Advogado também trata dados pessoais: o que a LGPD exige da sua banca

Todo escritório de advocacia tem no HD ou na nuvem a seguinte mistura: CPF, endereço, extrato bancário, laudo médico, histórico de antecedentes, contrato de casamento. Dados do cliente, da parte adversária, da testemunha, do perito. Sua banca é controladora de dados desde o momento em que o cliente manda o primeiro documento pelo WhatsApp.

A confusão começa aqui. Muitos advogados tratam o sigilo profissional como se fosse um escudo universal que cobre tudo relacionado a dado de cliente. Não é. São institutos que protegem coisas distintas, e entender essa diferença é o primeiro passo pra não ser pego de surpresa por uma fiscalização da ANPD.

Sigilo da OAB e LGPD protegem coisas diferentes

O sigilo profissional do advogado, previsto no Estatuto da OAB, proíbe revelar informações obtidas do cliente no exercício da profissão. Ele protege a confidencialidade da relação cliente-advogado perante terceiros. A LGPD (Lei 13.709/2018) regula o ciclo completo do dado pessoal: como é coletado, onde é armazenado, com quem é compartilhado, por quanto tempo fica e como é descartado.

Uma banca pode respeitar o sigilo à risca, não revelar nada a ninguém, e ainda assim violar a LGPD. Como? Usando sistema jurídico sem contrato de processamento de dados assinado. Mandando processo pra correspondente sem acordo formal. Mantendo prontuário físico sem critério de retenção. Não respondendo pedido de acesso do titular em 15 dias.

Na prática: o sigilo responde à OAB e ao cliente. A LGPD responde à ANPD, com multa de até 2% do faturamento do último exercício, limitada a R$ 50 milhões por infração. São cobranças diferentes, de autoridades diferentes, com critérios diferentes.

Qual base legal a banca usa pra tratar dado de cliente?

A boa notícia: você não precisa pedir consentimento do cliente pra tratar os dados dele dentro do mandato. A base legal é o art. 7º, V da LGPD: execução de contrato. Ele te contratou, você precisa dos dados pra prestar o serviço. Isso resolve a maior parte do processamento cotidiano.

Mas e os dados de quem não é seu cliente? Em processos, você trata CPF, endereço, renda e histórico da parte contrária, de testemunhas, de terceiros. Aí a base muda: art. 7º, IX, exercício regular de direito. Você usa esses dados pra defender ou postular juridicamente, dentro do que o mandato autoriza.

Para dados pessoais sensíveis, a atenção precisa ser dobrada. Processo trabalhista com laudo de doença ocupacional, divórcio com extrato de renda, causa previdenciária com histórico médico: esses documentos contêm dados sensíveis nos termos do art. 5º, II da LGPD. O art. 11 exige base legal específica pra tratá-los. Exercício regular de direito cobre boa parte dos casos, mas isso precisa estar documentado na política interna da banca, não só implícito na prática do advogado.

Astrea, ADVBOX e qualquer SaaS jurídico: onde está o DPA deles?

Sistemas de gestão jurídica em nuvem são operadores de dados no vocabulário da LGPD (art. 5º, VII). Eles processam dados dos seus clientes por conta da banca, sob as instruções da banca. A relação entre controlador e operador precisa ser formalizada em contrato que garanta o tratamento adequado dos dados, com responsabilidade clara em caso de incidente de segurança.

Na prática, isso significa localizar o "Acordo de Processamento de Dados" ou "DPA" do seu sistema jurídico e assinar. A maioria dos sistemas relevantes já oferece esse documento, às vezes chamado de "Termos de Processamento de Dados". O problema é que poucas bancas formalizam isso. Um incidente no sistema do operador sem esse contrato pode gerar responsabilidade solidária pra você perante o titular e a ANPD.

• Astrea e ADVBOX: buscar o instrumento de processamento de dados na central de ajuda ou diretamente com o suporte.
• Google Workspace / Microsoft 365: planos pagos já têm DPA ativado por padrão, mas é preciso verificar as configurações de retenção e backup.
• WhatsApp para receber documentos de clientes: não tem DPA, não tem controle de retenção, não é recomendado para dados sensíveis.
• Dropbox pessoal, Google Drive pessoal: mesma situação do WhatsApp. Use conta corporativa com DPA vigente.

Compartilhar processo com correspondente exige instrumento formal

Quando você envia um processo completo para advogado correspondente em outra comarca, está transferindo dados pessoais do seu cliente para um terceiro. Esse terceiro precisa de instrumento contratual que formalize as obrigações de proteção de dados.

Em geral, o correspondente atua como operador: age sob suas instruções, para finalidade específica. O contrato de prestação de serviços com o correspondente precisa de cláusula de proteção de dados prevendo uso restrito ao caso, proibição de uso para outras finalidades, obrigação de destruir ou devolver os dados ao encerramento do serviço e responsabilidade por incidentes. Se você trabalha regularmente com correspondentes e não tem esse instrumento, é o ponto mais urgente da sua adequação.

Nossa leitura: correspondente sem cláusula de proteção de dados é o equivalente moderno de mandar pasta física sem protocolo de entrega rastreado. Você não sabe o que acontece com o dado depois, e a responsabilidade primária perante o titular continua sendo sua.

O cliente pode pedir exclusão dos dados. E você pode dizer não.

O art. 18 da LGPD dá ao titular o direito de pedir acesso, correção, exclusão e portabilidade dos dados. O prospect que não fechou contrato e quer sumir do seu sistema tem esse direito em regra. Você tem 15 dias para responder (art. 19). Silêncio não é resposta válida perante a ANPD.

Mas o cliente que encerrou o caso e quer que você apague tudo? Aí a situação muda. A LGPD permite manter dados mesmo após pedido de exclusão quando necessário para cumprimento de obrigação legal, exercício regular de direito ou legítima defesa (art. 16). Um escritório tem interesse legítimo em manter o prontuário por pelo menos 5 anos após o encerramento do caso: é o prazo razoável para eventuais ações de responsabilidade civil contra o advogado e para possíveis questionamentos disciplinares na OAB.

Você pode negar o pedido de exclusão de forma fundamentada, mas a negativa precisa ser comunicada por escrito ao cliente dentro dos 15 dias, com a justificativa clara. Negar sem explicar é tão problemático quanto não responder.

O que fazer nas próximas duas semanas

Adequação de escritório de advocacia não exige meses nem investimento pesado. Exige foco nos pontos certos, nesta ordem:

• Mapear todos os sistemas: listar software jurídico, e-mail, armazenamento em nuvem, WhatsApp Business e planilhas que contenham dados de clientes. Verificar se há DPA assinado com cada fornecedor.
• Revisar contratos de correspondente: adicionar cláusula de proteção de dados em todos os instrumentos ativos. Para relações recorrentes, um aditivo contratual já resolve.
• Formalizar o encarregado de dados: nomear um dos sócios ou indicar pessoa de contato, e publicar essa informação no site ou na proposta de honorários (art. 41, § 1º). Bancas enquadradas como microempresa ou EPP têm regime simplificado pela Resolução CD/ANPD 02/2022, mas a indicação ainda é obrigatória.
• Criar aviso de privacidade para clientes: um documento de no máximo duas páginas explicando quais dados são coletados, para qual finalidade, por quanto tempo ficam e como o titular pode exercer seus direitos. Entrega no onboarding, junto com o contrato de honorários.
• Definir política de retenção: estabelecer prazo mínimo de guarda para prontuários encerrados (mínimo 5 anos é referência prática) e critério de descarte seguro para documentos físicos e digitais.

A maioria dos incidentes que chegam à ANPD não envolve grandes falhas sistêmicas. Envolve dado enviado para o lugar errado, sistema sem contrato de operador, correspondente sem instrução formal. Esses pontos estão ao alcance de qualquer banca corrigir num prazo curto, sem custo elevado e sem suspender a operação.