
responsabilidade, introduzindo uma ótica de governança de dados e tutela de direitos
fundamentais do titular que vai além do sigilo tradicional. Ou seja, não basta manter segredo
sobre as informações do cliente; é preciso assegurar que todo o ciclo de vida dos dados
pessoais (coleta, uso, armazenamento, compartilhamento e descarte) ocorra em conformidade
com os princípios da LGPD – finalidade, adequação, necessidade, transparência, segurança,
prevenção, não discriminação e responsabilização.
A própria confidencialidade, antes vista apenas como dever ético, passa a ser também
uma obrigação legal de proteção à privacidade e liberdade do titular dos dados. Dever legal
que precisa ser encarado pelos escritórios, como alguns setores já fazem, como oportunidade
de terem, agora, um direcionamento claro sobre como implementar a confidencialidade de
forma efetiva, abrangendo aspectos relacionados, por exemplo, a questões como: em que meios
os dados são armazenados (físicos ou virtuais), qual o nível de segurança aplicado, quem tem
acesso, por quanto tempo são retidos e como são eliminados ao final.
A LGPD é exigível para todos os advogados, sejam eles atuando de forma organizada
em escritório ou como autônomo. Poderá, dependendo do porte, haver dispensa ou
flexibilização de alguma obrigação, mas não é critério para afastar sua aplicabilidade, cujas
exceções são apenas aquelas do artigo 4º da LGPD. Portanto, escritórios de todos os portes
devem adotar medidas de adequação e possam demonstrar conformidade (“accountability”). Na
prática, isso implica implementar um programa interno de governança, com políticas e
procedimentos claros, voltados a manutenção e reforço da confiança depositada pelo titular de
dados, assegurando em última instância que os dados não sejam tratados para finalidades
diversas daquelas para as quais foram coletados e informados ao titular de dados.
Entre as principais ações recomendadas, destacam-se:
a) Mapeamento dos dados pessoais tratados
O advogado deverá conduzir um inventário de dados pessoais, identificando que tipos
de informações são coletadas em cada atividade (cadastro de clientes, peças processuais, banco
de jurisprudência etc.) e traçando a trajetória desses dados desde a obtenção até o descarte.
Esse inventário permite conhecer onde estão os dados e quais medidas de proteção aplicar.
Também é crucial mapear os chamados agentes de tratamento envolvidos – o escritório
geralmente atua como controlador dos dados de clientes, podendo envolver operadores (como
fornecedores de TI, serviços de armazenamento em nuvem, contadores, consultores) que
também devem ser contratualmente vinculados a proteger esses dados.
b) Definição da base legal adequada