Contador é controlador ou operador? O que muda na sua responsabilidade LGPD

O escritório contábil é um dos maiores tratadores de dados pessoais do Brasil. Não é exagero. Folha de pagamento com CPF e salário de dezenas de colaboradores. eSocial com dados de saúde para afastamentos. ECF e IRPF com patrimônio e renda de sócios e diretores. Contratos sociais com qualificação completa de pessoas físicas. São dados sensíveis, dados financeiros e dados de identificação, todos concentrados num único ambiente, acessado por vários funcionários do escritório.

A pergunta que a maioria dos escritórios ainda não respondeu é simples: quem responde por esses dados? A resposta depende de uma definição técnica. Essa definição tem nome: controlador ou operador. E errar esse enquadramento tem consequência direta no contrato com o cliente e, eventualmente, numa investigação da ANPD com multa de até R$ 50 milhões por infração.

Controlador ou operador: a pergunta que define tudo

O art. 5º, VI e VII da LGPD é direto. Controlador é quem decide o que vai acontecer com os dados: o propósito, a forma, o prazo de retenção, com quem compartilha. Operador é quem executa o tratamento em nome do controlador, seguindo instruções. A distinção não é sobre quem "tem" os dados fisicamente. É sobre quem manda.

O escritório contábil usa os dois papéis ao mesmo tempo. Quando processa a folha de pagamento dos funcionários do cliente, age como operador: quem decide contratar, demitir e pagar é a empresa cliente, não o contador. Os dados de CPF e salário dos funcionários estão ali por decisão do cliente.

Quando o escritório guarda os dados do próprio cliente (CNPJ, sócios, histórico de serviços) e decide por quanto tempo retém e como usa para faturar e se comunicar, vira controlador. Ele decidiu o propósito, ele define o prazo, ele responde. Nossa leitura: a maioria dos escritórios age nos dois papéis simultaneamente sem ter mapeado nenhum deles formalmente.

O contrato com o cliente tem três lacunas que ninguém fecha

A maioria dos contratos de prestação de serviços contábeis fala sobre prazo, honorários e sigilo genérico. Silêncio sobre dados pessoais. Esse silêncio vira problema quando surge um incidente ou quando o cliente encerra o contrato e pergunta o que aconteceu com os dados dos funcionários dele que ficaram no sistema do escritório.

Se o escritório age como operador nos dados dos funcionários do cliente, o contrato precisa funcionar como instrumento de operador. Não precisa ser documento separado, mas precisa conter:

• Quais categorias de dados pessoais serão tratadas (CPF, salário, dados de saúde para afastamentos, biometria de ponto)
• Por quanto tempo ficam armazenados nos sistemas do escritório após encerramento do contrato
• Quais sistemas e fornecedores terão acesso: Domínio, Alterdata, Calima, provedores de nuvem para backup
• Procedimento em caso de incidente de segurança, com obrigação de comunicar ao cliente sem demora (art. 48 exige comunicação à ANPD em prazo razoável; para incidentes graves, o mais breve possível)
• Instrução do controlador (o cliente) ao operador (o escritório): sem essa instrução documentada, o operador fica sem amparo legal claro

Sem essas cláusulas, um vazamento da folha de pagamento vira disputa bilateral sem solução. Com o contrato correto, a responsabilidade fica mapeada antes do problema acontecer.

Domínio, Alterdata, Calima: você sabe o que esses sistemas fazem com os dados?

Esses sistemas armazenam CPF, salário, dados tributários e, em alguns casos, informações de saúde de centenas de titulares. São sub-operadores na cadeia de tratamento. O escritório que contrata um sistema contábil não transfere responsabilidade para o fornecedor, compartilha responsabilidade. Se o fornecedor vazar, o escritório responde também.

• Verificar se o fornecedor tem política de privacidade e termos de tratamento atualizados
• Confirmar se os dados ficam em servidores no Brasil ou em país com proteção equivalente à LGPD
• Solicitar adendo ou cláusula contratual específica de proteção de dados (muitos já oferecem mediante pedido formal)

Falando sério: nenhum desses sistemas vai assumir responsabilidade por vazamento que partiu de uma credencial fraca do próprio escritório. A segurança da ponta é do escritório. Política de senha, autenticação de dois fatores, controle de acesso interno: isso está no perímetro de responsabilidade do contador, não do software.

Compartilhar com a Receita Federal tem base legal, mas não é carta branca

Aqui muita gente entra em pânico sem precisar. Enviar SPED, eSocial, DCTF, ECF e qualquer obrigação acessória para Receita Federal ou Previdência Social tem base legal explícita no art. 7º, II da LGPD: cumprimento de obrigação legal ou regulatória. Não precisa de consentimento do titular. A lei exige, você cumpre.

O limite está no princípio da necessidade (art. 6º, III): só compartilhar o que é estritamente necessário para cumprir a obrigação. Usar "é obrigação fiscal" como justificativa para tratar dados além do que a legislação pede não tem amparo. Além disso, o titular tem direito de saber com quem seus dados foram compartilhados quando solicitar (art. 18, VII). O escritório precisa conseguir responder isso em até 15 dias (art. 19).

Fiscal manda guardar 5 anos. LGPD manda guardar só o necessário. Quem ganha?

Esse conflito aparente tem solução dentro da própria lei. O art. 16 da LGPD permite manter dados após o encerramento do tratamento quando há obrigação legal que exija a retenção. O CTN (art. 173) estabelece prazo decadencial de 5 anos para lançamento tributário. Guardar documentos fiscais por 5 anos tem base. Sem discução.

O problema é guardar tudo por tempo indefinido, sem critério, porque "pode precisar um dia". Isso não é base legal. É acúmulo sem propósito, exatamente o que o princípio da necessidade proíbe. A política de retenção precisa dizer: dado X fica Y anos por causa da obrigação Z. Quando Z não existe mais, o dado vai embora ou é anonimizado.

O que fazer nos próximos 15 dias

Adequação completa leva tempo. Mas o núcleo estrutural, o que coloca o escritório num patamar defensável, pode ser endereçado rápido. Escritórios de pequeno porte contam com regime simplificado da Resolução CD/ANPD 02/2022, que reduz exigências formais sem eliminar as obrigações de fundo.

• Mapear em qual papel o escritório está em cada tratamento: operador na folha e no eSocial dos clientes, controlador nos dados de cadastro próprios. Colocar no papel.
• Revisar o contrato padrão: se não tem cláusula sobre dados pessoais, incluir antes do próximo cliente assinar.
• Verificar se os sistemas contábeis usados têm adendo de proteção de dados. Se não tiver, solicitar formalmente.
• Definir um encarregado (DPO) interno, conforme art. 41. Para escritório pequeno, pode ser o próprio titular, mas o nome precisa estar acessível aos titulares.
• Criar processo mínimo para responder ao titular em 15 dias: se um funcionário do cliente perguntar quais dados o escritório tem dele, precisa haver resposta dentro do prazo.
• Definir tabela de retenção para as categorias principais: documentos fiscais (5 anos como regra geral), dados trabalhistas (conforme prazo prescricional aplicável), dados de clientes que encerraram contrato.

A multa da ANPD pode chegar a 2% do faturamento anual no Brasil, limitada a R$ 50 milhões por infração. Para um escritório que trata dados de dezenas de empresas e centenas de pessoas físicas, o risco não é hipotético.