保护官（DPO）是另一项重要措施。LGPD将这一角色设定为控制者、数据主体与ANPD之间的沟通渠道。在规模较小的事务所，这一职能可以由某位合伙人或经过培训的行政人员兼任；在规模较大的事务所，则可以指定专职人员，或聘用外包的“DPO即服务”（DPO as a Service）。关键在于，这个人要有自主权、具备相应的知识，并且能够直接向事务所管理层汇报。

我们还建议制定一份安全事件应对计划。这份文件规定一旦发生个人数据泄露或未经授权的访问时应采取的程序，包括事件的识别与控制、严重程度的评估、向ANPD及受影响的数据主体通报（如适用），以及补救措施。LGPD规定，向ANPD的通报应在合理期限内完成，具体依据专门的规定执行。备有现成的计划，可以避免在危机时刻仓促决策，也能体现事务所的审慎勤勉。

最后，合规体系应当规定定期复查。数据尽职调查不是一次性的工作；每当事务所的运营发生重大变化时，例如采用新系统、开辟新的业务领域、聘用新的供应商，或ANPD发布新的规定，都应当重新进行。这种循环往复的做法，能够确保事务所长期保持合规，并为应对可能的监督检查或客户质询做好准备。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.