RESPOSTA DIRETA
LGPD em escritório de contabilidade começa por uma distinção que quase ninguém faz: você é operador dos dados que o cliente confia e controlador dos dados da sua própria equipe. E, na maior parte da rotina, a base legal correta não é consentimento, é o cumprimento de obrigação legal do art. 7º, II, da Lei 13.709/2018. Folha, escrituração e obrigação acessória existem porque a lei manda. Pedir consentimento para isso cria um problema em vez de resolver, porque consentimento pode ser revogado e a obrigação não some junto.
NESTE ARTIGO
- 01Por que o escritório contábil é um alvo óbvio?
- 02Você é operador ou controlador dos dados?
- 03Qual é a base legal certa, e por que quase nunca é consentimento?
- 04O escritório trata dado sensível sem perceber?
- 05O escritório precisa nomear encarregado?
- 06Por onde o dado realmente vaza no escritório?
- 07O que precisa estar no contrato com o cliente?
- 08O que fazer quando acontece um incidente?
- 09Por onde começar sem parar o escritório?
Pense no que passa pelo seu escritório num mês. CPF, endereço, salário, dependente, conta bancária, atestado médico, ficha de admissão, demissão. De dezenas de empresas, de centenas de pessoas. Agora pense em quantas dessas pessoas sabem que você existe.
Essa é a posição do contador na LGPD: você guarda muito dado de muita gente que nunca te contratou. Não é motivo para pânico, é motivo para método. E o método começa com duas ou três decisões que a maioria dos escritórios nunca tomou.
Por que o escritório contábil é um alvo óbvio?
Por concentração. Invadir uma empresa dá acesso aos dados de uma empresa. Invadir o escritório que atende cem empresas dá acesso aos dados de cem. O escritório contábil é o ponto onde o dado de muita gente se junta, e quem procura dado sabe disso.
Some a isso a rotina real: arquivo compartilhado sem controle de acesso, documento trafegando por aplicativo de mensagem, planilha que vive no computador de uma pessoa só. Nenhuma dessas coisas é maldade, todas são hábito. E hábito é o que a LGPD cobra que vire processo.
Você é operador ou controlador dos dados?
As duas coisas, em momentos diferentes, e confundir isso bagunça todo o resto.
| Situação | Seu papel | O que isso implica |
|---|---|---|
| Folha dos funcionários do cliente | Operador | Você trata seguindo instrução do cliente, que é o controlador |
| Escrituração e obrigação acessória do cliente | Operador | A finalidade é a do cliente, a instrução vem dele |
| Dados da sua própria equipe | Controlador | Você decide finalidade e meio, e responde por isso |
| Dados de quem pede proposta no seu site | Controlador | Captação é sua, então a responsabilidade é sua |
Operador não é figurante. Ele responde quando descumpre a instrução do controlador ou quando descumpre a lei. A ideia de que "o dado é do cliente, o problema é dele" não sobrevive ao primeiro incidente.
Qual é a base legal certa, e por que quase nunca é consentimento?
Aqui está o erro mais comum e mais caro. O escritório manda o cliente assinar um termo de consentimento genérico e acha que resolveu. Não resolveu, e pode ter piorado.
O art. 7º da Lei 13.709/2018 abre com a lista das hipóteses em que o tratamento é permitido. O inciso I é o consentimento. O inciso II é o cumprimento de obrigação legal ou regulatória pelo controlador. O inciso V é a execução de contrato.
Olhe a sua rotina com essa lista na mão. Folha existe porque a legislação trabalhista manda. Escrituração existe porque a legislação contábil e fiscal manda. Obrigação acessória existe porque o fisco manda. Nada disso depende de alguém concordar. A base é o inciso II.
ATENÇÃO
DICA DO MAISSE
MATERIAIS GRATUITOS
Lives e materiais do Anderson
Aulas e entregáveis gratuitos para aplicar no seu escritório ainda esta semana.
ACESSAR GRÁTISO escritório trata dado sensível sem perceber?
Trata, e quase sempre sem perceber. Atestado médico é dado de saúde. Laudo de exame ocupacional é dado de saúde. Informação de dependente com deficiência, para fins de imposto ou de plano, é dado de saúde. Desconto de contribuição sindical revela filiação. Biometria do ponto é dado biométrico.
Dado sensível tem regime próprio na lei, mais rígido que o do dado comum. O ponto prático: pasta com atestado não pode ter o mesmo controle de acesso que a pasta do contrato social.
O escritório precisa nomear encarregado?
O art. 41 da LGPD é direto: o controlador deverá indicar encarregado pelo tratamento de dados pessoais. O parágrafo seguinte manda divulgar publicamente a identidade e o contato dele, preferencialmente no site.
Para agente de tratamento de pequeno porte a ANPD editou regime simplificado, e é lá que a flexibilização é discutida. Antes de concluir que o seu escritório está dispensado, confira o enquadramento de verdade: o critério não é só o porte, o volume e a sensibilidade do que você trata também pesam. E escritório contábil trata muito dado sensível de muita gente.
Na prática, mesmo quando a nomeação formal não é exigida, ter alguém responsável pelo assunto resolve mais problema do que cria. Sem dono, o tema não avança.
Por onde o dado realmente vaza no escritório?
Não é por invasão sofisticada. É pelo caminho que todo mundo usa todo dia.
Os pontos de vazamento que aparecem em quase todo escritório
- ✓Documento com dado pessoal trafegando por aplicativo de mensagem pessoal da equipe
- ✓Pasta compartilhada em que todo mundo enxerga tudo, inclusive quem saiu
- ✓Acesso de ex-funcionário que nunca foi revogado
- ✓Planilha de folha salva no computador de uma pessoa, sem cópia e sem controle
- ✓E-mail enviado para o cliente errado, que é o incidente mais comum de todos
- ✓Papel com dado pessoal esperando na impressora compartilhada
PROGRAMA COMPLETO
Contabilidade Digital 360
O guia completo para escalar seu escritório com lucro e previsibilidade.
CONHECER O CD360O que precisa estar no contrato com o cliente?
O contrato com o cliente precisa dizer o que antes era subentendido: quais dados você trata, para qual finalidade, por quanto tempo guarda, o que acontece quando o contrato acaba e como cada lado age diante de um incidente.
A cláusula que mais falta é a do fim do contrato. Cliente sai, e os dados dele ficam no seu servidor por anos, sem finalidade e sem prazo. Isso é tratamento sem base, e é o tipo de coisa que só aparece quando já virou problema.
O que fazer quando acontece um incidente?
Conter, registrar, comunicar. Nessa ordem, e rápido.
Conter é cortar acesso e preservar evidência, sem apagar rastro. Registrar é documentar o que houve, quando, quais dados, quantos titulares e o que foi feito. Comunicar é avisar o controlador quando você é operador, e avaliar a comunicação à autoridade e aos titulares.
O erro que transforma incidente em crise é resolver calado. Quando aparece depois, e costuma aparecer, a omissão pesa mais que o vazamento.
Por onde começar sem parar o escritório?
Não contrate projeto de adequação antes de fazer três coisas que custam tempo e não custam dinheiro.
Primeiro, mapeie: que dado entra, por onde, onde fica e quem acessa. Segundo, defina a base legal de cada rotina com o art. 7º na mão. Terceiro, feche os vazamentos óbvios da lista acima, começando por acesso de quem já saiu.
Feito isso, você sabe o tamanho do problema e consegue decidir o que precisa de ajuda externa. E ganha algo a mais: a mesma conversa vale para a sua carteira. Cliente que trata dado de funcionário e de consumidor tem a mesma dor, e quase nenhum tem quem explique. É serviço consultivo com base legal, em cima de cliente que você já atende.
COMUNIDADE CCD
Comunidade Contabilidade Digital
O método que já ajudou mais de 3.000 contadores a captar clientes e sair do operacional.
ENTRAR NA LISTA DE ESPERACONTINUE A JORNADA
BASE LEGAL E REFERÊNCIAS
PERGUNTAS FREQUENTES
Escritório de contabilidade precisa se adequar à LGPD?+
Precisa, e por dois motivos ao mesmo tempo. Ele é operador quando trata dados dos funcionários e clientes do cliente, seguindo as instruções de quem contratou, e é controlador quando trata dados da própria equipe e dos próprios contratantes. As duas posições geram obrigações, e elas não se anulam.
Preciso do consentimento do cliente para tratar os dados dele?+
Na maior parte da rotina, não. O art. 7º da Lei 13.709/2018 lista dez hipóteses, e o inciso II autoriza o tratamento para cumprimento de obrigação legal ou regulatória. Folha, obrigação acessória e escrituração existem porque a lei manda, então a base é essa, não o consentimento. Pedir consentimento para o que é obrigação legal cria um problema novo: consentimento pode ser revogado, e a obrigação legal não some quando alguém revoga.
Escritório pequeno precisa nomear encarregado de dados?+
O art. 41 da LGPD diz que o controlador deve indicar encarregado. A ANPD estabeleceu regime simplificado para agentes de tratamento de pequeno porte, e é nesse regramento que a dispensa ou a flexibilização é discutida. Antes de decidir que não precisa, confira o enquadramento: volume e sensibilidade dos dados pesam, e escritório contábil costuma tratar muito dado de muita gente.
O que é dado sensível na rotina contábil?+
Dado sobre saúde é o mais comum e o menos percebido: atestado, afastamento, laudo do exame ocupacional, informação de dependente para fins de plano. Também entram dado biométrico do ponto e filiação sindical no desconto em folha. Sensível tem regime mais rígido que dado comum, e muitos escritórios tratam sem saber que é.
O que fazer se vazar dado no escritório?+
Conter, registrar e comunicar. Conter é cortar o acesso e preservar evidência. Registrar é documentar o que aconteceu, quando, quais dados e quantos titulares. Comunicar é avisar o controlador, quando você é operador, e avaliar a comunicação à autoridade e aos titulares. O erro clássico é resolver em silêncio e descobrir depois que o silêncio agravou tudo.
Este conteúdo tem caráter educacional e informativo, voltado a contadores e donos de escritórios contábeis. Não substitui a análise individual de cada caso nem consultoria profissional específica. Legislações e normas citadas podem sofrer alterações; consulte sempre as fontes oficiais vigentes.
