Contador e LGPD: quem responde pelos dados da empresa

Na LGPD, o contador que cuida da folha, das notas e das declarações da sua empresa trata dados pessoais em nome dela: nesse trabalho ele é o operador, e a sua empresa é a controladora, que decide para que os dados servem. Em outras palavras, contador e LGPD andam juntos: a responsabilidade pelos dados continua sendo da sua empresa, e o escritório responde pelo que faz com eles.

Esta página é para o dono de pequena empresa que manda ao contador CPF, salário e endereço dos funcionários, dados dos sócios e notas com dados de clientes, e quer saber o que a lei espera de cada lado. Não é um guia de adequação completa à LGPD: é o recorte da relação com o escritório de contabilidade.

Controlador e operador: quem é quem na relação com o contador

A Lei 13.709/2018, a LGPD, define os papéis no art. 5º:

Controlador (VI): a pessoa, natural ou jurídica, "a quem competem as decisões referentes ao tratamento de dados pessoais". É a sua empresa.
Operador (VII): quem "realiza o tratamento de dados pessoais em nome do controlador". É o contador, quando processa a folha ou transmite o eSocial por você.
Agentes de tratamento (IX): o controlador e o operador, juntos.
Encarregado (VIII): a pessoa indicada pelo controlador e pelo operador como canal de comunicação com os titulares dos dados e com a ANPD.

Um detalhe de 2026: a Lei 15.352/2026 mudou o nome do órgão, e a sigla ANPD agora quer dizer Agência Nacional de Proteção de Dados. Textos antigos falam em "Autoridade".

O escritório também é controlador dos próprios dados, como os do time dele. Mas, no que faz pela sua empresa, o papel é o de operador.

Com qual base legal o contador trata os dados

A LGPD só permite tratar dados pessoais nas hipóteses do art. 7º. Para o trabalho contábil, duas se destacam:

Cumprimento de obrigação legal ou regulatória pelo controlador (II): o eSocial, a DCTFWeb, as notas e as declarações são exigências de lei.
Execução de contrato (V): o contrato de trabalho do funcionário e o contrato com o cliente que recebe a nota.

Na prática, isso responde a uma dúvida frequente: para mandar os dados do funcionário ao eSocial, a base não é o consentimento dele, e sim a obrigação legal da sua empresa. Pedir autorização por escrito para cada envio não é o que a lei pede nesse caso.

O que vale revisar é o que vai além da obrigação. Planilhas com dados que ninguém pediu, documentos de familiares sem necessidade, fotos de documentos circulando sem controle: tudo isso é tratamento de dados, e a pergunta "precisa mesmo?" é o primeiro filtro. A lista do que o contador realmente precisa receber está em Documentos para o contador: o que mandar todo mês e até quando.

Diagnóstico WJR, gratuito e sem compromisso

Chama no WhatsApp, conta o que te incomoda e a gente responde em algumas horas.

Quero conversar com a WJR

O que a LGPD exige do contador como operador

Como operador, o escritório tem deveres próprios na lei:

Seguir as instruções do controlador (art. 39): o operador trata os dados conforme as instruções da sua empresa, e a sua empresa verifica se elas estão sendo cumpridas.
Manter registro das operações (art. 37): controlador e operador registram as operações de tratamento que fazem.
Adotar medidas de segurança (art. 46): técnicas e administrativas, contra acesso não autorizado, perda, alteração ou vazamento.

E há uma regra de responsabilidade. Pelo art. 42, §1º, I, o operador responde solidariamente pelos danos quando descumpre a legislação de proteção de dados ou quando não segue as instruções lícitas do controlador. Ou seja: se o vazamento vem de o escritório descumprir a lei ou as suas instruções, ele responde junto com a sua empresa. A responsabilidade do contador por erro em geral está em Responsabilidade do contador por erro: quem responde perante a empresa, o fisco e o conselho.

Contador e LGPD: por quanto tempo os documentos são guardados

Aqui circula um número que não está na lei. É comum ouvir que o contador guarda os documentos "por 5 anos". O texto legal diz outra coisa:

CTN, art. 195, parágrafo único: os livros obrigatórios e os comprovantes dos lançamentos são conservados "até que ocorra a prescrição dos créditos tributários decorrentes das operações a que se refiram".
Código Civil, art. 1.194: a empresa guarda escrituração, correspondência e papéis "enquanto não ocorrer prescrição ou decadência" dos atos neles registrados.

Os 5 anos citados costumam vir da decadência, isto é, do tempo que o fisco tem para lançar o tributo (arts. 150, §4º, e 173). A regra da guarda, porém, fala em prescrição, e não em um número de anos. Por isso "5 anos" não serve como regra literal para jogar papel fora.

Para a LGPD, isso importa porque o dado pessoal guardado pela obrigação fiscal tem motivo para ficar guardado. O que deixa de ter motivo é o dado que não serve a nenhuma obrigação.

O que combinar com o contador sobre dados pessoais

A lei não traz um modelo de cláusula, mas o art. 39 fala em instruções do controlador, e o jeito mais claro de dar instruções é por escrito. Vale conversar sobre:

Por onde os documentos chegam ao escritório e por onde saem.
Quem, dentro do escritório, tem acesso aos dados da sua empresa.
Onde os arquivos ficam guardados e por quanto tempo.
Quem é o encarregado ou o contato para assuntos de dados.
Como o escritório avisa a sua empresa se houver um incidente.
O que acontece com os documentos quando o contrato termina.

O último item conversa com outra dúvida comum, a de o contador segurar documentos na troca, tratada em Contador pode reter documentos da empresa? O que diz o CFC e o que fazer. O que o contrato com o escritório costuma trazer está em Contrato de contador: o que ele precisa deixar claro e o que conferir antes de assinar.

Como a WJR trabalha com os documentos do cliente

Na WJR, a troca de informações com o cliente acontece por três canais definidos: o grupo de WhatsApp da empresa, o e-mail e o portal do cliente. Ter canais fixos ajuda a responder a primeira pergunta da lista acima, a de por onde os dados circulam. Sobre o escritório, fundado em 1995 na Mooca, veja Quem somos: a WJR Contabilidade, na Mooca desde 1995, e outras páginas sobre a escolha do contador estão no índice Como escolher um contador para a sua empresa.

Se a sua empresa quer organizar como documentos e informações circulam internamente, entre setores e com fornecedores, esse é o assunto do serviço BPO financeiro e consultoria de processos internos para a sua empresa.

Perguntas frequentes

O contador é operador de dados na LGPD?+

Sim, quando trata os dados em nome da sua empresa, como na folha e no eSocial. A LGPD define operador como quem trata dados "em nome do controlador" (art. 5º, VII).

Preciso do consentimento do funcionário para mandar os dados ao contador?+

Não, para cumprir obrigações como o eSocial. A base legal é o cumprimento de obrigação legal pelo controlador (art. 7º, II), e não o consentimento.

A lei manda guardar documentos fiscais por 5 anos?+

Não literalmente. O CTN, art. 195, parágrafo único, manda conservar os livros e comprovantes até a prescrição dos créditos tributários. Os 5 anos citados costumam vir do prazo de decadência, que é outra regra.

Se o escritório vazar dados, ele responde?+

Sim. O operador responde solidariamente pelos danos quando descumpre a LGPD ou não segue as instruções lícitas do controlador (art. 42, §1º, I).

ANPD agora é Agência ou Autoridade?+

Agência. Desde a Lei 15.352/2026, a LGPD fala em Agência Nacional de Proteção de Dados, mantendo a sigla ANPD. Se a sua empresa quer rever como os documentos e os dados circulam no dia a dia, conheça o serviço BPO financeiro e consultoria de processos internos para a sua empresa da WJR.

Contador e LGPD: o papel do escritório nos dados dos seus funcionários e clientes