LGPD para escritórios de contabilidade: papéis e controles

LGPD para escritórios de contabilidade não se resolve com uma política copiada do site nem com um termo genérico no contrato de prestação de serviços. O escritório recebe dados de sócios, empregados, dependentes, autônomos, fornecedores e clientes dos clientes. Também usa sistemas fiscais, folha, armazenamento em nuvem, assinatura eletrônica, mensageria, bancos e plataformas governamentais. A conformidade precisa acompanhar esse fluxo diário.

A Lei Geral de Proteção de Dados Pessoais define princípios, bases legais, direitos dos titulares, segurança e responsabilidade dos agentes de tratamento. Na contabilidade, a análise deve separar o que o escritório decide em nome próprio, o que executa por instrução do cliente e o que decorre de obrigação profissional ou regulatória. Esse desenho evita promessas contratuais impossíveis e lacunas em incidentes.

O Conselho Federal de Contabilidade publicou orientação sobre como profissionais e empresas contábeis podem buscar conformidade com a LGPD, destacando a quantidade de dados tratados, a necessidade de políticas, treinamento, segurança cibernética, acesso restrito, criptografia, contratos com terceiros e monitoramento de procedimentos. A publicação está disponível no site do CFC.

LGPD para escritórios de contabilidade começa pelos papéis

O primeiro erro é afirmar que o escritório sempre é operador. Em muitos serviços, ele executa rotinas determinadas pelo cliente, como folha, obrigações acessórias e lançamentos recebidos. Nesses casos, pode atuar como operador em relação a parte do tratamento. Em outros, decide meios relevantes, mantém base própria de contatos, administra sua equipe, escolhe ferramentas, emite propostas, cobra honorários e cumpre deveres profissionais. A depender do contexto, pode ser controlador desses tratamentos.

LGPD para escritórios de contabilidade exige uma matriz de papéis por processo, não por contrato inteiro. Um mesmo cliente pode gerar operações diferentes: cadastro comercial, procurações, documentos fiscais, folha de pagamento, consultoria societária, atendimento a fiscalização, armazenamento de documentos e comunicação por aplicativos. Cada linha deve indicar quem decide finalidade, quem executa, quais dados entram, qual base legal foi considerada e quais terceiros participam.

Essa matriz ajuda nas conversas com clientes. Se o cliente pede envio de folha por canal inseguro, manutenção de documentos sem prazo ou compartilhamento com fornecedor não contratado, o escritório precisa ter critério para aceitar, ajustar ou recusar. A obrigação de zelo profissional não substitui governança de dados. Ela reforça a necessidade de instruções claras e evidências.

Inventário, bases legais e transparência devem refletir a rotina real

O inventário deve começar pelos serviços mais frequentes. Folha envolve identificação, remuneração, dependentes, dados bancários, benefícios, afastamentos e, quando aplicável, informações de saúde ou sindicato. Fiscal e contábil podem incluir notas, recibos, contratos, extratos, pró-labore, distribuição de lucros e dados de representantes. Societário pode envolver documentos de sócios e procuradores. Atendimento pode registrar mensagens, chamados e anexos.

LGPD para escritórios de contabilidade também pede cuidado com base legal. Cumprimento de obrigação legal ou regulatória pode ser pertinente em obrigações fiscais, trabalhistas e previdenciárias. Execução de contrato pode apoiar atividades necessárias à prestação contratada. Exercício regular de direitos pode justificar conservação de documentos ligados a cobrança, defesa ou fiscalização. Consentimento pode existir em situações específicas, mas não deve ser usado como resposta automática para rotinas obrigatórias ou indispensáveis.

Transparência precisa alcançar duas frentes. O cliente contratante deve entender como o escritório trata dados, quais sistemas utiliza, quais fornecedores acessam informações e quais prazos serão aplicados. Os titulares, como empregados do cliente, podem receber informação por meio do controlador principal, mas o escritório deve fornecer subsídios corretos para essa comunicação. Quando o escritório coleta diretamente dados de uma pessoa, a informação deve ser clara e compatível com a operação.

O artigo da TOGETHER sobre programa de governança em privacidade mostra como transformar princípios em responsabilidades, políticas, registros e acompanhamento contínuo. Esse modelo é útil para escritórios que cresceram com processos informais e agora precisam padronizar.

Segurança, acessos e retenção são o centro operacional

Escritórios contábeis acumulam documentos por hábito, medo de perder histórico e dependência de sistemas legados. A retenção, porém, deve ser definida por finalidade. Algumas informações precisam ser preservadas por obrigações legais, regulatórias, contratuais ou exercício de direitos. Outras são cópias transitórias, anexos duplicados, versões intermediárias ou documentos sem utilidade atual. Guardar tudo no mesmo repositório dificulta descarte e aumenta impacto de incidente.

LGPD para escritórios de contabilidade deve resultar em uma matriz de retenção por tipo de documento, cliente, sistema e evento de início. A matriz deve indicar quem aprova eliminação, como tratar backups, o que fazer quando houver disputa e como comprovar descarte. Também é importante combinar com o cliente o destino dos dados ao fim do contrato: devolução, eliminação, arquivamento por obrigação própria ou preservação específica.

Controle de acesso precisa seguir carteira, função e necessidade. Estagiários, analistas de folha, fiscal, contábil, societário, financeiro e sócios não precisam acessar tudo. Sistemas com usuário compartilhado impedem rastreabilidade. Planilhas em drives pessoais, mensagens com documentos sensíveis e senhas enviadas por chat criam riscos difíceis de administrar. Autenticação forte, perfis, logs, bloqueio de download e revisão periódica reduzem exposição.

O CFC destaca, em sua publicação, práticas como backup, recuperação, segurança cibernética, padronização de procedimentos, acesso restrito, criptografia, contratos com terceiros, treinamento e auditoria interna. Essas medidas não são uma lista decorativa. Elas precisam aparecer em tarefas: quem revisa antivírus, quem aprova novos aplicativos, quem remove acesso de colaborador desligado, quem testa restauração e quem verifica se documentos antigos foram eliminados.

Contratos e fornecedores precisam sair da zona cinzenta

O contrato entre cliente e escritório deve tratar dados pessoais com precisão suficiente para orientar a operação. Ele pode indicar escopo dos serviços, categorias de titulares, categorias de dados, papéis, instruções, confidencialidade, medidas de segurança, subcontratados, apoio a direitos dos titulares, incidentes, retenção, descarte e responsabilidades. Cláusulas genéricas de “cumprir a LGPD” ajudam pouco quando surge um vazamento ou pedido de acesso.

LGPD para escritórios de contabilidade também alcança fornecedores do próprio escritório. Softwares de folha, fiscal e contábil, GED, CRM, assinatura eletrônica, e-mail, nuvem, suporte técnico, BPO e armazenamento físico podem tratar dados dos clientes. Antes de contratar, verifique localização, suboperadores, autenticação, logs, segregação entre clientes, backup, incidentes, exportação de dados e encerramento. Depois, mantenha evidência da avaliação.

Incidentes devem ter fluxo claro. Quem recebe alerta? Quem isola o sistema? Quem chama o fornecedor? Quem informa o cliente controlador? Quem avalia risco aos titulares? Quem preserva evidências? O escritório não deve descobrir essas respostas durante uma madrugada de ransomware. Um procedimento simples, testado e conhecido pela equipe vale mais que um manual extenso que ninguém usa.

Direitos dos titulares também precisam de rotina. Se um empregado do cliente pede acesso diretamente ao escritório, a resposta pode depender do papel exercido naquela operação e das instruções do controlador. Ainda assim, o pedido deve ser registrado, autenticado de forma proporcional e encaminhado corretamente. Quando o pedido envolve dados do próprio escritório, como colaborador interno ou cliente pessoa física, a resposta é direta.

Evidências que o escritório deve conseguir mostrar

LGPD para escritórios de contabilidade precisa produzir evidências simples. Não basta dizer que há cuidado profissional. O escritório deve conseguir mostrar inventário atualizado, matriz de papéis, registros de treinamento, lista de fornecedores, controles de acesso, política de retenção, procedimento de incidentes e modelo de resposta a titulares. Esses documentos devem refletir a operação, não apenas existir em uma pasta.

Uma boa rotina mensal pode revisar clientes novos, clientes encerrados, usuários criados, usuários removidos, procurações vencidas, pastas compartilhadas, documentos enviados por canais inadequados e exceções de retenção. Essa revisão é curta quando há responsável claro. Sem dono, LGPD para escritórios de contabilidade vira assunto lembrado somente durante renovação contratual ou depois de um incidente.

Também é útil classificar clientes por risco. Empresas com grande folha, dados de saúde ocupacional, alto volume de documentos pessoais ou operação regulada podem exigir controles adicionais. Clientes pequenos não dispensam proteção, mas podem ter processos mais simples. LGPD para escritórios de contabilidade deve ser proporcional ao risco, ao volume, à natureza dos dados e ao papel do escritório em cada serviço.

A evidência final é a capacidade de reconstruir uma decisão. Se um cliente perguntar por que determinado documento foi guardado, quem acessou, qual fornecedor processou e quando será eliminado, o escritório deve responder com segurança. Essa maturidade reduz atrito comercial e melhora a prestação do serviço. LGPD para escritórios de contabilidade fica defensável quando cada decisão importante pode ser demonstrada.

Como a TOGETHER pode apoiar

A TOGETHER pode realizar consultoria em LGPD para mapear processos contábeis, definir papéis, revisar contratos com clientes, avaliar fornecedores, organizar bases legais, criar matriz de retenção e ajustar políticas internas. O trabalho inclui entrevistas com áreas, amostragem de documentos, revisão de sistemas e desenho de evidências que o escritório consegue manter na rotina.

Com DPO as a Service, a TOGETHER pode apoiar o escritório em pedidos de titulares, dúvidas de clientes, novos fornecedores, treinamentos, análise de incidentes e revisões periódicas. Esse acompanhamento é especialmente útil quando o escritório atende muitos clientes e precisa de respostas consistentes sem transformar cada demanda em projeto separado.

O caminho prático é começar pelos maiores fluxos: folha, documentos fiscais, armazenamento, comunicação com clientes e acessos internos. Depois, formalize papéis, revise canais de envio, retire dados duplicados, limite permissões e teste um incidente. LGPD para escritórios de contabilidade é menos sobre aparência documental e mais sobre controle das informações que sustentam o serviço. LGPD para escritórios de contabilidade, nesse sentido, deve ser rotina de gestão.