Por Leo Toco · Publicado em 25 de agosto de 2026 · Atualizado em 25 de agosto de 2026
Construir o próprio sistema jurídico não transfere obrigação nenhuma de LGPD para o escritório: ela já era dele. O escritório é controlador dos dados que trata, com ou sem sistema próprio, e o sigilo profissional é dever pessoal do advogado. O que muda é operacional — seis tarefas que o fornecedor executava (segurança, backup, controle de acesso, registro, resposta a incidente e desligamento) passam a ser executadas por alguém da casa.
Este artigo é o passo seguinte à decisão entre sistema de gestão jurídica próprio ou de prateleira. Ele não trata de subir documento em ferramenta pública de IA — isso já está coberto no guia sobre segurança e confidencialidade na IA jurídica e no guia de LGPD e ANPD para advogados. Trata do cenário inverso: o dado deixou de passar pelo servidor de terceiro e a operação voltou para dentro de casa. Eu não sou advogado; sou de tecnologia, com mais de dez anos no mercado jurídico, e o que segue é o mapa operacional, não parecer.
Quem responde pelo quê: controlador e operador
Pela Lei 13.709/2018, controlador é quem decide sobre a finalidade e os meios do tratamento; operador é quem trata os dados em nome do controlador (art. 5º, VI e VII). O escritório é controlador dos dados dos seus clientes. O fornecedor de software costuma ser operador — e o operador realiza o tratamento segundo as instruções fornecidas pelo controlador (art. 39). Nenhuma dessas posições muda porque o sistema passou a ser próprio.
Tema | Sistema de prateleira | Sistema próprio |
|---|---|---|
Quem é controlador | O escritório | O escritório |
Quem é operador | O fornecedor | O próprio escritório (ou o provedor de infraestrutura contratado) |
Quem responde perante o titular | O escritório | O escritório |
Quem executa a segurança técnica | O fornecedor | Alguém nomeado da casa |
Quem comunica incidente à ANPD | O escritório (com apoio do fornecedor) | O escritório, sozinho |
Dever de sigilo profissional | Do advogado | Do advogado |
A conclusão prática é desconfortável e útil: construir não aumenta a sua responsabilidade jurídica — aumenta a sua carga de execução. Quem trocava e-mail com o suporte quando algo dava errado agora precisa ter, internamente, quem resolva.
As seis tarefas que deixam de ser do fornecedor
Antes de decidir construir, escreva quem faz cada uma destas seis coisas, com nome e tempo alocado. Se alguma linha ficar sem dono, o projeto ainda não está pronto para sair do papel.
Segurança técnica e administrativa. O art. 46 da LGPD exige medidas aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas. No sistema próprio, isso significa decidir concretamente: onde os dados ficam, quem tem chave, o que é criptografado e como o acesso é autenticado.
Registro das operações de tratamento. O art. 37 obriga controlador e operador a manter registro das operações que realizarem. Num sistema construído em casa, esse registro precisa ser desenhado de propósito: ele não aparece sozinho.
Backup — e restauração testada. Backup que nunca foi restaurado é uma esperança, não um controle. A pergunta certa não é “temos cópia?”, é “quando foi a última vez que alguém restaurou e conferiu?”.
Controle de acesso por pessoa e por perfil. Quem vê o quê, e por quê. Estagiário, terceirizado, contador, advogado associado e sócio não precisam do mesmo acesso.
Desligamento. Retirar o acesso de quem sai, no dia em que sai. É a falha mais comum e a mais barata de corrigir.
Resposta a incidente. Existe um caminho definido para o dia em que algo vazar — quem decide, quem comunica, em quanto tempo.
O prazo que quase ninguém conhece: incidente de segurança
Se ocorrer incidente de segurança que possa acarretar risco ou dano relevante aos titulares, o controlador — o escritório — deve comunicar à ANPD e ao titular. O prazo está no Regulamento de Comunicação de Incidente de Segurança, a Resolução CD/ANPD nº 15, de 24 de abril de 2024: três dias úteis, contados do conhecimento pelo controlador de que o incidente afetou dados pessoais, por formulário eletrônico da própria Agência. Informações complementares podem ser prestadas de forma fundamentada em até vinte dias úteis a contar da comunicação.
Três dias úteis é pouco tempo para descobrir quem decide. Por isso a resposta a incidente é um dos seis itens da lista acima: ela precisa estar escrita antes, não improvisada no dia. E vale notar que essa obrigação não nasce do sistema próprio — ela já existia. O que o sistema próprio faz é tirar do escritório a possibilidade de contar com o fornecedor para levantar o que aconteceu.
Sigilo profissional: o dever que nenhum contrato transfere
Sigilo não é um capítulo da LGPD; é um dever próprio da advocacia, mais antigo e mais rígido. Violar sigilo profissional é infração disciplinar pelo art. 34, VII, do Estatuto da Advocacia. O Código de Ética e Disciplina da OAB trata do tema nos arts. 35 a 38: o dever alcança os fatos conhecidos no exercício da profissão, é de ordem pública e independe de o cliente pedir reserva, e presumem-se confidenciais as comunicações entre advogado e cliente, escritas, verbais ou eletrônicas.
Duas consequências para quem constrói:
“Ordem pública” significa que a confidencialidade não é uma opção de configuração. Não existe justificativa de conveniência técnica que autorize expor comunicação de cliente — nem para facilitar a busca, nem para treinar nada.
A presunção de confidencialidade alcança o eletrônico. Mensagem trocada com o cliente dentro do seu sistema tem o mesmo tratamento da conversa no escritório. Se o sistema é seu, quem define quem consegue ler essa mensagem é você — e é uma decisão de ética, não de permissão de banco de dados.
Sobre a supervisão de quem usa a ferramenta dentro do escritório, o movimento das seccionais também é claro: a responsabilidade do sócio pelo uso de IA na banca já foi objeto de posicionamento da OAB/SP. Sistema próprio não muda isso — apenas concentra mais decisões na mesma cadeira.
O checklist de desligamento (a falha mais comum)
Quem sai leva o acesso, e quem fica leva o problema. Este é o roteiro mínimo, e ele vale igual para sistema próprio e de prateleira — só que no próprio ninguém vai executá-lo por você:
Encerrar o acesso no dia da saída, não na semana seguinte. Inclui o sistema, o e-mail, a nuvem, o repositório de documentos e qualquer chave de integração.
Trocar credenciais compartilhadas que a pessoa conhecia. Senha compartilhada é senha comprometida no dia em que alguém sai.
Transferir a titularidade de documentos, painéis e automações que estavam no nome dela.
Verificar dispositivos: cópias locais, pasta de downloads, celular com aplicação conectada.
Registrar o que foi feito, com data. Se um dia houver incidente, esse registro é a diferença entre demonstrar controle e depender de memória.
Revisar o inventário de acessos trimestralmente, para pegar o que escapou.
O que NÃO muda ao construir
Vale fechar pelo que continua igual, porque é aqui que mora a expectativa errada:
A responsabilidade perante o cliente e perante a ANPD. Continua sendo do escritório, integralmente.
O dever de sigilo. Continua sendo pessoal do advogado.
A necessidade de anonimizar o que não precisa ser identificado para a tarefa. Boa prática de dado é reduzir o dado, antes de proteger o dado.
A obrigação de saber onde o dado está. Sistema próprio mal documentado é tão opaco quanto sistema de terceiro fechado.
A régua da prova. Nada disso substitui o dever de conferir o que sai da sua peça — se a IA inventar um precedente, a consequência é do escritório, como já mostraram os casos de multa por jurisprudência falsa.
Estruturar essas seis tarefas com dono e periodicidade é, na prática, mais decisivo do que a escolha da tecnologia — e é o que trabalho nas imersões práticas sobre montar o sistema de gestão do escritório com IA, onde o checklist de sigilo entra junto com o sistema, e não depois do primeiro susto.
