Advocacia e LGPD é a atuação jurídica voltada à conformidade no tratamento de dados pessoais, nos termos do art. 1º da Lei 13.709/2018. Na prática, advogados orientam empresas sobre bases legais, contratos, políticas, riscos, incidentes e direitos dos titulares.
A Lei Geral de Proteção de Dados (LGPD) consolidou um campo técnico para advogados, departamentos jurídicos e escritórios. A lei exige que organizações públicas e privadas tratem dados pessoais com finalidade, necessidade, transparência, segurança, prevenção e responsabilização, conforme o art. 6º da Lei 13.709/2018.
Desde 2020, a adequação deixou de ser um projeto pontual e passou a integrar governança corporativa, contratos, tecnologia, recursos humanos, marketing, atendimento ao consumidor e gestão de fornecedores. A Autoridade Nacional de Proteção de Dados também ganhou estrutura regulatória, inclusive com a Lei 14.460/2022, que transformou a ANPD em autarquia de natureza especial.
Como a advocacia e LGPD criam uma frente de atuação jurídica?
A advocacia e LGPD criam uma frente de atuação porque toda operação com dado pessoal precisa de fundamento jurídico, documentação adequada e gestão de risco. O advogado interpreta a Lei 13.709/2018, conecta a regra ao negócio e orienta decisões sobre coleta, uso, compartilhamento, retenção, descarte e resposta a incidentes.
Empresas tratam dados em cadastros, contratos, sistemas de venda, prontuários, folha de pagamento, câmeras, cookies, CRM, aplicativos, plataformas de cobrança e canais de atendimento. Em cada caso, o advogado avalia se existe dado pessoal, dado pessoal sensível, dado anonimizado ou dado pseudonimizado, conforme os conceitos do art. 5º da Lei 13.709/2018.
O trabalho jurídico também reduz exposição a sanções administrativas, ações individuais, ações coletivas, notificações de titulares, fiscalizações da ANPD e conflitos contratuais. O art. 52 da Lei 13.709/2018 prevê advertência, multa simples, multa diária, publicização da infração, bloqueio e eliminação de dados, entre outras medidas.
Como trabalhar com a LGPD na advocacia empresarial?
Trabalhar com LGPD na advocacia empresarial exige método, visão multidisciplinar e domínio das operações do cliente. O advogado não atua apenas redigindo documentos. Ele conduz entrevistas, identifica fluxos de dados, seleciona bases legais, revisa contratos, orienta controles internos e registra evidências de conformidade para auditorias e fiscalizações.
Quais conhecimentos jurídicos o advogado precisa dominar?
O ponto de partida está nos princípios do art. 6º, nas bases legais dos arts. 7º e 11, nos direitos dos titulares do art. 18, nas regras de segurança dos arts. 46 a 49 e nas sanções dos arts. 52 a 54 da Lei 13.709/2018. Também entram no radar o Marco Civil da Internet, Lei 12.965/2014, o Código de Defesa do Consumidor, Lei 8.078/1990, e regras setoriais.
O advogado deve diferenciar consentimento, legítimo interesse, execução de contrato, cumprimento de obrigação legal, tutela da saúde e proteção do crédito. Um e-commerce, por exemplo, pode usar execução de contrato para entregar um pedido, obrigação legal para emitir nota fiscal e consentimento para enviar comunicações promocionais não necessárias.
Por que a equipe deve ser multidisciplinar?
A LGPD depende do trabalho jurídico, mas não se limita a ele. Segurança da informação, tecnologia, gestão de processos, recursos humanos e atendimento ao cliente participam da conformidade. Normas como ISO 27001, ISO 27002 e ISO 27701 ajudam a organizar controles de segurança, privacidade e gestão de riscos.
Quando a empresa ainda não possui maturidade em segurança da informação, o advogado deve recomendar avaliação técnica. Criptografia, controle de acesso, autenticação multifator, backup, segregação de perfis, logs e plano de resposta a incidentes precisam conversar com as obrigações legais.
Qual é o passo a passo para adequação à LGPD?
O passo a passo da adequação à LGPD envolve diagnóstico, inventário, base legal, revisão documental, controles de segurança, treinamento, governança e monitoramento. O advogado transforma esse roteiro em evidências verificáveis, como relatórios, políticas, cláusulas contratuais, atas, registros de decisão e procedimentos internos de atendimento a titulares.
Como criar mindset de segurança e privacidade?
A alta gestão precisa decidir quais riscos aceita, quais recursos disponibiliza e quais áreas participarão do projeto. Sem patrocínio interno, o inventário não avança, os treinamentos perdem adesão e os documentos viram peças formais sem aplicação. O advogado deve traduzir a LGPD para impactos de negócio e responsabilidade jurídica.
Um bom início é apresentar um mapa de risco por área. Recursos humanos costuma tratar dados sensíveis de saúde, diversidade, exames admissionais e afastamentos. Marketing usa leads, cookies e listas de contatos. Financeiro compartilha dados com bancos, contabilidade e empresas de cobrança. Jurídico mantém contratos, documentos pessoais e histórico de litígios.
Como fazer o inventário de dados tratados e armazenados?
O inventário identifica quais dados entram na empresa, quem coleta, com que finalidade, onde ficam, quem acessa, com quem a organização compartilha e por quanto tempo permanecem nos sistemas. Essa etapa corrige a voz passiva do processo: a empresa não deve apenas dizer que dados são armazenados, mas indicar quem armazena, onde e por qual motivo.
A LGPD diferencia dados pessoais, dados pessoais sensíveis e dados anonimizados. Dados sensíveis incluem origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dado genético, dado biométrico, saúde e vida sexual, nos termos do art. 5º, II, da Lei 13.709/2018.
Na prática, o advogado pode conduzir entrevistas por departamento, solicitar amostras de formulários, revisar sistemas usados, avaliar contratos com fornecedores e montar uma planilha de tratamento. Essa planilha deve indicar finalidade, base legal, titulares, operadores, transferências internacionais, prazo de retenção, medidas de segurança e responsável interno.
Como regularizar coleta, bases legais e consentimento?
A regularização não significa pedir consentimento para tudo. O consentimento, previsto no art. 7º, I, e definido no art. 5º, XII, da Lei 13.709/2018, deve ser livre, informado e inequívoco. Quando outra base legal for mais adequada, o advogado deve registrá-la e explicar a escolha.
Um contrato de prestação de serviços pode justificar o uso de dados cadastrais para execução contratual. A guarda de notas fiscais decorre de obrigação legal. Um relatório estatístico pode usar dados anonimizados. Já o envio de newsletter, em muitos casos, exige consentimento ou avaliação criteriosa de legítimo interesse com mecanismo de oposição.
O advogado também deve revisar avisos de privacidade, termos de uso, formulários, contratos com operadores, cláusulas de confidencialidade, política de cookies e procedimentos de revogação de consentimento. O titular precisa receber informações claras sobre finalidade, forma e duração do tratamento, conforme o art. 9º da Lei 13.709/2018.
Como proteger e gerir dados pessoais após a limpeza?
Depois do inventário, a empresa deve eliminar dados desnecessários, corrigir coletas excessivas e definir prazos de retenção. Quanto mais informação sem justificativa permanece nos sistemas, maior o custo de proteção e maior o impacto de um incidente. A minimização decorre do princípio da necessidade, previsto no art. 6º, III, da Lei 13.709/2018.
A fase de proteção exige controles físicos, lógicos e administrativos. O jurídico pode criar regras de acesso por função, termo de confidencialidade, política de descarte, procedimento de home office, plano de resposta a incidentes e fluxo de comunicação com a ANPD. A tecnologia executa controles, mas o jurídico define obrigações, responsabilidades e evidências.
A gestão contínua inclui indicadores, auditorias periódicas, revisão de fornecedores, atualização de políticas e treinamento. A Resolução CD/ANPD 2/2022 trouxe tratamento diferenciado para agentes de pequeno porte, sem retirar o dever de adotar medidas de segurança e atender titulares. Já a Resolução CD/ANPD 15/2024 regulamentou a comunicação de incidentes de segurança.
Qual é o papel do advogado na governança de dados?
O advogado estrutura a governança de dados quando cria regras, documentos e responsabilidades para que a empresa trate informações pessoais com controle. Ele atua na readequação documental, no suporte ao encarregado, na orientação de controladores e operadores, na análise de contratos e no treinamento de equipes internas.
Entre as entregas jurídicas, entram termo de consentimento, aviso de privacidade, política interna de proteção de dados, cláusulas com operadores, matriz de bases legais, relatório de impacto quando necessário, procedimento de atendimento ao titular e comunicação de incidente. O advogado também treina áreas que coletam dados no contato diário com clientes, colaboradores e fornecedores.
A LGPD usa os conceitos de controlador e operador no art. 5º, VI e VII. O controlador toma decisões sobre o tratamento. O operador trata dados em nome do controlador. O encarregado, previsto no art. 5º, VIII, atua como canal entre controlador, titulares e ANPD. Esse papel não se confunde com o CONTROLLER jurídico, função ligada à gestão do departamento legal.
Contratos merecem atenção especial. O advogado deve prever objeto do tratamento, instruções documentadas, confidencialidade, suboperadores, medidas de segurança, devolução ou eliminação de dados, auditoria, cooperação em incidentes e responsabilidade por descumprimento. Essa revisão reduz disputas quando um fornecedor causa vazamento ou usa dados fora da finalidade contratada.
Como a lei abrange várias partes da operação, programas de compliance específicos para LGPD ajudam a incorporar privacidade no desenho de produtos, serviços, aplicativos e infraestrutura. A lógica de privacy by design e privacy by default reforça controles desde a concepção do processo.
Quais riscos, sanções e prazos o advogado deve mapear?
O advogado deve mapear riscos regulatórios, civis, trabalhistas, consumeristas, contratuais e reputacionais ligados ao tratamento de dados. A empresa precisa saber quais eventos podem gerar reclamações, multas, bloqueio de dados, rescisões contratuais, ações indenizatórias ou perda de confiança de clientes e parceiros.
As sanções administrativas do art. 52 da Lei 13.709/2018 incluem multa de até 2% do faturamento da pessoa jurídica no Brasil, limitada a R$ 50 milhões por infração. A Resolução CD/ANPD 4/2023 disciplinou a dosimetria e a aplicação de sanções administrativas, com critérios como gravidade, boa-fé, vantagem obtida, reincidência e cooperação.
Em incidentes de segurança, a empresa deve avaliar natureza dos dados, volume, titulares afetados, risco de dano relevante e medidas adotadas. A Resolução CD/ANPD 15/2024 definiu regras para comunicação à ANPD e aos titulares quando o incidente puder acarretar risco ou dano relevante. O jurídico precisa preparar o fluxo antes da crise.
A jurisprudência brasileira ainda analisa muitos casos conforme prova do dano, tipo de dado e conduta do agente. No AREsp 2.130.619/SP, julgado pelo STJ em 2023, o Tribunal afastou dano moral presumido em vazamento de dados pessoais comuns. Isso não elimina responsabilidade, mas reforça a necessidade de provas, nexo causal e avaliação do caso concreto.
Como escritórios de advocacia devem se adequar?
Escritórios também tratam dados pessoais de clientes, partes, testemunhas, colaboradores, candidatos, fornecedores e usuários de sites. A adequação deve abranger procurações, documentos processuais, contratos, sistemas jurídicos, pastas compartilhadas, e-mails, aplicativos de mensagem, audiências virtuais e descarte de arquivos físicos.
Na rotina da advocacia, há dados sensíveis em ações trabalhistas, previdenciárias, médicas, familiares e criminais. O escritório deve limitar acesso por equipe, registrar orientações internas, proteger dispositivos, usar senhas fortes, controlar compartilhamentos externos e definir prazos de guarda compatíveis com deveres profissionais, prescrição e obrigações legais.
Também convém revisar contratos de honorários, termos de confidencialidade, aviso de privacidade do site, política de cookies, contratos com softwares jurídicos e serviços em nuvem. Quando o escritório atua como operador, deve seguir instruções do cliente controlador. Quando decide finalidades e meios do tratamento, atua como controlador e assume obrigações próprias.
Perguntas frequentes sobre advocacia e LGPD
Advocacia e LGPD é a atuação jurídica que orienta empresas e escritórios sobre tratamento de dados pessoais conforme a Lei 13.709/2018. O trabalho inclui diagnóstico, bases legais, contratos, políticas internas, resposta a titulares, gestão de incidentes e documentação de conformidade.
Advocacia e LGPD permite ao advogado atuar em consultoria, auditoria documental, mapeamento de dados, revisão contratual, treinamento, suporte ao encarregado e resposta a incidentes. A atuação exige conhecimento da Lei 13.709/2018, normas da ANPD e práticas de governança.
Advocacia e LGPD parte da análise de aplicação da lei. A LGPD se aplica a operações de tratamento realizadas no Brasil, destinadas a pessoas no Brasil ou com dados coletados no território nacional, conforme o art. 3º da Lei 13.709/2018.
Advocacia e LGPD não deve tratar consentimento como solução universal. A Lei 13.709/2018 prevê outras bases legais, como execução de contrato, obrigação legal, legítimo interesse e proteção do crédito. O advogado deve escolher e documentar a base adequada para cada finalidade.
Advocacia e LGPD costuma envolver inventário de dados, matriz de bases legais, aviso de privacidade, política interna, cláusulas contratuais, termo de confidencialidade, relatório de impacto quando cabível, procedimento de atendimento a titulares e plano de resposta a incidentes.
Advocacia e LGPD deve considerar as sanções do art. 52 da Lei 13.709/2018. A multa pode chegar a 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração, além de advertência, bloqueio ou eliminação de dados.
Como concluir um projeto de advocacia e LGPD com segurança?
Um projeto de advocacia e LGPD termina bem quando a empresa entende seus dados, documenta decisões, treina equipes e mantém revisão contínua. A conformidade não se encerra na entrega de políticas. Ela exige governança viva, evidências atualizadas e integração entre jurídico, tecnologia, segurança e áreas de negócio.
Advogados e advogadas devem se preparar para atuar com profundidade técnica, linguagem clara e visão prática. A adequação à LGPD demanda Direito, gestão de risco, documentação, negociação contratual e resposta rápida a eventos. Esse campo segue relevante para a advocacia empresarial e para a proteção efetiva dos titulares.
Texto original escrito por Tatiane Goldhar e Clara Machado, sócias do @goldharemachadoadvocacia, revitalizado e atualizado conforme normas vigentes até 2025.
Você também pode gostar de:
