Um escritório de advogados precisa de proteger simultaneamente os dados pessoais e o segredo profissional. A análise começa na abertura do assunto, continua durante a colaboração com clientes, colegas e fornecedores e termina apenas quando os documentos deixam de ser necessários. O RGPD não transforma todo o processo num conjunto de documentos livremente acessível, mas o sigilo também não autoriza uma recusa automática de qualquer pedido de informação.
Este guia destina-se a advogados e sociedades de advogados em Portugal. Explica como identificar as responsabilidades, escolher os fundamentos de tratamento, organizar a cloud e responder aos titulares com salvaguardas proporcionadas. A solução depende da operação concreta: representar uma pessoa, faturar a uma empresa, gerir trabalhadores e cumprir deveres de prevenção do branqueamento não são a mesma finalidade.
Delimitar o segredo profissional e as responsabilidades
O artigo 92.º do Estatuto da Ordem dos Advogados, na versão consolidada disponibilizada pela Ordem, protege os factos conhecidos no exercício das funções ou da prestação de serviços. Abrange situações em que o mandato não chegou a ser aceite ou não é remunerado, bem como documentos relacionados com factos sujeitos a sigilo. Por isso, uma primeira consulta ou um pedido de proposta já exige cuidados de confidencialidade.
A divulgação prevista no n.º 4 depende de necessidade absoluta para os interesses ali identificados e de autorização prévia do presidente do conselho regional, com o recurso previsto no Estatuto. Não trate uma autorização genérica do cliente como dispensa automática desse procedimento. O dever estende-se aos colaboradores; o n.º 8 exige uma declaração escrita de cumprimento do sigilo antes do início da colaboração.
No RGPD, a qualificação depende de quem determina as finalidades e os meios essenciais. O advogado que decide como organizar a representação e cumprir os seus deveres profissionais atua normalmente como responsável por essas operações. Receber documentos de uma empresa cliente não o transforma automaticamente em subcontratante dessa empresa. Também pode haver operações com responsabilidades diferentes, que devem ser identificadas antes de assinar um contrato padronizado.
A distribuição interna de tarefas não elimina a responsabilidade da sociedade. Defina quem aceita fornecedores, responde a pedidos de direitos e decide sobre acessos a processos. Uma pessoa encarregada de manter os procedimentos não passa, por esse motivo, a ser o encarregado de proteção de dados previsto no artigo 37.º. A função e os requisitos legais devem ser avaliados separadamente.
Escolher os fundamentos para clientes, contrapartes e terceiros
A execução de um contrato, nos termos do artigo 6.º, n.º 1, alínea b), exige necessidade para esse contrato e que a pessoa em causa seja parte nele, ou tenha solicitado medidas pré-contratuais. Pode justificar certas operações necessárias ao mandato de um cliente particular. Não cobre automaticamente todos os dados dos trabalhadores de uma empresa cliente, das testemunhas ou da parte contrária.
Para esses terceiros, identifique outro fundamento adequado, como uma obrigação legal ou um interesse legítimo devidamente ponderado. Registe o interesse prosseguido, a necessidade dos dados e o impacto sobre a pessoa. A necessidade de preparar uma defesa pode justificar informação relevante para o litígio; não permite recolher indiscriminadamente tudo o que esteja disponível sobre alguém.
Separe o fundamento do artigo 6.º da condição exigida pelo artigo 9.º. Dados de saúde num litígio podem beneficiar da condição relativa à declaração, exercício ou defesa de direitos num processo judicial, se o tratamento for necessário. Os dados de categorias especiais não abrangem automaticamente toda a informação financeira. Condenações penais e infrações seguem o artigo 10.º e requerem o respetivo enquadramento legal, não apenas uma referência ao artigo 9.º.
O consentimento não deve ser pedido para criar uma aparência de escolha quando o escritório tem de cumprir uma obrigação independente. Diferencie a prestação profissional de utilizações opcionais, como publicar um testemunho ou enviar comunicações promocionais. Recusar uma utilização facultativa não deve afetar injustificadamente a assistência jurídica; retirar o consentimento não elimina obrigações de conservação que tenham fundamento próprio e tenham sido corretamente identificadas.
Informar sem divulgar o que está protegido
Quando recolhe os dados junto da pessoa, forneça a informação do artigo 13.º: identidade e contactos, finalidades, fundamentos, destinatários ou categorias, conservação, direitos e restantes elementos aplicáveis. A informação deve refletir o serviço real. Uma referência vaga a «cumprimento de obrigações legais» não explica todas as operações que o escritório realiza.
Para dados obtidos de outras fontes, o artigo 14.º prevê informação num prazo razoável, no máximo de um mês, ou, quando aplicável, o mais tardar na primeira comunicação com a pessoa ou na primeira divulgação a outro destinatário. O n.º 5, alínea d), contempla dados que devam permanecer confidenciais por força de segredo profissional regulamentado pelo direito da União ou nacional. Verifique a condição no caso concreto e documente o âmbito da exceção.
Não envie automaticamente uma comunicação à contraparte quando isso revelaria informação protegida. Também não use o segredo como motivo para omitir toda a informação em tratamentos administrativos comuns. Separe, por exemplo, os contactos necessários à faturação dos elementos confidenciais de uma estratégia processual. A decisão deve permitir explicar por que razão determinada informação foi prestada, limitada ou não comunicada.
Organizar o registo e os acessos ao processo
O registo de atividades de tratamento pode distinguir representação e consulta, gestão de pessoal, faturação, fornecedores e obrigações específicas. Acrescentar os fundamentos e os prazos detalhados é útil para a gestão, embora o fundamento jurídico não seja um campo expressamente enumerado no artigo 30.º. Não confunda esse instrumento com uma lista de cada documento ou de cada acesso realizado.
A derrogação para organizações com menos de 250 pessoas não é uma dispensa geral. Para as atividades relevantes, há que verificar se o tratamento pode implicar risco para os direitos e liberdades, se não é ocasional ou se inclui categorias do artigo 9.º ou dados de condenações e infrações do artigo 10.º. Qualquer dessas situações afasta a derrogação nos termos da norma. A atividade corrente de um escritório não se torna ocasional por ter poucos clientes.
Atribua acessos por assunto e necessidade. Uma equipa de faturação pode precisar do cliente e do valor dos honorários sem consultar relatórios clínicos ou depoimentos. Reveja os acessos quando alguém muda de equipa ou termina a colaboração. Os registos técnicos devem permitir investigar utilizações indevidas sem criar uma vigilância ilimitada dos trabalhadores; estabeleça finalidades, acesso e conservação próprios para esses registos.
Contratar cloud e software jurídico por operação
Um fornecedor que aloja documentos ou presta suporte seguindo instruções pode ser subcontratante. Um prestador que determina finalidades próprias para certas operações pode assumir outro papel. Examine as condições, a configuração e os fluxos reais, incluindo acessos de suporte e utilização de conteúdos para desenvolver produtos. Uma designação contratual não resolve uma utilização incompatível com as instruções do escritório.
Quando se aplica o artigo 28.º, as obrigações devem constar de contrato ou de outro ato jurídico vinculativo da União ou de um Estado-Membro, por escrito, incluindo formato eletrónico. O acordo com o subcontratante deve concretizar instruções, confidencialidade, segurança, assistência e verificação. Os colaboradores autorizados devem assumir confidencialidade ou estar sujeitos a obrigação legal adequada.
As instruções vinculam o fornecedor, salvo tratamento exigido por direito da União ou de um Estado-Membro a que esteja sujeito. Nessa situação, deve informar previamente o responsável, a menos que a lei proíba essa informação por razões importantes de interesse público. Verifique ainda a autorização dos subcontratantes ulteriores, a transmissão das mesmas obrigações e a responsabilidade do prestador inicial pelo cumprimento dessas obrigações.
No encerramento, preveja a devolução ou eliminação, à escolha do responsável, e a eliminação das cópias existentes, salvo obrigação de conservação imposta por aquele direito. As cópias de segurança exigem um procedimento tecnicamente exequível, com isolamento e prazos definidos; não invente uma eliminação instantânea que o fornecedor não consegue executar. Teste também a exportação de documentos, metadados e permissões antes de depender do serviço.
Configurar segurança e transferências internacionais
O alojamento no Espaço Económico Europeu não encerra a análise se equipas ou outras entidades acederem aos dados a partir de países terceiros. Identifique quem recebe os dados e o mecanismo aplicável às transferências internacionais. Uma decisão de adequação e as garantias do artigo 46.º são vias diferentes; não imponha uma análise de impacto de transferência idêntica a todos os fluxos sem examinar o respetivo fundamento.
Se utilizar Microsoft 365, faça uma revisão da configuração de segurança ajustada às funções disponíveis na licença. Controle partilhas externas, ligações públicas, aplicações autorizadas e contas de administração. A assinatura de um contrato não configura esses controlos. Peça uma demonstração de como revogar um acesso e localizar os documentos partilhados num processo concreto.
A política de palavras-passe e autenticação deve abranger recuperação de contas e acesso privilegiado. Na gestão de dispositivos móveis, delimite o espaço profissional e os efeitos de um apagamento remoto. A cifragem, as atualizações e os meios seguros de envio devem resultar da análise de risco, acompanhados de instruções que os colaboradores consigam aplicar fora do escritório.
Responder a pedidos de acesso sem exclusões automáticas
O direito de acesso abrange os dados pessoais do requerente e a informação legalmente prevista. Não corresponde necessariamente à entrega integral do processo profissional, mas também não exclui um documento apenas por ser uma nota interna. Avalie se o seu conteúdo constitui dados pessoais do requerente e se uma cópia ou um extrato contextual é necessário para os tornar compreensíveis.
Os direitos de terceiros e o segredo profissional exigem uma apreciação concreta. Considere ocultação de identificadores, separação de passagens e outros meios que permitam fornecer os dados sem afetar indevidamente direitos protegidos. Um documento misto não deve ser recusado por inteiro quando essas medidas resolvem o conflito. Registe a informação excluída, o fundamento e a razão pela qual uma alternativa menos restritiva não basta.
Verifique a identidade de forma proporcionada, sobretudo se o pedido vier de um endereço desconhecido ou envolver representação de outra pessoa. Responda sem demora injustificada e, em regra, no prazo de um mês. Uma extensão até dois meses adicionais depende da complexidade ou do número de pedidos e deve ser comunicada no primeiro mês, com as razões. Se não atuar, comunique os motivos sem demora e, o mais tardar, num mês, incluindo a possibilidade de reclamação e de recurso judicial.
Conservar documentos com finalidades e prazos definidos
O encerramento do assunto deve desencadear uma revisão do dossiê. Separe documentos que devem ser devolvidos, elementos necessários à defesa de responsabilidades e informação abrangida por obrigações legais específicas. Os prazos de conservação devem indicar a fonte e o evento que inicia a contagem. A mera possibilidade abstrata de um litígio não justifica guardar todos os documentos indefinidamente.
Na prevenção do branqueamento, a Lei n.º 83/2017 abrange os advogados nas operações delimitadas pelo artigo 4.º, como certas operações imobiliárias, financeiras e societárias. Não aplique o regime indistintamente a toda a consulta. O artigo 79.º contém exceções específicas de comunicação e colaboração ligadas à apreciação jurídica e à defesa, e disciplina a intervenção do bastonário nas situações ali previstas.
O artigo 51.º prevê sete anos para os elementos abrangidos, com inícios de contagem diferentes: identificação ou fim da relação de negócio para determinados documentos, execução para os registos das operações. Preserva outras obrigações de conservação, incluindo processos pendentes. Este prazo não é uma regra geral de arquivo para todos os processos do escritório. Aplique-o apenas à documentação e à finalidade abrangidas.
Durante a conservação, restrinja os acessos e reveja suspensões de eliminação associadas a litígios. Quando termina a justificação, execute a eliminação ou uma anonimização efetiva, incluindo os suportes e fornecedores abrangidos. Guarde prova suficiente da operação sem conservar uma cópia integral do conteúdo que se decidiu eliminar. A passagem para um arquivo menos acessível não equivale, por si só, a anonimização.
Preparar incidentes e verificar a governação
Um envio para o destinatário errado, a perda de um computador ou o acesso indevido a um dossiê deve chegar rapidamente à pessoa responsável pela avaliação. Preserve os factos, contenha a exposição e determine os dados e as pessoas afetadas. A violação pode ter consequências deontológicas além das obrigações do RGPD, pelo que os dois percursos devem ser analisados sem confundir os respetivos pressupostos.
A notificação à CNPD deve ocorrer sem demora injustificada e, se possível, nas 72 horas após o conhecimento, salvo se a violação não for suscetível de resultar num risco para os direitos e liberdades. Justifique o atraso, se existir. Documente todas as violações; a comunicação aos titulares por risco elevado é uma decisão distinta, sujeita às condições e exceções do artigo 34.º.
Avalie a necessidade de encarregado de proteção de dados pelos critérios do artigo 37.º, incluindo atividades principais que envolvam controlo regular e sistemático em grande escala ou tratamento em grande escala de dados dos artigos 9.º e 10.º. O número de advogados, isoladamente, não decide a questão. Uma avaliação de impacto é exigida quando o tratamento for suscetível de implicar elevado risco; não decorre automaticamente de cada mandato individual.
Na escolha de software de conformidade, procure meios de documentar decisões e acompanhar tarefas que correspondam às necessidades verificadas do escritório. A ferramenta não decide o alcance do segredo nem substitui a análise de um pedido. As situações de clientes podem exigir ainda os guias de contabilistas, comércio eletrónico ou hotelaria, sem transportar automaticamente as regras desses setores para a atividade do advogado.