Um roteiro passo a passo para implantar a Lei Geral de Proteção de Dados no seu escritório de advocacia
Versão 1 · Atualizado em 2026
A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) não é apenas mais uma obrigação legal — é um novo paradigma de responsabilidade e transparência na relação com clientes, colaboradores e parceiros. Para escritórios de advocacia, a LGPD tem impacto direto: dados de processos, informações de clientes, documentos sensíveis e até mesmo currículos recebidos estão sob sua proteção. Este guia foi preparado para orientar a adequação prática do seu escritório, etapa por etapa, com linguagem acessível e foco no que realmente importa.
A LGPD estabelece regras sobre como qualquer organização — incluindo escritórios de advocacia — deve coletar, armazenar, usar e compartilhar dados pessoais. "Dado pessoal" é qualquer informação que identifique ou torne identificável uma pessoa: nome, CPF, e-mail, endereço, mas também IP de computador, geolocalização e até características comportamentais.
Dados pessoais sensíveis merecem atenção redobrada: origem racial ou étnica, convicção religiosa, opinião política, dados de saúde, dados genéticos e biométricos. Escritórios de advocacia lidam com esses dados diariamente — em processos trabalhistas, de família, criminais, de saúde suplementar.
A lei se aplica a qualquer operação de tratamento — coleta, armazenamento, uso, compartilhamento e até eliminação de dados — realizada em meio físico ou digital.
Importante: A LGPD se aplica mesmo que seu escritório seja pequeno. Não há exceção por porte. A Autoridade Nacional de Proteção de Dados (ANPD) pode aplicar sanções que vão de advertência a multas de até 2% do faturamento, limitadas a R$ 50 milhões por infração.
Escritórios de advocacia são alvos especialmente sensíveis para a LGPD por várias razões:
Processos judiciais contêm dados de saúde, dados financeiros, informações familiares, dados criminais — todos classificados como sensíveis pela lei.
O sigilo advogado-cliente, previsto no Estatuto da OAB, se soma à LGPD. Violações têm consequências ético-disciplinares e legais.
Clientes, colaboradores, contrapartes, testemunhas, peritos, estagiários, candidatos a vagas — todos têm dados sob sua guarda.
Correspondentes jurídicos, peritos, tradutores, contadores, plataformas de processo eletrônico — cada compartilhamento precisa de base legal.
Um vazamento de dados processuais pode destruir a confiança construída ao longo de décadas.
O encarregado (ou Data Protection Officer — DPO) é a pessoa física ou jurídica indicada pelo escritório para atuar como canal de comunicação entre o controlador, os titulares de dados e a ANPD.
Na prática: Em escritórios menores, o DPO pode ser um dos sócios ou um profissional de compliance. O importante é que tenha autonomia, conhecimento sobre proteção de dados e acesso direto à alta direção. A identidade e as informações de contato do encarregado devem ser divulgadas publicamente no site do escritório.
O mapeamento de dados é o coração da adequação. Você precisa saber exatamente quais dados coleta, onde estão, quem acessa, por quanto tempo ficam e para onde vão.
Ferramenta prática: Crie uma planilha com colunas: Tipo de dado | Fonte | Local de armazenamento | Finalidade | Base legal | Prazo de retenção | Compartilhamento. Preencha linha por linha para cada fluxo de dados do escritório. Isso será seu inventário de dados pessoais.
Para tratar dados pessoais, você precisa de pelo menos uma base legal. Não existe "uso livre". Veja as bases mais relevantes para escritórios:
Newsletter, marketing jurídico, currículos de candidatos, formulários de contato do site. Deve ser livre, informado e inequívoco — e pode ser revogado a qualquer momento.
Contrato de honorários, procuração. Os dados do cliente são necessários para executar o contrato de prestação de serviços advocatícios.
Emissão de notas fiscais, guarda de documentos por prazo legal, comunicação a autoridades.
Uso de dados em processos judiciais, administrativos ou arbitrais. Esta é uma das bases mais importantes para escritórios!
Envio de comunicados jurídicos relevantes a clientes ativos, proteção do escritório contra fraudes. Requer teste de proporcionalidade.
Atenção especial: Dados sensíveis (saúde, origem étnica, convicção religiosa, dados genéticos) exigem bases legais ainda mais restritas. Em processos judiciais, a base "exercício regular de direitos" geralmente ampara o tratamento — mas documente isso.
A LGPD exige que você demonstre compliance — e isso se faz com documentos. Aqui estão os documentos essenciais:
Documento público que explica como o escritório trata dados pessoais. Deve estar disponível no site e ser claro para o titular.
Medidas técnicas e organizacionais para proteger dados contra acessos não autorizados, vazamentos e perdas.
Procedimento documentado sobre o que fazer em caso de vazamento ou incidente de segurança.
Para finalidades que dependem de consentimento, o termo deve ser específico, destacado e com linguagem acessível.
Todos os contratos com terceiros (correspondentes, peritos, fornecedores de software) devem conter obrigações de proteção de dados.
Documento interno que registra todas as operações de tratamento, finalidades, bases legais e prazos — essencial para prestar contas à ANPD.
A segurança não é só sobre tecnologia — é sobre processos e pessoas. Medidas mínimas para qualquer escritório:
Cada pessoa tem login individual. Ninguém compartilha senha. Acesso apenas ao necessário para sua função (princípio do menor privilégio).
Exija senhas com mínimo de 12 caracteres. Ative autenticação de dois fatores em todos os sistemas críticos (e-mail, nuvem, sistema processual).
Dados em trânsito (HTTPS, VPN) e em repouso (discos criptografados). Use criptografia em e-mails com dados sensíveis.
Backup diário automático, com cópia em local fisicamente separado. Teste a restauração periodicamente.
Mantenha atualizados em todos os computadores e servidores. Firewall corporativo com regras de acesso restritivas.
Sistema operacional, softwares e aplicativos sempre atualizados com os patches de segurança mais recentes.
Documentos físicos não ficam expostos. Salas de reunião com isolamento acústico. Descarte seguro de papéis com dados (trituradora).
Celulares e notebooks com senha, criptografia e capacidade de bloqueio/limpeza remota em caso de perda.
A LGPD dá aos titulares de dados direitos que seu escritório precisa estar pronto para atender, em prazos legais.
O titular pode perguntar se você tem dados dele e pedir uma cópia.
Dados incompletos, inexatos ou desatualizados devem ser corrigidos.
Solicitação de exclusão dos dados (salvo obrigações legais de guarda).
Titular pode pedir seus dados em formato estruturado para levar a outro fornecedor.
Listar com quais terceiros os dados foram compartilhados.
Interromper tratamento baseado em consentimento. Não afeta o passado.
Titular pode se opor a tratamento não baseado em consentimento.
Direito a revisão humana de decisões tomadas por algoritmos.
Providência prática: Tenha um canal visível no site (formulário ou e-mail) para receber solicitações de titulares. Defina internamente quem responde e qual o fluxo. Treine a equipe para reconhecer e encaminhar essas solicitações imediatamente.
Vazamentos acontecem. O que diferencia um escritório preparado é como ele reage. A LGPD exige comunicação à ANPD e aos titulares em prazo razoável.
Como você descobre um incidente? Monitore sistemas, tenha alertas, incentive a equipe a reportar.
Isole o sistema afetado, bloqueie acessos, preserve evidências. Não apague logs.
Qual foi o tipo de dado? Quantos titulares? Qual o risco de dano? A avaliação determina se é obrigatório comunicar a ANPD.
Se houver risco ou dano relevante: comunicar a ANPD, comunicar os titulares afetados (de forma clara e transparente), acionar o DPO.
Implementar medidas para evitar recorrência. Documentar todo o processo.
Revisar o plano de resposta, as políticas e os treinamentos à luz do que ocorreu.
A melhor segurança técnica falha se alguém clicar em um link de phishing ou compartilhar dados indevidamente. Pessoas são a primeira linha de defesa.
Compliance com LGPD não é um projeto com data de término — é um processo contínuo. Revise periodicamente:
Frequência recomendada: Revisão trimestral de inventário e contratos. Revisão anual completa das políticas. Treinamento anual. Relatórios de impacto sempre que iniciar um novo tratamento de alto risco.
A equipe de Direito Digital e Proteção de Dados da Teixeira de Godoi auxilia escritórios e empresas no processo completo de adequação à LGPD.
Utilizamos cookies essenciais para o funcionamento do site e, com sua autorização, cookies de análise e marketing para melhorar sua experiência. Política de cookies