LGPD e nuvem em dados de família: bases legais e o dever do escritório

A pasta de um caso de família guarda laudo psicológico, prontuário médico, exame de DNA, registro de violência doméstica e a rotina de uma criança. A Lei 13.709/2018 chama isso pelo nome no art. 5º, II, ao definir dado pessoal sensível como o que versa, entre outras hipóteses, sobre "dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural". O regime aplicável a esse acervo está no art. 11, e ele é mais estreito que o do art. 7º, que rege o dado comum. Quem atua na área trabalha, portanto, sob a regra mais rígida da lei quase o tempo todo.

O primeiro efeito prático aparece na definição de papéis. Pelo art. 5º, VI, controlador é quem toma "as decisões referentes ao tratamento de dados pessoais", e pelo inciso VII operador é quem "realiza o tratamento de dados pessoais em nome do controlador". O escritório decide o que coleta, para que finalidade e por quanto tempo guarda, o que o coloca na posição de controlador em relação aos dados do cliente e da parte contrária. O provedor de armazenamento, o serviço de digitalização e o escritório de contabilidade tratam esses dados por conta do escritório, e ocupam a posição de operador. A consequência está no art. 39: o operador "deverá realizar o tratamento segundo as instruções fornecidas pelo controlador, que verificará a observância das próprias instruções e das normas sobre a matéria", o que transforma a instrução escrita em obrigação do contratante, e a verificação dela também.

A base legal que sustenta o tratamento, sem depender de consentimento

O art. 11 lista as hipóteses do dado sensível e a que serve à advocacia está na alínea "d" do inciso II:

"Art. 11. O tratamento de dados pessoais sensíveis somente poderá ocorrer nas seguintes hipóteses: [...] II - sem fornecimento de consentimento do titular, nas hipóteses em que for indispensável para: [...] d) exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral, este último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem)"

A locução "inclusive em contrato" é a diferença que interessa. O inciso VI do art. 7º, que cobre o dado comum, fala apenas em "exercício regular de direitos em processo judicial, administrativo ou arbitral", de modo que a redação do art. 11 alcança a fase anterior ao processo, que é justo onde o escritório de família recebe o volume maior de dado sensível: a consulta inicial, a coleta de documentos para avaliar viabilidade, a redação do acordo extrajudicial. Apoiar o tratamento nessa base, em vez de no consentimento do inciso I, tem vantagem operacional relevante, porque o consentimento é revogável a qualquer tempo e a revogação atingiria o acervo probatório no meio do caso.

O sigilo processual e o sigilo profissional continuam valendo sobre o mesmo material, com exigência mais rígida que a da lei de dados. O art. 189, II, do Código de Processo Civil põe em segredo de justiça os processos que versem sobre casamento, separação de corpos, divórcio, separação, união estável, filiação, alimentos e guarda de crianças e adolescentes, e o § 1º restringe a consulta aos autos "às partes e aos seus procuradores", limite detalhado na página do segredo de justiça. O Código de Ética e Disciplina, no art. 35, impõe ao advogado "o dever de guardar sigilo dos fatos de que tome conhecimento no exercício da profissão", e o art. 36 qualifica esse sigilo como de ordem pública, com presunção de confidencialidade sobre "as comunicações de qualquer natureza entre advogado e cliente". Violar sigilo profissional sem justa causa é infração disciplinar pelo art. 34, VII, do Estatuto da Advocacia, cujo rito de apuração está na página do ofício à seccional.

As operações do dia, com o dever que nasce de cada uma

A última linha costuma ser a mais frágil na prática. O art. 16 manda eliminar os dados "após o término de seu tratamento, no âmbito e nos limites técnicos das atividades", e ressalva a conservação para as finalidades que enumera. Arquivo mantido por tempo indeterminado, sem política escrita que declare o prazo e a razão dele, fica sem apoio em qualquer dos incisos e amplia a superfície de risco à toa. A organização documental que sustenta essa política está descrita na página do checklist documental.

Nuvem, e a pergunta que o contrato precisa responder

Contratar armazenamento remoto significa, quase sempre, transferir dado para fora do país. O art. 33 admite a transferência internacional em hipóteses fechadas, e as duas que interessam à contratação comum são a do inciso I, quando o destino "proporcione grau de proteção de dados pessoais adequado ao previsto nesta Lei", e a do inciso II, quando o controlador oferecer e comprovar garantias por "cláusulas contratuais específicas para determinada transferência", "cláusulas-padrão contratuais", "normas corporativas globais" ou "selos, certificados e códigos de conduta regularmente emitidos". A avaliação de adequação de país cabe à ANPD pelos critérios do art. 34, e o conteúdo das cláusulas-padrão é definido por ela pelo art. 35, de modo que a via disponível a um escritório de porte comum é a contratual, com o documento guardado.

O que se pergunta ao fornecedor, antes de assinar, decorre desses dispositivos. Em que país ficam os servidores e as cópias de segurança, para saber qual inciso do art. 33 se aplica. Qual instrumento de garantia o contrato oferece, e se o texto dele está disponível para juntada. Que instruções de tratamento o contrato registra, para satisfazer o art. 39. Que medidas de segurança são adotadas, e se elas alcançam "a fase de concepção do produto ou do serviço até a sua execução", como exige o § 2º do art. 46. E em quanto tempo o fornecedor comunica um incidente ao contratante, ponto que decide o cumprimento do prazo tratado adiante.

Encarregado, incidente, e o relógio de três dias úteis

O art. 41 da lei determina que o controlador indique encarregado pelo tratamento, e o § 3º autoriza a autoridade a estabelecer hipóteses de dispensa "conforme a natureza e o porte da entidade ou o volume de operações de tratamento de dados". O regulamento aprovado pela Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, usou essa autorização:

"Art. 11. Os agentes de tratamento de pequeno porte não são obrigados a indicar o encarregado pelo tratamento de dados pessoais exigido no art. 41 da LGPD."

"§ 1º O agente de tratamento de pequeno porte que não indicar um encarregado deve disponibilizar um canal de comunicação com o titular de dados para atender o disposto no art. 41, § 2º, I da LGPD."

A dispensa tem porta de saída, e ela alcança de perto a advocacia de família. O art. 3º, I, do mesmo regulamento exclui do tratamento diferenciado quem realize "tratamento de alto risco para os titulares", e o art. 4º define alto risco pela combinação cumulativa de um critério geral com um critério específico. Entre os critérios específicos está, na alínea "d", a "utilização de dados pessoais sensíveis ou de dados pessoais de crianças, de adolescentes e de idosos", que descreve a rotina de qualquer banca de família. O critério geral exige tratamento em larga escala ou capaz de afetar significativamente interesses e direitos fundamentais, e é aí que a análise se individualiza. Escritório que preencha os dois perde a dispensa e volta ao art. 41 da lei.

A comunicação de incidente tem regulamento próprio e prazo em dias úteis. Pelo art. 5º da Resolução CD/ANPD nº 15, de 24 de abril de 2024, o incidente pode acarretar risco ou dano relevante quando afetar significativamente direitos fundamentais e, cumulativamente, envolver ao menos um dos critérios listados, entre eles dados sensíveis, dados de crianças e adolescentes e "dados protegidos por sigilo legal, judicial ou profissional". Um vazamento de pasta de família preenche três desses critérios de uma vez. O art. 6º fixa que a comunicação à autoridade "deverá ser realizada pelo controlador no prazo de três dias úteis", contado, pelo § 1º, "do conhecimento pelo controlador de que o incidente afetou dados pessoais", e o art. 9º repete o mesmo prazo para a comunicação ao titular.

Uma armadilha de vigência acompanha esse ponto e derruba quem consulta o regulamento de 2022 isoladamente. O art. 14, II, daquele texto concedia prazo em dobro aos agentes de pequeno porte na comunicação de incidente, e o art. 2º da Resolução 15/2024 deu a ele redação nova, que remete ao Regulamento de Comunicação de Incidente de Segurança sem manter a duplicação. A versão publicada no Diário Oficial em 2022 permanece disponível com o texto antigo, e citá-la descreve regra extinta. A designação do órgão também mudou: pelo art. 5º, VIII e XIX, da lei, na redação da Lei 15.352/2026, a sigla ANPD passou a corresponder a Agência Nacional de Proteção de Dados, no lugar de Autoridade Nacional de Proteção de Dados, e o compilado exibe quatro redações sucessivas de cada inciso.

O que depende de ato da autoridade fica fora desta página, porque envelhece. A relação de países reconhecidos como de proteção adequada para efeito do art. 33, I, decorre da avaliação que o art. 34 atribui à ANPD. O teor das cláusulas-padrão contratuais vem do art. 35, que entrega a definição delas à mesma autoridade. Orientação setorial dirigida à advocacia, se existir, sai da mesma fonte. Os três documentos se conferem em gov.br/anpd na data do uso.