Vazamento de dados em escritório de advocacia

Vazamento de dados escritório de advocacia o que fazer: conter o incidente, avaliar se ele pode causar risco ou dano relevante aos clientes e, se puder, comunicar a ANPD e os afetados no prazo de 3 dias úteis indicado pela agência. Em paralelo, documente cada passo, porque é esse registro que mostra que o escritório agiu com cuidado.

O escritório é controlador dos dados

A LGPD (Lei 13.709/2018), art. 5º, VI, define controlador como a pessoa natural ou jurídica a quem competem as decisões referentes ao tratamento de dados pessoais. O escritório que decide quais dados de clientes coleta, guarda e usa é, em regra, controlador desses dados. A discussão sobre quando o advogado é controlador ou operador está em Advogado controlador ou operador de dados LGPD: como saber.

Ser controlador traz o dever de comunicar o incidente. O art. 48 diz que o controlador deve comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.

Vazamento de dados escritório de advocacia o que fazer, passo a passo

Passo 1: conter

Desconecte da rede o computador afetado, troque senhas de e-mail e sistemas, revogue acessos de quem saiu do escritório e acione quem cuida da tecnologia. Não apague nada: registros de acesso e arquivos afetados são a prova do que aconteceu.

Passo 2: entender o que vazou

Liste quais dados foram expostos, de quantos clientes ou pessoas, desde quando e por qual meio. Em escritório de advocacia, o risco costuma ser alto, porque os arquivos têm documentos pessoais, dados financeiros, informações de saúde, de família e de processos sigilosos.

Passo 3: avaliar o risco aos titulares

A pergunta da lei é se o incidente pode acarretar risco ou dano relevante. A orientação da ANPD cita como fatores a possibilidade de expor os titulares a discriminação ou roubo de identidade, especialmente com dados em larga escala, dados sensíveis e dados de grupos vulneráveis, como crianças, adolescentes e idosos. Registre por escrito a avaliação e a conclusão.

Passo 4: comunicar a ANPD

Se houver risco ou dano relevante, a comunicação é obrigatória. Segundo a ANPD, conforme os arts. 6º e 9º da Resolução CD/ANPD 15/2024, a comunicação à agência e aos titulares deve ser feita pelo controlador no prazo de 3 dias úteis, ressalvado prazo diferente em legislação específica. Ela é feita pelo encarregado ou por representante legal, por peticionamento eletrônico no sistema SEI da ANPD, com formulário preliminar ou completo.

Passo 5: comunicar os clientes afetados

O art. 48, § 1º, da LGPD lista o conteúdo mínimo da comunicação:

A natureza dos dados pessoais afetados.
As informações sobre os titulares envolvidos.
As medidas técnicas e de segurança usadas para proteger os dados.
Os riscos relacionados ao incidente.
Os motivos da demora, se a comunicação não foi imediata.
As medidas adotadas ou que serão adotadas para reverter ou mitigar os efeitos.

Use linguagem clara, sem juridiquês, e diga ao cliente o que ele pode fazer para se proteger, como trocar senhas ou acompanhar o uso do CPF.

Passo 6: documentar e corrigir a causa

Monte um dossiê com a linha do tempo, a avaliação de risco, as comunicações enviadas e as medidas tomadas. Depois, corrija a causa: senha fraca, falta de autenticação em dois fatores, backup sem criptografia, pasta compartilhada com link aberto.

Diagnóstico WJR, gratuito e sem compromisso

Chama no WhatsApp, conta o que te incomoda e a gente responde em algumas horas.

Quero meu Diagnóstico WJR

O que a ANPD pode exigir

O art. 48, § 2º, diz que a autoridade nacional verifica a gravidade do incidente e pode determinar ao controlador providências como ampla divulgação do fato em meios de comunicação e medidas para reverter ou mitigar os efeitos. O § 3º diz que, no juízo de gravidade, é avaliada a comprovação de que foram adotadas medidas técnicas adequadas.

Por isso a prevenção conta. O art. 46 exige que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas. A ANPD também afirma que a comunicação voluntária é demonstração de transparência e boa-fé e é considerada em eventual fiscalização.

O sigilo profissional entra na conta

Além da LGPD, o advogado tem o dever de sigilo profissional, com regras próprias no Estatuto e no Código de Ética da OAB. Um vazamento pode ter efeito disciplinar e de responsabilidade civil, além do regulatório. Para entender como o sigilo convive com a contabilidade do escritório, veja Sigilo profissional advogado contador o que pode ver: o limite entre o caso e o número. Sobre o risco patrimonial do advogado por erro profissional, veja Proteção patrimonial advogado responsabilidade civil: o que protege e o que não protege.

Erros mais comuns depois do vazamento

O primeiro é apagar arquivos e registros para "limpar" o problema, o que destrói a prova de que o escritório reagiu bem. O segundo é esperar ter todas as respostas para comunicar, perdendo o prazo; o formulário preliminar existe para isso. O terceiro é avisar só alguns clientes. Quem foi afetado precisa ser informado com o mesmo cuidado.

Fornecedores também tratam dados do escritório

Contador, empresa de TI, sistema de gestão de processos e serviço de nuvem tratam dados do escritório. Se o vazamento veio de um deles, ele precisa avisar o escritório para que a comunicação seja feita no prazo. Contratos com fornecedores devem prever esse aviso. O papel do contador na proteção de dados está em Contador e LGPD: o papel do escritório nos dados dos seus funcionários e clientes.

Como a WJR ajuda

A WJR é um escritório de contabilidade na Mooca, em São Paulo, com mais de 30 anos de experiência e atendimento presencial e online (Quem somos: a WJR Contabilidade, na Mooca desde 1995). O primeiro passo é o Diagnóstico WJR, gratuito e sem compromisso, com resposta em algumas horas. Mais sobre o tema em BPO financeiro e consultoria de processos internos para a sua empresa.

Outras dúvidas de advocacia, inclusive o checklist de conformidade fiscal em Compliance fiscal escritório de advocacia checklist: 21 itens em 3 blocos, estão em Advogados.

Perguntas frequentes

Todo vazamento precisa ser comunicado à ANPD?+

Não. A LGPD, art. 48, exige comunicação quando o incidente pode acarretar risco ou dano relevante aos titulares. Mesmo quando não comunicar, registre a avaliação que levou a essa conclusão.

Qual o prazo para comunicar o incidente?+

A ANPD informa que, pelos arts. 6º e 9º da Resolução CD/ANPD 15/2024, a comunicação à agência e aos titulares é feita em 3 dias úteis, ressalvado prazo em legislação específica.

Quem faz a comunicação pelo escritório?+

O encarregado pela proteção de dados ou um representante legal do controlador, por peticionamento eletrônico no sistema SEI da ANPD, com a documentação que prova a representação.

E-mail enviado ao destinatário errado é incidente?+

Pode ser. Se o e-mail tinha dados pessoais de cliente, é um acesso não autorizado. Avalie o risco, peça ao destinatário a exclusão e registre o ocorrido.

Comunicar a ANPD pode prejudicar o escritório?+

A ANPD afirma que a comunicação voluntária é demonstração de transparência, cooperação e boa-fé e é considerada em eventual fiscalização. Esconder o incidente é o caminho de maior risco.

Vazamento de dados escritório de advocacia o que fazer nas primeiras horas