LGPD para escritório de advocacia: base legal, dado sensível, encarregado e incidente

O escritório de advocacia trata dado pessoal o dia inteiro: do cliente, da parte contrária, de testemunhas, de empregados. A LGPD (Lei 13.709/2018) se aplica a tudo isso, mas tem regras que facilitam a vida do advogado, a começar pela base legal do exercício de direitos em processo. Este guia mostra o que vale para o escritório, artigo por artigo, e fecha com um checklist.

1. Base legal: o escritório não depende só de consentimento

O art. 7º lista dez hipóteses que autorizam o tratamento de dado pessoal. Para o escritório, três resolvem quase tudo: a execução do contrato com o cliente (inciso V), o cumprimento de obrigação legal, como a fiscal e a trabalhista (inciso II), e o exercício regular de direitos em processo judicial, administrativo ou arbitral (inciso VI). É esta última que permite tratar dado da parte contrária e de testemunhas sem pedir autorização a elas.

Mesmo sem consentimento, as demais obrigações continuam: finalidade, necessidade, segurança e os direitos do titular (art. 7º, §6º).

2. Dado sensível: saúde, biometria, filiação sindical

Laudo médico em ação previdenciária, prontuário em erro médico, filiação sindical em trabalhista: são dados sensíveis. O art. 11, II, d, permite tratá-los sem consentimento quando indispensável ao exercício regular de direitos, inclusive em contrato e em processo. A palavra que pesa é "indispensável": guarde só o que o caso exige e restrinja quem acessa.

3. Por quanto tempo guardar

Terminado o tratamento, o dado deve ser eliminado, salvo as exceções do art. 16, entre elas o cumprimento de obrigação legal ou regulatória. Na prática, o escritório define uma política: o que guarda depois de encerrado o caso, por quanto tempo e por quê (prazo de prescrição de eventual ação do cliente, obrigação fiscal), e o que descarta.

4. Encarregado de dados (DPO)

O art. 41 manda o controlador indicar um encarregado e divulgar o contato dele, de preferência no site. A própria lei autorizou a ANPD a dispensar a indicação conforme o porte (§3º), e a Resolução CD/ANPD nº 2/2022 fez isso para os agentes de tratamento de pequeno porte, que podem manter um canal de comunicação com o titular no lugar do encarregado, salvo as exceções que a resolução prevê. Escritório pequeno costuma se enquadrar; confira as condições na resolução.

5. Vazamento: o que fazer

Incidente de segurança que possa causar risco ou dano relevante aos titulares precisa ser comunicado à ANPD e aos titulares (art. 48), com a descrição dos dados, os titulares envolvidos, as medidas de segurança, os riscos e as providências. A Resolução CD/ANPD nº 15/2024 fixou o prazo em 3 dias úteis, contado em dobro para agentes de pequeno porte.

Os casos mais comuns no escritório: e-mail com documentos enviado ao destinatário errado, notebook ou celular perdido sem senha, conta de e-mail invadida e planilha de clientes compartilhada por link aberto.

6. LGPD e inteligência artificial

Colar documento de cliente numa ferramenta de IA é tratamento de dado e, muitas vezes, compartilhamento com terceiro. A Recomendação 001/2024 da OAB pede atenção à LGPD antes de inserir dado confidencial e diligência na escolha do fornecedor (itens 2.2 a 2.5), além de consentimento escrito do cliente para o uso de IA. O resumo e o modelo de termo estão em Recomendação 001/2024 da OAB, e o modelo de contrato de honorários já traz cláusula de LGPD e de IA.

Perguntas frequentes

Preciso de consentimento do cliente para tratar os dados dele?

Em regra não. A execução do contrato e o exercício regular de direitos em processo (art. 7º, V e VI) já autorizam. O consentimento é necessário para finalidades fora disso, como marketing.

Posso tratar dados da parte contrária?

Sim, para o exercício regular de direitos em processo judicial, administrativo ou arbitral (art. 7º, VI), observando finalidade e necessidade.

Escritório pequeno precisa de encarregado (DPO)?

A Resolução CD/ANPD nº 2/2022 permite que agentes de pequeno porte mantenham um canal de comunicação com o titular no lugar do encarregado, salvo as exceções da própria resolução.

Qual o prazo para comunicar vazamento à ANPD?

3 dias úteis, pela Resolução CD/ANPD nº 15/2024, contados em dobro para agentes de pequeno porte.