Escritórios de advocacia e profissionais liberais lidam diariamente com informações que exigem cuidado. Nome, CPF, endereço, documentos financeiros, contratos, dados de saúde, informações familiares e até detalhes sobre processos judiciais podem fazer parte da rotina de atendimento.
O problema é que esses dados nem sempre ficam concentrados em um ambiente controlado. É comum encontrar documentos espalhados em e-mails, mensagens de WhatsApp, planilhas, computadores pessoais e pastas compartilhadas sem uma política clara de acesso.
Com a Lei Geral de Proteção de Dados, essa desorganização deixou de representar apenas um problema operacional. A empresa ou profissional que trata dados pessoais precisa compreender por que coleta cada informação, quem pode acessá-la, por quanto tempo ela deve ser mantida e quais medidas são adotadas para protegê-la.
Um ERP pode contribuir nesse processo ao centralizar cadastros e permitir maior controle sobre o acesso às informações. Isso não significa que o sistema, sozinho, torne um escritório adequado à LGPD. A conformidade envolve procedimentos, segurança, documentos, treinamento e análise jurídica das operações de tratamento.
As informações públicas da ANPD sobre fiscalização e processos sancionadores não estabelecem atualmente uma prioridade geral voltada especificamente a pequenos escritórios de advocacia ou profissionais liberais.
A Autoridade atua de acordo com critérios regulatórios, denúncias, incidentes, riscos aos titulares e prioridades definidas em sua agenda de fiscalização.
Isso não torna esses profissionais imunes à LGPD.
Pelo contrário: escritórios e profissionais que tratam dados pessoais estão sujeitos à legislação quando enquadrados como agentes de tratamento e precisam adotar medidas compatíveis com os riscos envolvidos.
A própria ANPD possui regulamentação específica para agentes de tratamento de pequeno porte, demonstrando que pequenas empresas e determinados agentes possuem obrigações, ainda que algumas regras sejam flexibilizadas.
O risco não está apenas na quantidade de dados armazenados.
Um pequeno escritório pode possuir uma carteira relativamente enxuta e, mesmo assim, tratar informações de elevada sensibilidade.
Um advogado que atua em Direito de Família pode receber documentos relacionados à saúde, religião, vida privada e situação patrimonial do cliente.
Um profissional que atua em demandas previdenciárias ou trabalhistas pode ter acesso a laudos médicos e informações sobre condições de saúde.
Esses dados exigem cuidado especial.
Quanto mais dispersas estiverem as informações, maior a dificuldade de saber onde determinada cópia foi armazenada, quem possui acesso e se ela continua sendo necessária.
A primeira medida de proteção, portanto, costuma ser organizacional: saber quais dados existem e onde eles estão.
A existência de um escritório pequeno não significa que qualquer irregularidade será automaticamente considerada de menor gravidade.
A análise de infrações e sanções considera fatores previstos na LGPD e no regulamento de dosimetria da ANPD.
Natureza e gravidade da infração, direitos afetados, boa-fé, vantagem obtida, condição econômica, reincidência, grau do dano e adoção de mecanismos internos de proteção estão entre os elementos que podem influenciar a resposta sancionatória.
Ao mesmo tempo, a ANPD criou tratamento regulatório diferenciado para os agentes de pequeno porte.
Essa flexibilização, porém, não funciona como dispensa geral da LGPD. A Resolução CD/ANPD nº 2/2022 estabelece expressamente que esses agentes continuam obrigados a adotar medidas administrativas e técnicas essenciais de segurança, levando em consideração os riscos envolvidos no tratamento.
A ANPD mantém uma seção pública destinada às sanções administrativas e aos processos sancionadores concluídos ou em andamento. Entre os casos divulgados estão empresas privadas e órgãos públicos.
Isso não reduz o risco jurídico do profissional.
A LGPD prevê sanções administrativas que podem incluir advertência, multa, publicização da infração, bloqueio e eliminação dos dados, conforme a hipótese e o procedimento aplicável.
Além da atuação da ANPD, incidentes relacionados a dados pessoais podem gerar responsabilidade civil e conflitos com clientes.
Por isso, a adequação não deve depender da percepção de que determinado segmento ainda não apareceu com frequência nas decisões sancionatórias.
A LGPD ampliou a discussão sobre privacidade no relacionamento entre empresas e clientes.
O titular pode solicitar informações sobre o tratamento dos seus dados, confirmação da existência de tratamento e acesso às informações nos termos da legislação.
Dependendo da situação, também existem direitos relacionados à correção, anonimização, bloqueio, eliminação e portabilidade, observados os requisitos legais correspondentes.
Isso muda a rotina do profissional.
Não basta saber onde está o contrato físico assinado anos atrás. É necessário compreender onde os dados daquele cliente estão armazenados e quais finalidades justificam sua manutenção.
Quando a informação está espalhada por diferentes contas de e-mail, celulares e planilhas pessoais, responder a uma solicitação se torna mais difícil.
A LGPD não protege apenas informações consideradas íntimas.
Um dado pessoal é uma informação relacionada a uma pessoa natural identificada ou identificável.
Isso inclui informações aparentemente simples, como nome e telefone.
A legislação também cria uma categoria específica para dados pessoais sensíveis, que recebem proteção mais rigorosa.
Dados cadastrais estão entre as informações mais frequentes na rotina de um escritório.
Nome completo, CPF, RG, endereço, telefone e e-mail normalmente são necessários para identificar o cliente, celebrar contratos e prestar o serviço.
O fato de serem informações comuns não significa que possam ser utilizadas sem critérios.
A empresa precisa possuir uma finalidade para o tratamento e enquadrá-lo em alguma das bases legais previstas na LGPD.
Também deve limitar a coleta ao que efetivamente é necessário.
Solicitar informações que nunca serão utilizadas apenas porque “sempre foi assim” é uma prática que merece revisão.
A LGPD classifica como sensíveis informações relacionadas a origem racial ou étnica, convicção religiosa, opinião política, filiação sindical ou a organização de caráter religioso, filosófico ou político, saúde, vida sexual, dados genéticos e biométricos, quando vinculados a uma pessoa natural.
Um escritório pode tratar essas informações sem perceber imediatamente que está diante de uma categoria diferenciada.
Um processo trabalhista pode conter informações médicas.
Uma ação de família pode reunir aspectos relacionados à vida privada e à saúde.
Uma demanda sucessória pode envolver informações que ultrapassam os dados cadastrais básicos.
A classificação é importante porque as bases legais aplicáveis aos dados sensíveis não são exatamente as mesmas previstas para dados pessoais comuns.
A existência de um dado dentro de um processo não elimina a aplicação da LGPD.
O profissional precisa verificar a natureza da informação e a finalidade para a qual ela é utilizada.
Também não existe uma única base legal aplicável a todos os dados de um escritório.
Em relações profissionais podem existir tratamentos necessários para execução de contrato, cumprimento de obrigação legal ou regulatória, exercício regular de direitos em processo judicial, administrativo ou arbitral, entre outras hipóteses previstas na LGPD.
Por isso, o mapeamento deve ser feito por atividade.
O escritório precisa perguntar: por que coletamos esse dado? Para qual finalidade ele é utilizado? Qual fundamento jurídico sustenta esse tratamento?
Um dos erros mais comuns na adequação à LGPD é tratar o consentimento como a solução para qualquer operação.
A legislação possui várias bases legais.
Em uma relação contratual, por exemplo, determinado tratamento pode ser necessário para execução do próprio contrato.
Em outros casos, pode decorrer de obrigação legal ou do exercício regular de direitos.
O legítimo interesse também é uma das bases previstas pela LGPD, mas sua aplicação exige análise da finalidade, necessidade, expectativa legítima do titular e impactos sobre seus direitos.
A ANPD orienta que essa avaliação seja realizada de forma estruturada, inclusive com teste de balanceamento. Além disso, o legítimo interesse não é hipótese aplicável ao tratamento de dados pessoais sensíveis.
O consentimento pode ser utilizado quando for efetivamente a base jurídica adequada à operação.
Ele precisa ser livre, informado e inequívoco, relacionado a uma finalidade determinada.
Não é recomendável pedir consentimento apenas para criar uma aparência de conformidade.
Se determinada informação precisa ser tratada porque é indispensável à execução do contrato ou ao exercício de um direito, utilizar consentimento pode inclusive gerar confusão sobre a possibilidade de revogação.
A base legal deve refletir a realidade do tratamento.
Por isso, é importante evitar modelos genéricos em que o cliente simplesmente “autoriza tudo” de forma ampla.
O legítimo interesse pode ser considerado em determinadas operações envolvendo dados pessoais não sensíveis.
Ele não funciona como autorização ampla para utilizar qualquer informação sem consentimento.
O controlador precisa demonstrar uma finalidade legítima, verificar se o tratamento é necessário e equilibrar seu interesse com os direitos e expectativas do titular.
A ANPD recomenda a análise de finalidade, necessidade, balanceamento e salvaguardas.
Se os direitos e liberdades fundamentais do titular prevalecerem, o legítimo interesse não será a base adequada.
Um ERP não garante conformidade com a LGPD.
Ele pode, entretanto, resolver uma parte importante do problema: a desorganização das informações.
Quando cadastros, dados financeiros e registros administrativos estão centralizados, a empresa reduz a dependência de arquivos paralelos e melhora sua capacidade de localizar e controlar informações.
A tecnologia precisa fazer parte de um processo maior de governança.
WhatsApp e e-mail podem continuar sendo utilizados na comunicação profissional.
O problema aparece quando se tornam os únicos locais onde informações importantes permanecem armazenadas.
Um documento recebido por mensagem pode ser necessário para o atendimento, mas isso não significa que a conversa inteira deva se transformar no arquivo definitivo daquele cliente.
Centralizar informações relevantes em sistemas definidos pelo escritório facilita a administração do ciclo de vida dos dados.
Também reduz a dependência do telefone pessoal de um advogado ou colaborador.
Se alguém sair da equipe, a informação não deveria sair com essa pessoa.
Um dos princípios de segurança mais importantes é limitar o acesso às informações conforme a necessidade de cada função.
Nem todos os colaboradores precisam consultar todos os dados.
Um estagiário responsável por determinada rotina pode precisar de um nível de acesso diferente daquele utilizado pelo sócio ou pelo setor financeiro.
O GestãoClick permite cadastrar usuários e configurar permissões de acesso, inclusive definindo quais funcionalidades cada usuário pode visualizar ou utilizar.
Esse recurso pode auxiliar a política de acesso do escritório.
A configuração, porém, depende de decisão interna. Possuir a funcionalidade sem definir quem deve acessar cada tipo de dado não resolve o problema de governança.
A rastreabilidade é um recurso relevante na escolha de sistemas utilizados para tratar dados pessoais.
Logs podem ajudar a identificar alterações, operações realizadas e outros eventos conforme as funcionalidades oferecidas por cada plataforma.
É importante, entretanto, verificar concretamente quais registros o sistema utilizado disponibiliza.
No GestãoClick, os logs do sistema registram quem fez cada operação e o IP de acesso, e ficam em Relatórios › Logs do Sistema.
Mais do que simplesmente “ter histórico”, o escritório deve definir quais eventos precisam ser monitorados e por quanto tempo os registros serão mantidos.
A expressão “direito ao esquecimento” deve ser utilizada com cautela.
A LGPD prevê hipóteses de eliminação de dados pessoais, mas não estabelece um direito absoluto de exigir que qualquer informação seja apagada imediatamente.
O escritório pode possuir obrigação legal ou regulatória de conservação, necessidade de manutenção para exercício regular de direitos ou outra hipótese legítima prevista na legislação.
Por isso, uma solicitação de exclusão precisa ser analisada antes da remoção.
A centralização em um sistema ajuda porque facilita localizar onde os dados estão cadastrados.
O procedimento jurídico, entretanto, precisa responder primeiro se aquele dado pode ser eliminado e quais registros devem permanecer.
A adequação pode parecer complexa porque envolve tecnologia, documentos e procedimentos.
Para um escritório pequeno, o primeiro passo não precisa ser construir dezenas de políticas extensas.
É mais eficiente entender a operação real e tratar os riscos existentes.
O mapeamento é o ponto de partida.
Liste os dados recebidos desde o primeiro contato com o potencial cliente até o encerramento da relação.
Pergunte onde cada informação fica armazenada.
Existem dados em formulários? WhatsApp? E-mail? Notebook pessoal? Nuvem? ERP? Arquivo físico?
Depois, identifique a finalidade.
Se ninguém consegue explicar por que determinado dado continua sendo armazenado, é necessário avaliar sua necessidade.
O mapeamento permite enxergar excessos e fragilidades que normalmente passam despercebidos.
Depois de saber quais operações existem, o escritório deve verificar qual fundamento legal sustenta cada uma delas.
Essa análise não precisa ser feita cliente por cliente quando os processos são padronizados.
Pode-se mapear atividades recorrentes, como cadastro, elaboração do contrato, faturamento, condução do processo, cobrança e comunicação.
Cada atividade pode envolver diferentes bases jurídicas.
O importante é evitar a conclusão de que “temos consentimento” resolve toda a operação.
A transparência é um dos elementos centrais da LGPD.
O cliente precisa receber informações adequadas sobre como seus dados são tratados.
Um aviso de privacidade pode explicar quais categorias de informações são coletadas, para quais finalidades, com quem podem ser compartilhadas e quais canais estão disponíveis para o exercício de direitos.
O documento deve refletir a prática real.
Copiar uma política genérica da internet e descrever procedimentos que o escritório não realiza pode produzir uma falsa sensação de conformidade.
Boa parte dos incidentes não começa em um ataque sofisticado.
Um documento pode ser encaminhado para o destinatário errado, uma senha pode ser compartilhada ou um colaborador pode manter arquivos de clientes no computador pessoal sem qualquer controle.
Treinamento reduz esses riscos.
A equipe precisa compreender regras básicas de envio de documentos, senhas, acesso a sistemas, armazenamento e comunicação de incidentes.
Para agentes de tratamento de pequeno porte enquadrados na Resolução CD/ANPD nº 2/2022, a indicação de encarregado pelo tratamento de dados não é obrigatória. Se não houver encarregado, entretanto, o agente deve disponibilizar canal de comunicação com o titular. A indicação voluntária também é considerada prática de boa governança.
O GestãoClick não substitui uma análise jurídica de adequação à LGPD.
Também não substitui o encarregado pelo tratamento de dados quando sua indicação for necessária ou uma consultoria especializada.
O papel do sistema está na organização administrativa das informações.
A centralização e o controle de permissões podem reduzir parte da dispersão encontrada em operações baseadas apenas em planilhas e ferramentas de comunicação.
Manter um cadastro central ajuda a reduzir cópias desnecessárias.
Em vez de criar uma planilha para o financeiro, outra para atendimento e uma terceira para dados cadastrais, o escritório pode concentrar informações administrativas no sistema.
Isso não significa que e-mail e WhatsApp deixam de existir.
A diferença está em definir qual será a base oficial.
Quando todos sabem onde determinada informação deve permanecer registrada, diminui a necessidade de criar bases paralelas.
O GestãoClick disponibiliza recursos para configuração de permissões por usuário e por grupo.
É possível definir quais funcionalidades cada usuário poderá acessar, permitindo restringir operações de acordo com sua função.
Para um escritório, isso permite estruturar acessos de forma mais coerente com as responsabilidades de cada profissional.
O financeiro não precisa necessariamente ter o mesmo perfil de acesso do atendimento, assim como um estagiário não precisa ter as mesmas permissões de um sócio.
Esse princípio de acesso restrito contribui para a proteção de informações.
A possibilidade de identificar alterações é importante para investigar inconsistências e estabelecer responsabilidades internas.
Ao avaliar essa funcionalidade, o escritório deve conferir concretamente quais registros de histórico o plano utilizado disponibiliza.
A existência de rastreabilidade tecnológica também não elimina a necessidade de procedimentos.
É importante saber quem pode alterar cadastros, quem pode excluir informações e como eventuais erros serão corrigidos.
Tecnologia e governança precisam funcionar em conjunto.
Ignorar a LGPD não significa apenas correr o risco de receber uma multa.
Os efeitos de uma falha podem começar muito antes de qualquer processo administrativo.
Um incidente pode gerar questionamentos de clientes, necessidade de resposta emergencial, custos técnicos, revisão de procedimentos e desgaste da relação profissional.
A prevenção tende a ser mais eficiente do que organizar tudo depois que o problema já ocorreu.
A LGPD prevê, entre suas sanções administrativas, multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração.
Isso não significa que toda infração resulte automaticamente em multa de 2%.
A aplicação de sanções deve observar o processo administrativo e os critérios de dosimetria.
A ANPD possui regulamento específico para definir a forma de aplicação dessas penalidades e também regulamentação diferenciada para agentes de tratamento de pequeno porte.
Portanto, utilizar “2% do faturamento” como se fosse a penalidade padrão distorce a regra.
Trata-se de limite previsto para a multa, não de percentual automaticamente aplicado a qualquer irregularidade.
A relação entre profissional e cliente depende de confiança.
Isso é particularmente evidente na advocacia, na contabilidade e em atividades consultivas que recebem documentos pessoais e informações confidenciais.
Um incidente pode gerar dúvidas sobre a segurança do escritório, ainda que não resulte em uma multa administrativa.
Dependendo da situação, o profissional pode precisar comunicar pessoas afetadas, investigar a origem da falha e rever processos.
O custo reputacional não é facilmente mensurado.
Por isso, medidas de segurança e organização devem ser tratadas como parte da qualidade do atendimento, e não apenas como uma obrigação regulatória.
Organizar dados depois de receber uma reclamação é muito mais difícil.
A equipe terá que descobrir rapidamente onde as informações estão, quem teve acesso e por que continuaram armazenadas.
Se não existe inventário ou padrão de cadastro, essa reconstrução consome tempo justamente quando o escritório precisa responder com rapidez.
A adequação preventiva distribui esse trabalho ao longo da rotina.
Cadastros centralizados, acessos definidos, políticas internas e treinamento deixam a organização melhor preparada tanto para atender titulares quanto para responder a incidentes ou fiscalizações.
A adequação à LGPD não é um produto que se compra pronto.
Um ERP pode oferecer ferramentas úteis, mas a conformidade depende da forma como o escritório configura e utiliza essas ferramentas.
No caso do GestãoClick, a centralização de cadastros e a possibilidade de controlar permissões de usuários podem contribuir para uma rotina mais organizada.
O sistema deve ser inserido dentro de uma política mais ampla de proteção de dados.
O GestãoClick permite centralizar cadastros e configurar usuários com diferentes permissões de acesso.
A própria Central de Ajuda do sistema demonstra que as permissões podem ser ajustadas conforme as funcionalidades que cada usuário deve visualizar ou utilizar.
Esse recurso pode apoiar a aplicação prática do princípio de que as pessoas devem acessar apenas aquilo de que precisam para exercer suas funções.
Ao mesmo tempo, cabe ao escritório definir corretamente os perfis de acesso e revisar essas permissões quando houver mudanças na equipe.
Um dos primeiros passos para reduzir a exposição desnecessária é identificar onde as informações estão.
Se o escritório depende de várias planilhas, mensagens e arquivos pessoais, centralizar a gestão já representa uma mudança relevante de organização.
O próximo passo é revisar usuários, permissões e procedimentos internos.
O ERP não substitui a análise jurídica da LGPD, mas pode oferecer a infraestrutura necessária para diminuir a dispersão de informações e melhorar o controle administrativo.
Veja como o GestãoClick pode ajudar a centralizar os dados dos clientes e organizar os acessos da equipe com mais rastreabilidade e segurança.
Nem sempre. A Resolução CD/ANPD nº 2/2022 estabelece que agentes de tratamento de pequeno porte abrangidos pelo regulamento não são obrigados a indicar encarregado pelo tratamento de dados pessoais. Se o agente optar por não indicar um encarregado, deve disponibilizar um canal de comunicação com o titular. A indicação voluntária é considerada pela própria regulamentação como prática de boa governança. Também é importante confirmar se o escritório efetivamente se enquadra nas condições previstas para os agentes de pequeno porte, porque a flexibilização não deve ser presumida apenas em razão do número reduzido de funcionários.
Pode se aplicar, sim. A aplicação da LGPD depende da atividade de tratamento de dados pessoais e das circunstâncias previstas na legislação, não simplesmente do tamanho do negócio. Um profissional que trabalha sozinho pode receber documentos, manter cadastro de clientes, emitir cobranças e armazenar dados pessoais em seus sistemas. O fato de não possuir empregados não elimina automaticamente suas responsabilidades. Pequenos agentes podem ter obrigações simplificadas em determinadas situações, mas continuam submetidos aos princípios e deveres essenciais de proteção de dados.
Não existe uma regra segundo a qual o simples uso do WhatsApp caracteriza automaticamente infração à LGPD. O problema precisa ser analisado dentro do contexto. A empresa deve avaliar finalidade, necessidade, segurança, acesso às informações, retenção e outras medidas relacionadas ao tratamento. Utilizar aplicativos de comunicação sem qualquer controle pode aumentar o risco, principalmente quando documentos permanecem em celulares pessoais ou acessíveis a pessoas que não deveriam consultá-los. Por isso, o ideal é que o escritório tenha uma política definida para recebimento, transferência e armazenamento definitivo das informações.
Não existe um valor único aplicável a qualquer profissional liberal. A LGPD possui diferentes sanções, e a aplicação depende da natureza da infração, do agente envolvido e dos critérios definidos pela legislação e pela regulamentação da ANPD. A multa simples prevista na LGPD pode chegar, nas hipóteses em que essa modalidade é aplicável, a 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil, limitada a R$ 50 milhões por infração. Isso representa um teto, e não uma multa automática. A ANPD possui regulamento próprio de dosimetria para aplicação das sanções.
Um ERP pode ajudar bastante na parte organizacional. Centralizar cadastros, limitar permissões e reduzir informações espalhadas em diferentes arquivos são medidas relevantes dentro de um programa de proteção de dados. Isso, entretanto, não equivale a uma adequação jurídica completa. Definir bases legais, elaborar políticas, revisar contratos, estabelecer períodos de retenção, responder incidentes e interpretar situações específicas exige análise própria. Por isso, o GestãoClick deve ser visto como ferramenta de apoio à organização e à rastreabilidade dos dados, e não como substituto de profissional responsável pela adequação à LGPD. A combinação entre processos claros, orientação jurídica, treinamento e tecnologia oferece uma estrutura muito mais consistente do que depender de qualquer uma dessas medidas isoladamente.
Patrícia é advogada especializada em Direito Tributário (OAB/MG nº 189.799), com atuação direcionada à assessoria jurídica de micro e pequenas empresas, de diferentes segmentos econômicos. Seu trabalho é orientado à aplicação prática da legislação tributária, com foco em segurança jurídica, eficiência fiscal e aderência à realidade operacional do empreendedor.
Emita suas notas fiscais sem complicação
NF-e, NFS-e e NFC-e em um só lugar, com suporte de verdade.
ERP e SistemaOrganize atos, taxas e prestação de contas do cartório e profissionalize a gestão financeira da serventia com o GestãoClick.
ERP e SistemaControle protocolos, prazos de órgãos públicos e cobrança de serviço do seu escritório de despachante em um só painel com o GestãoClick.
ERP e SistemaEstruture contrato recorrente e faturamento por projeto sem perder receita e organize o financeiro da sua consultoria no GestãoClick.