LGPD no departamento Jurídico: processos, contratos e dados pessoais que também precisam de governança

Introdução

Quando uma organização inicia ou revisa seu programa de adequação à Lei Geral de Proteção de Dados Pessoais (LGPD), algumas áreas naturalmente recebem maior atenção por concentrarem operações recorrentes de tratamento de dados pessoais. Recursos Humanos, Marketing, Comercial, Tecnologia e Atendimento ao Cliente costumam estar entre as primeiras consideradas nos exercícios de mapeamento. O departamento Jurídico, por outro lado, ocupa uma posição particular: frequentemente participa da construção do próprio programa de conformidade, revisa contratos, interpreta requisitos legais e orienta outras áreas, mas nem sempre é analisado com a mesma profundidade como uma área que também realiza, diariamente, numerosas operações de tratamento de dados pessoais.

Essa percepção pode criar um ponto cego importante. Enquanto o Jurídico ajuda a organização a definir bases legais, elaborar documentos e avaliar riscos, suas próprias atividades podem permanecer parcial ou totalmente fora dos inventários internos. E basta observar sua rotina para perceber a dimensão desse fluxo: processos judiciais, administrativos e arbitrais, contratos, pareceres, procurações, documentos probatórios e outras atividades jurídicas podem concentrar informações de colaboradores, ex-colaboradores, clientes, consumidores, fornecedores, representantes legais, partes adversas, testemunhas e diversos terceiros.

A particularidade está também na origem dessas informações. Diferentemente de áreas nas quais os dados são frequentemente fornecidos pelo próprio titular em uma relação direta com a organização, o Jurídico pode receber informações provenientes de processos, documentos encaminhados por terceiros, outras áreas internas, escritórios de advocacia, órgãos públicos e partes adversas. Isso significa que a organização pode tratar dados de pessoas com as quais jamais estabeleceu uma relação direta e que, muitas vezes, sequer sabem que suas informações passaram a integrar determinado acervo jurídico.

Além da diversidade de titulares, a natureza das informações também merece atenção. Documentos jurídicos podem conter nomes, CPFs, endereços, assinaturas, informações profissionais e financeiras, comunicações, documentos trabalhistas e, dependendo da demanda, dados pessoais sensíveis. Em um mesmo processo ou dossiê contratual, informações de diferentes pessoas e níveis de criticidade podem permanecer reunidas durante anos.

O fluxo também não termina dentro da empresa. Escritórios de advocacia, sistemas de gestão processual, plataformas de assinatura eletrônica, LegalTechs e outras soluções tecnológicas podem receber, armazenar ou acessar essas informações. Mais recentemente, ferramentas de Inteligência Artificial passaram a adicionar uma nova camada a esse cenário: contratos, petições e processos podem ser enviados a sistemas generativos para revisão, resumo ou elaboração de conteúdos, criando novos fluxos de tratamento que nem sempre foram previamente avaliados pela organização.

O principal desafio está justamente na naturalização dessas atividades. Como o tratamento ocorre no contexto da atuação jurídica e, muitas vezes, está relacionado ao cumprimento de obrigações ou à defesa dos interesses da organização, pode surgir a percepção de que a existência de uma base legal é suficiente para tornar toda a operação adequada. Entretanto, identificar uma hipótese legal aplicável é apenas uma parte da conformidade. Os princípios da finalidade, adequação, necessidade, segurança, prevenção e responsabilização continuam orientando a maneira como os dados devem ser utilizados, acessados, compartilhados, armazenados e posteriormente descartados.

Assim, o fato de determinado dado ser necessário para elaborar uma defesa não significa que todo o documento precise ser utilizado ou compartilhado. A possibilidade de conservar informações para exercício regular de direitos não autoriza o armazenamento indiscriminado de todas as cópias produzidas ao longo de uma demanda. Da mesma forma, a existência de sigilo profissional ou confidencialidade não substitui controles de acesso, critérios de retenção, gestão de fornecedores e medidas adequadas de segurança.

Essa discussão se torna especialmente relevante quando se observa o ciclo de vida dos documentos jurídicos. Um processo pode ser baixado de um sistema, armazenado em uma pasta corporativa, encaminhado por e-mail a um escritório externo e posteriormente permanecer em diferentes ambientes mesmo depois de encerrada a demanda. Um contrato pode gerar diversas minutas e cópias antes de sua assinatura. Uma ferramenta jurídica pode concentrar milhares de documentos. Uma informação necessária hoje pode continuar armazenada durante anos simplesmente porque nunca foi definido o momento em que deveria ser revisada ou eliminada.

Olhar para a proteção de dados dentro do Jurídico exige, portanto, ir além da pergunta sobre qual base legal autoriza determinado tratamento. É necessário compreender quais dados a área recebe, de onde eles vêm, para quais finalidades são utilizados, onde permanecem armazenados, quem pode acessá-los, com quais terceiros são compartilhados, quais tecnologias participam desse fluxo e durante quanto tempo sua conservação continua efetivamente necessária.

Esse olhar também precisa aparecer no próprio programa de conformidade. Processos, contratos, compartilhamentos com escritórios, sistemas jurídicos, utilização de Inteligência Artificial e critérios de retenção precisam estar refletidos nos exercícios de data mapping e no Registro das Operações de Tratamento de Dados Pessoais da organização.

É justamente daí que surge a provocação que orienta este artigo: o Jurídico da sua organização ajuda as demais áreas a cumprir a LGPD, mas suas próprias operações estão realmente mapeadas, justificadas e submetidas às mesmas regras de governança?

O tratamento de dados pessoais dentro do setor Jurídico

Embora a atividade jurídica seja normalmente associada à análise de leis, elaboração de contratos, emissão de pareceres e condução de processos, praticamente todas essas atividades dependem, em alguma medida, do tratamento de dados pessoais. A própria LGPD adota um conceito amplo de tratamento, abrangendo operações como coleta, recepção, acesso, utilização, reprodução, transmissão, armazenamento, arquivamento e eliminação de informações relacionadas a pessoas naturais. Sob essa perspectiva, a rotina do departamento Jurídico constitui um fluxo contínuo de tratamento de dados.

Isso acontece, por exemplo, quando o Jurídico recebe documentos de um colaborador para analisar uma demanda trabalhista, consulta informações de uma parte adversa para preparar uma defesa, reúne documentos para instruir um processo, mantém contratos arquivados, encaminha informações a um escritório de advocacia, recebe uma procuração, analisa uma reclamação de consumidor ou armazena evidências para eventual utilização futura. Mesmo atividades que parecem essencialmente documentais podem envolver diversas operações de tratamento ao longo de seu ciclo de vida.

A variedade de titulares envolvidos torna esse cenário ainda mais relevante. Dependendo das atividades da organização, o Jurídico pode tratar dados de colaboradores e ex-colaboradores, candidatos, clientes, consumidores, fornecedores, representantes e sócios de empresas, testemunhas, partes adversas, procuradores, prestadores de serviços, dependentes e terceiros mencionados em contratos, processos, investigações ou outros documentos. Em determinadas situações, essas pessoas sequer possuem uma relação direta com a organização, mas seus dados passam a integrar os arquivos jurídicos em razão de uma disputa, obrigação contratual, procedimento interno ou necessidade de defesa.

Também é extensa a variedade de informações que pode circular pela área. Nomes, CPF, RG, endereço, telefone, e-mail, profissão, cargo, assinatura, dados bancários e financeiros, procurações, documentos trabalhistas, registros de comunicações, fotografias, gravações, informações contratuais e dados extraídos de processos judiciais ou administrativos são apenas alguns exemplos. Dependendo da demanda, um único dossiê jurídico pode reunir diversas dessas informações e permanecer armazenado durante anos.

Em algumas atividades, a criticidade é ainda maior. Demandas trabalhistas, investigações internas, ações indenizatórias, questões previdenciárias e outros procedimentos podem envolver dados pessoais sensíveis, como informações referentes à saúde, biometria, filiação sindical, origem racial ou étnica, convicção religiosa ou outros dados enquadrados no art. 5º, II, da LGPD. A área também pode ter acesso a informações que, embora não sejam classificadas legalmente como dados sensíveis, demandam proteção reforçada em razão de seu contexto, como dados financeiros, documentos de identificação, informações sobre crianças e adolescentes ou elementos relacionados a disputas e investigações.

É importante, nesse contexto, separar duas perspectivas. Uma coisa é a atuação técnica do advogado ou profissional jurídico, sujeita às regras próprias da profissão, ao dever de confidencialidade e, quando aplicável, ao sigilo profissional. Outra é observar o departamento Jurídico como parte da estrutura organizacional pela qual os dados pessoais circulam. Os documentos podem estar armazenados em servidores da empresa, sistemas de gestão jurídica, plataformas em nuvem, caixas de e-mail, ferramentas de assinatura eletrônica e pastas compartilhadas; podem ser acessados por diferentes profissionais e posteriormente encaminhados a escritórios, consultorias, peritos e outros terceiros.

É justamente essa segunda perspectiva que muitas vezes recebe pouca atenção nos programas de privacidade. O Jurídico pode participar da elaboração de políticas, revisar cláusulas de proteção de dados, apoiar o DPO ou Encarregado, avaliar contratos e orientar outras áreas sobre a LGPD, mas isso não significa que suas próprias atividades estejam automaticamente mapeadas. A posição de quem auxilia na conformidade pode criar um ponto cego: o Jurídico ajuda a mapear a organização, mas nem sempre se enxerga como uma das áreas que também precisam ser mapeadas.

O resultado pode aparecer diretamente no Registro das Operações de Tratamento de Dados Pessoais (ROPA) e nos exercícios de data mapping. Enquanto processos de RH, Marketing, Comercial e Atendimento são detalhados em relação às categorias de dados, titulares, finalidades, bases legais, compartilhamentos, sistemas utilizados e períodos de retenção, atividades como gestão do contencioso, elaboração e armazenamento de contratos, gestão de procurações, investigações internas, notificações extrajudiciais e relacionamento com escritórios externos podem permanecer parcial ou totalmente fora do inventário.

Um ROPA que não contempla essas operações oferece uma visão incompleta do ciclo de vida dos dados pessoais dentro da organização. Por isso, o primeiro passo para incorporar efetivamente o Jurídico ao programa de privacidade é reconhecer algo básico, mas frequentemente negligenciado: antes de ser uma área que orienta sobre proteção de dados, o Jurídico também é uma área por onde os dados pessoais entram, circulam, são utilizados, compartilhados, armazenados e, em algum momento, devem ter uma destinação definida.

Processos judiciais e administrativos: estar nos autos não elimina a aplicação da LGPD

Uma das situações mais comuns de tratamento de dados pessoais pelo departamento Jurídico ocorre na condução de processos judiciais, administrativos e arbitrais. Para elaborar uma defesa, propor uma ação, responder a uma fiscalização, produzir provas ou acompanhar determinada controvérsia, a organização pode precisar acessar e utilizar informações de colaboradores, clientes, consumidores, partes adversas, testemunhas e outros terceiros. A própria LGPD reconhece essa necessidade e prevê, no art. 7º, VI, o exercício regular de direitos em processo judicial, administrativo ou arbitral como uma das hipóteses legais que autorizam o tratamento de dados pessoais.

Essa previsão é especialmente relevante porque demonstra que o consentimento do titular não é necessariamente exigido para que uma organização utilize dados pessoais necessários à defesa de seus direitos. Em uma reclamação trabalhista, por exemplo, a empresa pode precisar consultar registros funcionais, comunicações corporativas, controles de jornada, documentos relacionados à relação de trabalho e outras informações pertinentes à controvérsia. Em uma demanda consumerista, pode ser necessário recuperar registros de atendimento, documentos contratuais, comprovantes de transações e histórico de comunicações para compreender os fatos e apresentar a defesa.

A lógica também alcança os dados pessoais sensíveis. O art. 11, II, “d”, da LGPD admite seu tratamento, sem consentimento, quando indispensável ao exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo ou arbitral. Assim, uma demanda que envolva, por exemplo, informações relacionadas à saúde pode justificar o tratamento de determinados dados sensíveis quando eles forem efetivamente necessários para a discussão jurídica existente.

Reconhecer essa base legal, entretanto, não significa conceder uma autorização irrestrita para tratar qualquer informação relacionada ao titular. O exercício regular de direitos legitima o tratamento necessário àquela finalidade, mas continua submetido aos demais requisitos e princípios da LGPD. Entre eles está o princípio da necessidade, previsto no art. 6º, III, segundo o qual o tratamento deve ser limitado ao mínimo necessário para atingir sua finalidade, abrangendo dados pertinentes, proporcionais e não excessivos. A própria ANPD, ao tratar desse princípio em seus materiais orientativos, destaca que a necessidade deve ser observada não apenas no momento da coleta, mas também em operações posteriores, como armazenamento e processamento.

Na prática, isso significa que a pergunta do Jurídico não deve ser apenas “posso utilizar esse dado para me defender?”, mas também “quais informações são realmente necessárias para esta defesa?”. Um documento com dezenas de informações pessoais pode conter apenas alguns elementos relevantes para a controvérsia. Da mesma forma, o fato de a empresa possuir acesso legítimo a uma base interna não significa que todo o seu conteúdo precise ser extraído, anexado aos autos ou encaminhado ao escritório responsável pela demanda.

Também é necessário cuidado com uma ideia relativamente comum: a de que um dado deixa de exigir proteção porque já consta de um processo ou documento acessível publicamente. A LGPD determina, inclusive em relação aos dados cujo acesso é público, que seu tratamento considere a finalidade, a boa-fé e o interesse público que justificaram sua disponibilização. Portanto, encontrar uma informação em autos processuais, diário oficial ou outra fonte acessível não significa que ela possa ser coletada, replicada, armazenada e reutilizada indiscriminadamente para qualquer finalidade.

Esse cuidado deve acompanhar o dado também fora dos autos. Na rotina jurídica, documentos processuais frequentemente são baixados de sistemas eletrônicos e passam a existir simultaneamente em diferentes ambientes: sistema de gestão jurídica, servidor corporativo, pasta compartilhada, computador do profissional responsável, caixa de e-mail e ambiente do escritório externo. Com o passar do tempo, uma única demanda pode gerar diversas cópias do mesmo documento, algumas delas fora do repositório oficial adotado pela organização.

É nesse ponto que uma atividade aparentemente simples, como fazer o download de um processo para análise, pode se transformar em um problema de governança. Arquivos mantidos indefinidamente na pasta de downloads de computadores, cópias salvas em áreas de trabalho, documentos encaminhados por e-mail para múltiplos destinatários e pastas processuais com permissões excessivamente amplas dificultam o controle sobre quem possui acesso às informações e sobre onde elas permanecem armazenadas.

Por isso, a gestão do contencioso deve estabelecer repositórios oficiais para os documentos, critérios de acesso compatíveis com as funções desempenhadas e procedimentos para evitar a multiplicação desnecessária de cópias. Quando arquivos precisarem ser baixados temporariamente para análise, também é importante que a organização tenha orientações sobre armazenamento local e posterior exclusão, especialmente quando estiverem envolvidos dados sensíveis ou informações de maior criticidade.

O mesmo raciocínio se aplica após o encerramento da demanda. A organização pode ter razões legítimas para conservar determinados documentos, inclusive para resguardar direitos ou atender a obrigações legais. Isso, porém, é diferente de manter indefinidamente todas as versões de petições, anexos, documentos pessoais, arquivos temporários e cópias espalhadas por diferentes ambientes apenas porque um dia fizeram parte de um processo.

A conformidade, portanto, não exige que o Jurídico deixe de utilizar as informações necessárias à defesa da organização. Exige que exista governança sobre esse uso. A existência de um processo justifica determinados tratamentos, mas não elimina a necessidade de avaliar quais dados são pertinentes, quem realmente precisa acessá-los, onde devem permanecer armazenados, com quem podem ser compartilhados e por quanto tempo sua conservação continua necessária.

Estar nos autos, em outras palavras, não retira do dado sua natureza pessoal. E exercer regularmente um direito não significa deixar de aplicar a LGPD; significa realizar o tratamento dentro de uma das hipóteses previstas pela própria Lei, observando os limites e as salvaguardas que continuam acompanhando aquela informação durante todo o seu ciclo de vida.

Partes adversas, testemunhas e terceiros: quando o Jurídico trata dados de quem não possui relação direta com a organização

Uma das particularidades mais relevantes do tratamento de dados realizado pelo departamento Jurídico é que uma parcela significativa das informações utilizadas pela área pode pertencer a pessoas que nunca forneceram seus dados diretamente à organização e, em alguns casos, sequer mantêm qualquer relação contratual, comercial ou profissional com ela. Autores e réus em processos, testemunhas, familiares de colaboradores ou clientes, representantes de outras empresas, procuradores e terceiros envolvidos nos fatos discutidos em uma demanda podem ter suas informações incorporadas aos arquivos jurídicos sem que exista uma interação direta com a organização.

Essa característica diferencia o Jurídico de diversos outros departamentos. Em uma operação comercial, por exemplo, é comum que os dados tenham sido fornecidos pelo próprio cliente ou prospect durante alguma interação com a empresa. No contencioso, a dinâmica pode ser completamente diferente. As informações podem chegar por meio de uma petição apresentada pela parte adversa, de documentos anexados aos autos, de comunicações encaminhadas por escritórios de advocacia, de documentos internos utilizados como prova ou de informações fornecidas por outras pessoas envolvidas na controvérsia.

Um processo trabalhista ajuda a demonstrar a dimensão desse fluxo. Além dos dados do reclamante e dos representantes da empresa, os documentos podem mencionar gestores, colegas de trabalho, testemunhas, dependentes, profissionais de saúde e outros terceiros. Uma ação consumerista pode conter informações sobre familiares, beneficiários ou pessoas que participaram da contratação. Já uma investigação interna pode reunir relatos e documentos referentes a denunciantes, investigados, testemunhas e pessoas mencionadas apenas incidentalmente durante a apuração.

A presença dessas informações em documentos relacionados a uma demanda pode ser necessária para compreender os fatos, produzir provas ou exercer regularmente direitos. Isso não significa, contudo, que todos os dados recebidos devam ser utilizados com a mesma intensidade ou mantidos sem qualquer critério. Os princípios da finalidade, adequação e necessidade previstos na LGPD continuam relevantes justamente porque permitem distinguir as informações efetivamente necessárias à atividade jurídica daquelas que apenas acompanharam determinado documento ou contexto.

Essa análise é particularmente importante quando documentos contêm dados de terceiros que não possuem qualquer relevância para a controvérsia. Um comprovante, uma conversa, uma ficha cadastral ou outro documento utilizado como prova pode apresentar informações de diversas pessoas, embora apenas parte delas seja necessária para demonstrar determinado fato. Sempre que compatível com a finalidade jurídica e com a preservação da integridade da prova, a organização deve avaliar se é realmente necessário utilizar, reproduzir ou compartilhar todo o conteúdo recebido.

As testemunhas representam um exemplo especialmente relevante. Para organizar sua participação em uma demanda, o Jurídico pode precisar tratar nome, telefone, e-mail, profissão, cargo, vínculo com as partes, endereço e, dependendo do procedimento, outras informações necessárias à sua identificação ou participação no processo. Esses dados podem ser obtidos internamente, fornecidos pela própria testemunha, encaminhados por gestores ou outras áreas da organização ou recebidos por meio do escritório responsável pela condução do caso.

O tratamento pode ser legítimo e necessário à condução da demanda, mas a forma como essas informações circulam merece atenção. Na prática, listas de testemunhas podem ser criadas em planilhas, enviadas por e-mail, compartilhadas com escritórios externos e utilizadas para organizar contatos, reuniões preparatórias, audiências ou outras providências processuais. Telefones e outros dados também podem acabar registrados em agendas pessoais ou em aplicativos de mensagens utilizados pelos profissionais envolvidos.

É justamente nesses fluxos paralelos que o controle sobre as informações pode se perder. Uma planilha criada inicialmente para organizar uma audiência pode permanecer durante anos em uma pasta compartilhada. O número de telefone de uma testemunha pode continuar salvo em um dispositivo após o encerramento do processo. Documentos encaminhados por e-mail podem permanecer nas caixas de entrada de diversos profissionais mesmo depois de transferidos para o sistema jurídico oficial. Informações compartilhadas com um escritório externo também podem permanecer armazenadas em seus próprios ambientes após a conclusão da demanda.

Por isso, o tratamento de dados de testemunhas e outros terceiros deve ser pensado para além do momento em que essas informações são necessárias. É importante definir onde devem ser registradas, quem pode acessá-las, quais informações realmente precisam ser coletadas, por quais canais podem ser compartilhadas e qual será sua destinação quando a finalidade que justificou aquele tratamento deixar de existir, considerando também eventuais necessidades legítimas de conservação relacionadas ao exercício de direitos ou ao cumprimento de obrigações aplicáveis.

O mesmo cuidado deve alcançar o compartilhamento com escritórios de advocacia e outros profissionais externos. Se determinada demanda exige apenas informações específicas sobre uma testemunha ou terceiro, o envio de uma base completa ou de documentos contendo informações adicionais e desnecessárias amplia a quantidade de dados expostos e, consequentemente, os riscos associados ao tratamento. A lógica deve ser a mesma aplicada internamente: compartilhar aquilo que é adequado e necessário à finalidade jurídica perseguida.

Também é importante reconhecer que a ausência de uma relação direta com o titular não torna seus dados menos protegidos. Pelo contrário, esse cenário exige maior atenção sobre a origem das informações e sobre os limites de sua utilização, especialmente porque a pessoa pode sequer ter conhecimento de que seus dados passaram a integrar os arquivos internos da organização.

Para o Jurídico, portanto, a pergunta não deve se limitar a “temos acesso a essa informação?”. É necessário avaliar por que ela está sendo utilizada, se é efetivamente necessária para a demanda, quem precisa recebê-la e o que acontecerá com ela posteriormente. Em processos que naturalmente envolvem informações de diversas pessoas, essa distinção é essencial para impedir que uma necessidade jurídica específica se transforme, ao longo do tempo, em um acervo indiscriminado de dados pessoais de partes, testemunhas e terceiros.

Contratos também são bases de dados pessoais

Quando se fala em gestão contratual, é comum que a atenção do departamento Jurídico esteja concentrada nas obrigações assumidas pelas partes, nos riscos jurídicos, nos prazos, nas responsabilidades e nas condições comerciais estabelecidas. Sob a perspectiva da LGPD, entretanto, existe outra camada que também precisa ser observada: contratos são, frequentemente, documentos que concentram dados pessoais e permanecem armazenados por longos períodos dentro da organização.

Mesmo contratos celebrados exclusivamente entre pessoas jurídicas podem conter informações relacionadas a diversas pessoas naturais. Nome, CPF, RG, e-mail corporativo, telefone, cargo, assinatura e dados de representantes legais aparecem com frequência nos instrumentos. Procurações podem acrescentar informações de procuradores e outorgantes, enquanto testemunhas podem ter seus nomes, documentos e assinaturas registrados. Dependendo da natureza da contratação, anexos, propostas comerciais, fichas cadastrais, documentos societários e outros materiais associados ao contrato podem ampliar significativamente o conjunto de dados pessoais mantidos pela organização.

Isso significa que a gestão contratual também constitui uma operação de tratamento de dados pessoais. Os dados são coletados ou recebidos durante a negociação, inseridos nos instrumentos, encaminhados para revisão, compartilhados para assinatura, armazenados após a formalização e eventualmente consultados novamente durante a execução do contrato, em auditorias, renovações, discussões comerciais ou disputas jurídicas.

Um dos desafios está justamente no ciclo de vida desses documentos. Um único contrato pode existir em diversas versões antes de sua assinatura definitiva: minuta inicial, versões revisadas internamente, arquivos com comentários, versões encaminhadas à contraparte, documento final para assinatura e cópia efetivamente assinada. Cada uma dessas etapas pode gerar novos arquivos em caixas de e-mail, pastas compartilhadas, computadores dos profissionais envolvidos, plataformas de assinatura eletrônica e sistemas de gestão contratual.

Com o passar dos anos, esse fluxo pode criar um acervo muito maior do que aquele existente no repositório contratual oficial. A organização pode possuir uma versão definitiva do contrato em seu sistema e, simultaneamente, manter diversas minutas e cópias do mesmo documento nas caixas de e-mail e pastas pessoais dos profissionais que participaram da negociação. Além de dificultar a gestão documental, essa multiplicação reduz a capacidade de identificar onde os dados pessoais efetivamente estão armazenados e quem ainda consegue acessá-los.

Outro ponto importante é o controle de acesso. Repositórios contratuais podem concentrar milhares de documentos envolvendo diferentes fornecedores, clientes, parceiros e profissionais. Permitir que todos os integrantes do Jurídico ou até profissionais de outras áreas tenham acesso irrestrito a todo esse acervo pode contrariar uma lógica de necessidade de acesso. Nem toda pessoa que precisa consultar determinado contrato precisa, necessariamente, visualizar todos os instrumentos e documentos mantidos pela organização.

Por isso, a gestão contratual deve considerar mecanismos de segregação e perfis de acesso compatíveis com as atividades desempenhadas. Contratos trabalhistas, acordos confidenciais, documentos relacionados a investigações, operações societárias ou instrumentos acompanhados de documentos pessoais, por exemplo, podem justificar controles mais restritivos do que documentos contratuais de menor criticidade. A lógica deve ser permitir o acesso às informações necessárias ao exercício da função, e não simplesmente disponibilizar todo o repositório porque determinado profissional integra o departamento Jurídico.

A atenção deve continuar mesmo depois que o contrato deixa de produzir efeitos. É comum encontrar organizações que mantêm contratos encerrados há muitos anos simplesmente porque nunca foi estabelecido um procedimento para revisar ou eliminar esses documentos. Nesse ponto, é importante diferenciar retenção necessária de armazenamento permanente por hábito operacional.

A LGPD não determina que todo dado pessoal seja eliminado imediatamente após o término de um contrato. O art. 15 estabelece hipóteses de término do tratamento, enquanto o art. 16 admite a conservação dos dados em determinadas situações, inclusive para cumprimento de obrigação legal ou regulatória e nas demais hipóteses previstas pela Lei. Além disso, dependendo do contexto, documentos contratuais podem precisar ser preservados para o exercício regular de direitos, considerando obrigações assumidas, garantias, responsabilidades e prazos prescricionais aplicáveis.

Isso significa que a definição do período de retenção não deve partir de uma regra simplista segundo a qual “contrato encerrado deve ser imediatamente eliminado”. Em determinados casos, conservar o instrumento e documentos associados por algum período será juridicamente necessário e justificável. O problema surge quando a organização não consegue explicar por que mantém determinado documento, por quanto tempo pretende conservá-lo e o que acontecerá quando essa justificativa deixar de existir.

Essa avaliação também precisa considerar que nem todos os arquivos relacionados a um contrato possuem necessariamente a mesma necessidade de retenção. Pode haver justificativa para preservar a versão final assinada durante determinado período, sem que isso signifique manter indefinidamente todas as minutas, arquivos duplicados, versões intermediárias e cópias espalhadas pelas caixas de e-mail dos profissionais envolvidos. Da mesma forma, determinados documentos utilizados apenas para viabilizar a contratação podem deixar de ser necessários antes do próprio instrumento contratual.

Uma boa governança contratual, portanto, não se resume à existência de um sistema no qual os contratos definitivos são armazenados. Ela deve compreender o ciclo completo do documento: quais dados pessoais são solicitados durante a contratação, quais efetivamente precisam constar do instrumento, quem participa da negociação, por quais canais as versões circulam, onde o documento definitivo é armazenado, quem pode acessá-lo e quais critérios determinam sua retenção e posterior destinação.

Sob a perspectiva da LGPD, a pergunta relevante deixa de ser apenas “por quanto tempo precisamos guardar este contrato?” e passa a incluir outra: precisamos continuar armazenando todos os dados, anexos, versões e cópias que foram produzidos ao longo dessa contratação?

É essa distinção que permite transformar a gestão contratual em uma prática efetiva de governança de dados. Contratos podem precisar permanecer arquivados durante anos por razões legítimas, mas isso não significa que todo o rastro documental criado durante sua negociação precise acompanhá-los indefinidamente.

Sistemas jurídicos, plataformas processuais e LegalTechs: a tecnologia também faz parte do fluxo de dados

A transformação digital também modificou profundamente a rotina dos departamentos Jurídicos. Sistemas de gestão processual e contratual, plataformas de assinatura eletrônica, ferramentas de jurimetria, serviços de acompanhamento de processos, softwares de automação documental, plataformas de pesquisa jurisprudencial e diferentes soluções oferecidas por LegalTechs passaram a integrar atividades que antes eram realizadas de forma predominantemente manual. Essas tecnologias podem trazer ganhos importantes de produtividade, organização e controle, mas também acrescentam novos agentes, ambientes e fluxos ao tratamento de dados pessoais realizado pelo Jurídico.

A utilização de uma plataforma jurídica não representa apenas a contratação de um software. Dependendo de sua finalidade, a organização pode inserir nesse ambiente nomes, CPFs, endereços, dados de colaboradores, informações de partes adversas e testemunhas, contratos, procurações, petições, documentos probatórios, informações financeiras e até dados pessoais sensíveis. Em alguns sistemas, processos inteiros são importados ou sincronizados, fazendo com que um único fornecedor tenha acesso a um volume significativo de informações relacionadas a diferentes titulares.

Por isso, antes da contratação, a primeira pergunta não deveria ser apenas “o que essa ferramenta consegue fazer?”, mas também “quais dados pessoais precisarão ser inseridos nela para que faça isso?”. Essa mudança de perspectiva permite que o Jurídico identifique previamente a natureza e o volume das informações envolvidas e avalie se a solução é compatível com o nível de risco do tratamento que será realizado.

Um sistema de gestão processual, por exemplo, pode concentrar históricos completos de demandas, documentos anexados aos autos, informações sobre partes e testemunhas e registros produzidos internamente pelos advogados. Uma plataforma de assinatura eletrônica pode receber contratos, documentos de identificação, e-mails, assinaturas e registros técnicos relacionados ao procedimento de assinatura. Ferramentas de automação documental podem processar documentos inteiros para gerar minutas ou extrair informações. Já soluções de jurimetria e análise processual podem trabalhar com grandes volumes de dados provenientes de decisões judiciais, movimentações processuais e outras fontes.

Mesmo quando parte dessas informações é proveniente de processos públicos, isso não elimina a necessidade de avaliar como ocorrerá seu tratamento. Como já mencionado, a LGPD estabelece que o tratamento de dados cujo acesso é público deve considerar a finalidade, a boa-fé e o interesse público que justificaram sua disponibilização. Assim, a possibilidade técnica de coletar, estruturar, cruzar e analisar grandes volumes de informações processuais não significa, por si só, que qualquer utilização posterior desses dados seja automaticamente adequada.

Além de compreender quais informações serão inseridas, é necessário saber onde elas estarão efetivamente armazenadas. A contratação de uma solução em nuvem pode significar que documentos jurídicos deixarão de permanecer apenas nos ambientes controlados diretamente pela organização e passarão a ser processados na infraestrutura do fornecedor ou de outros prestadores por ele utilizados. Dependendo da arquitetura da solução, serviços de hospedagem, armazenamento, processamento, suporte técnico, backup e outras funcionalidades podem envolver terceiros adicionais.

Esse ponto é relevante porque a cadeia de tratamento nem sempre termina na empresa que aparece no contrato comercial. Um fornecedor pode recorrer a outros prestadores para viabilizar parte de seus serviços. A ANPD reconhece, em seu Guia Orientativo sobre Agentes de Tratamento, a figura do suboperador como aquele contratado pelo operador para auxiliá-lo no tratamento de dados pessoais em nome do controlador. Identificar a existência desses terceiros ajuda a organização a compreender quem efetivamente participa do fluxo e quais responsabilidades e salvaguardas precisam ser consideradas.

A localização da infraestrutura também merece atenção. Caso os dados sejam armazenados, processados ou disponibilizados para organizações localizadas fora do Brasil, pode existir uma operação de transferência internacional de dados, sujeita às regras previstas na LGPD e à regulamentação específica da ANPD. Portanto, conhecer a localização dos servidores e dos demais participantes da cadeia não é apenas uma questão técnica: pode ser necessário para compreender juridicamente o próprio fluxo de tratamento.

Outro ponto essencial é o controle de acesso. Sistemas jurídicos frequentemente concentram informações de diferentes áreas, unidades, processos e níveis de confidencialidade. Uma ferramenta que permite acesso indiscriminado a todo o acervo pode expor documentos a profissionais que não precisam deles para exercer suas funções. Por isso, devem ser avaliados recursos como perfis de usuário, segregação de acessos, autenticação, registro de atividades e mecanismos para concessão e revogação de permissões.

Essa preocupação encontra respaldo direto na LGPD. O art. 46 determina que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito. O art. 49, por sua vez, estabelece que os sistemas utilizados para o tratamento de dados pessoais devem ser estruturados de forma a atender aos requisitos de segurança, aos padrões de boas práticas e governança e aos princípios gerais previstos na Lei.

É justamente por isso que a avaliação de uma LegalTech ou plataforma jurídica deve ocorrer antes da inserção de dados pessoais, e não apenas depois que a ferramenta já estiver incorporada à rotina do departamento. A diligência prévia pode considerar, de forma proporcional ao risco, quais dados serão tratados, finalidade da utilização, controles de acesso, medidas de segurança, gestão de vulnerabilidades, registros de atividades, procedimentos de backup e recuperação, resposta a incidentes, retenção e eliminação dos dados, localização da infraestrutura, utilização de suboperadores e condições para devolução ou exclusão das informações ao término do contrato.

Os aspectos contratuais também precisam acompanhar essa avaliação. Dependendo dos papéis desempenhados pelas partes e das características do serviço, é importante que o instrumento estabeleça responsabilidades relacionadas ao tratamento de dados, regras de confidencialidade e segurança, condições para utilização de terceiros, procedimentos diante de incidentes, destinação das informações após o encerramento da relação e demais obrigações compatíveis com o fluxo existente. A simples existência de uma cláusula genérica afirmando que o fornecedor “cumpre a LGPD” não substitui a compreensão concreta de como os dados serão tratados.

Outro risco surge quando a contratação formal é adequada, mas a utilização cotidiana extrapola aquilo que foi originalmente avaliado. Uma ferramenta contratada para acompanhar movimentações processuais pode posteriormente receber documentos completos; um sistema inicialmente utilizado apenas para gestão de prazos pode passar a armazenar petições e evidências; uma plataforma de automação pode receber bases inteiras porque os usuários descobriram novas funcionalidades. Por isso, mudanças relevantes na forma de utilização também devem provocar uma nova análise do fluxo de dados.

O mesmo vale para ferramentas contratadas diretamente por profissionais ou equipes sem passar pelos processos internos de Tecnologia, Segurança da Informação, Privacidade ou Compras. A facilidade de contratação de soluções em nuvem pode levar ao chamado Shadow IT: aplicações utilizadas na rotina corporativa sem avaliação ou aprovação formal. No Jurídico, o risco é especialmente relevante porque uma ferramenta aparentemente simples pode receber contratos, petições e outros documentos contendo informações de elevada criticidade.

Incorporar tecnologia à rotina jurídica, portanto, não significa apenas digitalizar processos existentes. Cada nova plataforma pode criar um novo ambiente de armazenamento, novos acessos, novos compartilhamentos e até novos participantes na cadeia de tratamento. A avaliação prévia permite que esses elementos sejam conhecidos antes que milhares de documentos já estejam armazenados no sistema e a substituição da ferramenta se torne operacionalmente complexa.

Antes de autorizar uma nova plataforma, o Jurídico deveria conseguir responder a algumas perguntas básicas: quais dados serão inseridos, para qual finalidade, onde serão armazenados, quem poderá acessá-los, quais terceiros participarão do serviço, quais medidas de segurança serão aplicadas e o que acontecerá com as informações quando a contratação terminar?

Se essas respostas ainda não são conhecidas, talvez a organização conheça as funcionalidades da ferramenta, mas ainda não conheça suficientemente o tratamento de dados pessoais que está prestes a realizar.

Inteligência Artificial no Jurídico: cuidado com o que entra no prompt

A Inteligência Artificial Generativa rapidamente encontrou espaço na rotina dos departamentos Jurídicos. Ferramentas capazes de interpretar grandes volumes de texto podem auxiliar na elaboração e revisão de contratos, resumir processos extensos, estruturar argumentos, comparar documentos, organizar cronologias, pesquisar informações, produzir minutas e apoiar diversas outras atividades que tradicionalmente demandavam horas de trabalho. A produtividade proporcionada por essas soluções é significativa, mas existe uma questão que precisa anteceder seu uso: quais informações estão sendo entregues à ferramenta para que ela produza o resultado esperado?

Para uma IA resumir um processo, alguém precisa fornecer o processo ou parte dele. Para analisar um contrato, o documento precisa ser inserido na ferramenta. Para ajudar na construção de uma defesa, fatos, documentos ou informações sobre a controvérsia podem acabar sendo incluídos no prompt. É justamente nesse momento que uma atividade aparentemente simples de produtividade pode criar uma nova operação de tratamento de dados pessoais.

Um processo judicial inserido integralmente em uma ferramenta de IA pode conter nomes, CPFs, endereços, informações financeiras, documentos trabalhistas, dados de testemunhas, registros de comunicações e dados pessoais sensíveis. Um contrato pode revelar informações de representantes, procuradores, testemunhas e terceiros. Já uma solicitação para auxiliar na construção de determinada estratégia processual pode envolver não apenas dados pessoais, mas também informações confidenciais sobre a organização e elementos relacionados à própria estratégia jurídica.

Por isso, utilizar IA no Jurídico não deve ser tratado simplesmente como uma versão mais sofisticada de realizar uma pesquisa na internet. Dependendo da ferramenta e de sua configuração, as informações inseridas podem ser processadas em infraestrutura de terceiros, armazenadas durante determinado período ou submetidas a condições específicas de utilização estabelecidas pelo fornecedor. As práticas podem variar significativamente entre serviços e planos, razão pela qual não é adequado presumir que todo conteúdo inserido em uma ferramenta será automaticamente confidencial, imediatamente eliminado ou jamais utilizado para outras finalidades.

Antes da utilização, portanto, a organização precisa compreender as condições efetivas do serviço: quais dados são coletados, para quais finalidades são utilizados, durante quanto tempo são mantidos, onde são processados, quem pode acessá-los, quais terceiros participam da prestação do serviço e quais controles estão disponíveis para impedir usos incompatíveis com a finalidade corporativa. Essa avaliação deve considerar a versão e a modalidade efetivamente contratadas, pois uma ferramenta disponibilizada ao público em geral pode oferecer condições diferentes de uma solução corporativa configurada especificamente para uso empresarial.

Esse cuidado encontra respaldo nas discussões conduzidas pela própria ANPD. Em seu Radar Tecnológico dedicado à Inteligência Artificial Generativa, a Agência chama atenção para o fato de que os dados fazem parte de diferentes etapas do ciclo de vida desses sistemas e para os riscos relacionados ao compartilhamento de informações pessoais. Para o Jurídico, isso significa reconhecer que inserir um documento em uma ferramenta externa não é uma ação neutra do ponto de vista da proteção de dados: pode representar a inclusão daquele conteúdo em um novo fluxo tecnológico que precisa ser compreendido antes de sua utilização.

Um dos riscos mais evidentes é o chamado compartilhamento excessivo. Na busca por uma resposta mais completa, o profissional pode simplesmente anexar um processo inteiro quando apenas algumas páginas seriam necessárias, copiar uma cadeia completa de e-mails quando determinados trechos seriam suficientes ou fornecer nomes, documentos e informações sensíveis que não possuem qualquer relevância para a tarefa solicitada à IA. A facilidade de anexar arquivos inteiros pode fazer com que o princípio da necessidade seja esquecido justamente no momento em que deveria orientar a utilização da tecnologia.

Uma medida importante, portanto, é aplicar técnicas de minimização antes mesmo da elaboração do prompt. Se a identificação das pessoas não for necessária para a tarefa, nomes e outros identificadores podem ser removidos ou substituídos. Se apenas determinadas cláusulas precisam ser analisadas, não é necessário fornecer o contrato completo. Se o objetivo é aprimorar a estrutura argumentativa de um texto, pode ser possível retirar informações específicas do caso antes de submetê-lo à ferramenta.

É importante, contudo, não tratar anonimização como uma solução meramente estética. Substituir o nome de uma pessoa por “Cliente A” ou “Colaborador B” não necessariamente torna o conjunto de informações anônimo se outros elementos permitirem identificar aquele indivíduo. A LGPD considera anonimizado o dado relativo a titular que não possa ser identificado, considerando meios técnicos razoáveis e disponíveis na ocasião do tratamento. Assim, em muitos casos, o que se realiza na prática é uma redução da identificabilidade ou uma minimização das informações compartilhadas, e não necessariamente uma anonimização completa.

A preocupação se torna ainda maior quando estão envolvidos dados pessoais sensíveis ou informações de elevada criticidade. Laudos médicos, atestados, informações biométricas, documentos de investigações internas, denúncias, dados sobre crianças e adolescentes e outros conteúdos dessa natureza não deveriam ser inseridos em ferramentas simplesmente porque tecnicamente é possível fazê-lo. O nível de risco do dado deve influenciar tanto a escolha da solução quanto as restrições estabelecidas para sua utilização.

Também existe uma dimensão que vai além da LGPD. Departamentos Jurídicos lidam diariamente com informações protegidas por deveres de confidencialidade, segredos empresariais, estratégias processuais e documentos cujo acesso é restrito. Uma informação pode não constituir dado pessoal e, ainda assim, ser inadequada para inserção em determinada ferramenta externa. Por isso, uma política corporativa de IA voltada ao Jurídico não deve se limitar à proteção de dados pessoais, mas também considerar confidencialidade, segurança da informação e proteção dos interesses estratégicos da organização.

Nesse contexto, a governança não deve depender exclusivamente do julgamento individual de cada profissional. A organização precisa estabelecer quais ferramentas estão autorizadas, para quais atividades podem ser utilizadas e quais categorias de informação não podem ser inseridas sem avaliação adicional. Também pode ser necessário definir procedimentos específicos para documentos confidenciais, dados sensíveis, informações de processos sob segredo de justiça e outros conteúdos de maior risco.

A existência de ferramentas oficialmente autorizadas também ajuda a evitar um problema semelhante ao Shadow IT: o uso de soluções de IA contratadas ou acessadas diretamente pelos profissionais sem conhecimento das áreas responsáveis por Tecnologia, Segurança da Informação, Privacidade ou Governança. Com dezenas de serviços disponíveis gratuitamente ou mediante assinaturas individuais, um documento corporativo pode ser enviado a uma plataforma externa em poucos segundos, sem que a organização sequer saiba que aquele novo fluxo de dados existe.

Além da avaliação da ferramenta, o uso da IA deve permanecer submetido à supervisão humana. Sistemas generativos podem produzir informações incorretas, incompletas ou aparentemente convincentes sem que exista suporte adequado para aquilo que foi apresentado. No contexto jurídico, isso significa que minutas, análises, referências normativas, jurisprudência e demais conteúdos gerados não devem ser incorporados automaticamente a documentos ou decisões sem revisão profissional. A IA pode apoiar a atividade jurídica, mas a responsabilidade pela avaliação do conteúdo e pela decisão sobre sua utilização continua exigindo análise humana.

Em tratamentos de maior risco, a análise pode precisar ser ainda mais estruturada. A própria ANPD recomenda a elaboração de Relatório de Impacto à Proteção de Dados Pessoais (RIPD) em contextos nos quais as operações possam gerar alto risco aos princípios de proteção de dados e aos direitos e liberdades dos titulares. Assim, dependendo da finalidade, das categorias de dados envolvidas, da escala e dos riscos da solução de IA adotada, uma avaliação de impacto pode integrar a governança antes da implementação da tecnologia.

O objetivo dessas medidas não é impedir que o Jurídico utilize Inteligência Artificial. Ao contrário, estabelecer regras claras permite que a tecnologia seja utilizada de maneira mais segura e previsível. Uma governança adequada pode combinar avaliação prévia das ferramentas, definição de soluções autorizadas, classificação das informações que podem ou não ser inseridas, minimização de dados, controles de acesso, treinamento dos profissionais, revisão humana dos resultados e reavaliação periódica das condições oferecidas pelos fornecedores.

Antes de copiar uma petição, anexar um contrato ou descrever detalhadamente um caso em uma ferramenta de IA, portanto, vale fazer uma pergunta simples: todas essas informações realmente precisam entrar no prompt?

No Jurídico, muitas vezes o maior risco da Inteligência Artificial não está apenas na resposta que ela produz, mas também na quantidade e na sensibilidade das informações que a organização entregou para obtê-la.

Retenção: por quanto tempo o Jurídico realmente precisa guardar tudo?

Poucas frases são tão comuns na rotina jurídica quanto “é melhor guardar, caso precisemos no futuro”. A preocupação é compreensível. Contratos, processos, pareceres, evidências e documentos produzidos ou recebidos pelo Jurídico podem ser necessários anos depois para demonstrar o cumprimento de uma obrigação, responder a uma fiscalização, reconstruir determinado fato ou defender a organização em uma disputa. O problema surge quando essa cautela se transforma em uma regra informal segundo a qual todo documento jurídico deve ser conservado indefinidamente.

A LGPD não estabelece um prazo geral de cinco, dez ou vinte anos para conservação de dados pessoais. A lógica adotada pela Lei é diferente. O art. 15 prevê que o tratamento chega ao fim, entre outras hipóteses, quando a finalidade é alcançada ou quando os dados deixam de ser necessários ou pertinentes para a finalidade inicialmente pretendida. O art. 16, por sua vez, determina a eliminação após o término do tratamento, ressalvadas hipóteses específicas de conservação, como o cumprimento de obrigação legal ou regulatória.

Isso significa que uma política de retenção do Jurídico não deveria começar com a pergunta “quantos anos a LGPD permite guardar?”, porque a Lei não fornece uma resposta única. O ponto de partida precisa ser outro: qual é a finalidade desse documento, existe alguma norma que imponha sua conservação, ainda há possibilidade juridicamente relevante de utilização e quais informações realmente precisam permanecer disponíveis durante esse período?

Nesse contexto, os prazos prescricionais assumem papel relevante. O Código Civil estabelece, como regra geral, prazo prescricional de dez anos quando a legislação não tiver fixado prazo menor, mas também prevê diversos prazos específicos de acordo com a natureza da pretensão. Por isso, simplesmente estabelecer “dez anos” como prazo padrão para todo documento jurídico pode ser tão inadequado quanto eliminar indiscriminadamente documentos após o encerramento de uma relação. O prazo aplicável depende da natureza da obrigação, do risco envolvido e da legislação específica.

Nas relações de trabalho, por exemplo, a própria Constituição prevê prazo prescricional de cinco anos para créditos decorrentes da relação de trabalho, observado o limite de dois anos após a extinção do contrato. Esse tipo de regra pode justificar a conservação de determinados documentos necessários à defesa da organização, mas não significa que todo o conteúdo da pasta funcional de um ex-colaborador precise permanecer armazenado pelo mesmo período ou de forma ilimitada.

A diferença é importante porque uma pasta jurídica raramente contém apenas o documento que efetivamente poderá ser utilizado no futuro. Um processo encerrado pode reunir petições, decisões, provas, versões intermediárias, documentos duplicados, e-mails, notas internas e arquivos baixados temporariamente. Um contrato vencido pode estar acompanhado de minutas, documentos cadastrais, procurações antigas, trocas de mensagens e diversas versões não assinadas. Uma pasta de ex-colaborador pode misturar documentos trabalhistas que possuem justificativa concreta de retenção com informações cuja finalidade já se encerrou há muito tempo.

Por isso, o prazo de retenção precisa ser definido por categoria documental e finalidade, e não apenas por área. “Documentos do Jurídico” é uma classificação ampla demais para orientar uma política adequada. Processos encerrados, contratos, pareceres, documentos societários, investigações internas, evidências, procurações, dados de testemunhas e documentos trabalhistas podem estar sujeitos a justificativas e períodos de conservação completamente diferentes.

Os processos encerrados ilustram bem essa necessidade. Mesmo após o trânsito em julgado ou encerramento administrativo, pode existir justificativa para manter determinados documentos relacionados ao caso, inclusive para comprovar o resultado da demanda, cumprir obrigações decorrentes da decisão ou exercer direitos posteriormente. Isso não significa que todas as cópias geradas durante a condução do processo precisem ser conservadas. O encerramento da demanda deveria funcionar como um gatilho para revisão do dossiê: identificar o que efetivamente precisa permanecer, consolidar o repositório oficial e eliminar cópias desnecessárias existentes em e-mails, pastas temporárias e dispositivos locais.

Os pareceres jurídicos também merecem uma análise própria. Alguns registram interpretações relevantes para decisões corporativas e podem precisar ser preservados para demonstrar o fundamento de determinada conduta. Outros são produzidos para situações pontuais, tornam-se superados por mudanças legislativas ou perdem utilidade após determinado projeto. A retenção, portanto, deve considerar não apenas a existência do parecer, mas a finalidade documental e probatória que ele ainda desempenha.

Com contratos vencidos, a lógica é semelhante. A organização pode precisar conservar a versão final assinada e documentos essenciais durante períodos relacionados a obrigações contratuais, garantias, responsabilidades ou eventuais pretensões futuras. Entretanto, isso é diferente de conservar indefinidamente todas as minutas, versões com comentários, arquivos duplicados e documentos usados apenas para viabilizar a contratação. O prazo de guarda do contrato não precisa necessariamente ser o prazo de guarda de todo o material produzido ao redor dele.

Os documentos probatórios exigem cuidado adicional. Em determinadas situações, a organização pode decidir preservar uma evidência porque existe uma controvérsia concreta, uma investigação em andamento ou expectativa razoável de litígio. Nesses casos, a retenção pode precisar se sobrepor temporariamente a uma rotina normal de descarte. É uma lógica próxima ao chamado legal hold: determinados documentos são preservados porque sua eliminação poderia comprometer uma defesa ou a adequada apuração de fatos.

Essa preservação extraordinária, entretanto, deveria ser documentada e delimitada. Suspender temporariamente o descarte de documentos relacionados a um litígio específico é diferente de transformar toda a base jurídica em um arquivo permanente “por precaução”. Quando a razão que justificou essa retenção extraordinária termina, os documentos devem voltar a ser submetidos aos critérios regulares de retenção.

Outro ponto frequentemente negligenciado envolve os documentos recebidos de escritórios externos. Durante a condução de uma demanda, escritórios parceiros podem encaminhar cópias de processos, relatórios, documentos probatórios, listas de testemunhas e outros materiais. Ao mesmo tempo, podem manter cópias dessas mesmas informações em seus próprios sistemas. Quando a relação ou a demanda termina, a organização precisa saber quais dados permanecem com o escritório, por quanto tempo e com qual justificativa. A retenção não deveria ser analisada apenas dentro dos servidores da própria empresa, mas ao longo de toda a cadeia de tratamento.

Nesse cenário, também é importante diferenciar retenção ativa, arquivamento e bloqueio. Nem todo documento que precisa ser conservado precisa continuar disponível da mesma maneira que um processo em andamento.

O bloqueio é definido pela LGPD como a suspensão temporária de qualquer operação de tratamento, mediante a guarda do dado ou banco de dados. Em termos de governança, essa lógica ajuda a compreender que determinados dados podem precisar permanecer preservados sem continuar sendo utilizados rotineiramente. Um processo encerrado, por exemplo, pode ser retirado do ambiente operacional e transferido para um repositório de arquivo com acesso mais restrito, evitando que continue circulando entre profissionais que já não precisam consultá-lo.

O arquivamento, por sua vez, deveria representar uma mudança efetiva no tratamento, e não apenas a movimentação de uma pasta para outro diretório. Um documento arquivado pode ter controles de acesso mais restritivos, menor disponibilidade operacional, prazo de revisão definido e finalidade limitada àquela que justifica sua conservação. O simples fato de um arquivo estar em uma pasta chamada “Arquivo” não significa que exista governança de retenção.

Por isso, uma política madura pode trabalhar com diferentes estágios do ciclo documental. Durante a fase ativa, as informações permanecem acessíveis aos profissionais responsáveis. Encerrada a atividade principal, parte do acervo pode ser arquivada ou ter seu acesso restrito durante o período necessário à conservação. Ao fim desse prazo — e inexistindo outra justificativa legítima — deve ocorrer a eliminação ou outra destinação juridicamente adequada.

O descarte também precisa ser tratado como parte do processo de proteção de dados. Eliminar um documento não significa simplesmente deixá-lo de visualizar no sistema. Arquivos podem continuar presentes em lixeiras eletrônicas, cópias locais, dispositivos, caixas de e-mail, ambientes de terceiros e rotinas de backup. Documentos físicos descartados em lixo comum também podem expor dados pessoais, informações confidenciais e estratégias jurídicas.

Por isso, o procedimento de descarte deve ser compatível com o meio utilizado e com a criticidade das informações. Documentos físicos contendo dados pessoais podem exigir destruição segura; arquivos digitais devem ser eliminados dos repositórios em que permaneceram armazenados, observados os limites técnicos dos sistemas e políticas de backup; cópias enviadas a terceiros também devem ser consideradas quando aplicável.

A própria ANPD reforça essa perspectiva de governança. Em material orientativo recente, a Agência indica que políticas de proteção de dados devem contemplar, entre outros elementos, o tempo de retenção, os locais de armazenamento e as práticas de eliminação e descarte dos dados pessoais. Ou seja, não basta que a organização saiba por que coletou determinada informação: precisa saber também por quanto tempo continuará justificando sua manutenção e como ocorrerá sua destinação ao final do ciclo.

Uma tabela de temporalidade ou matriz de retenção pode ser especialmente útil para o Jurídico. Em vez de adotar um prazo genérico para todo o departamento, o instrumento pode relacionar cada categoria documental à sua finalidade, fundamento de conservação, prazo aplicável, evento que inicia a contagem, responsável pela revisão e destinação prevista. Também deve contemplar situações excepcionais, como litígios, investigações ou determinações regulatórias que exijam suspensão temporária do descarte.

Essa abordagem evita dois extremos igualmente problemáticos: eliminar documentos que ainda são necessários para proteger os interesses da organização e conservar indefinidamente informações pessoais apenas porque ninguém definiu quando deveriam ser descartadas.

A pergunta correta, portanto, não é se o Jurídico pode guardar documentos depois de encerrada a finalidade original. Em muitos casos, poderá e deverá fazê-lo. A pergunta é se a organização consegue demonstrar, para cada categoria relevante, qual é a justificativa para a conservação, qual prazo ou critério determina seu término, quem ainda pode acessar as informações e qual será sua destinação quando essa justificativa deixar de existir.

No fim, “guardar para eventual necessidade futura” não deveria ser uma política de retenção. Deveria existir uma necessidade identificável, juridicamente justificável e submetida a um prazo ou critério de revisão. O desafio do Jurídico não é deixar de preservar aquilo que pode ser necessário, mas aprender a distinguir memória jurídica legítima de armazenamento indefinido por ausência de governança.

O Jurídico está no ROPA da sua empresa?

Depois de analisar processos, contratos, testemunhas, plataformas jurídicas, Inteligência Artificial e retenção, surge uma pergunta que resume boa parte do problema discutido neste artigo: essas operações aparecem efetivamente no Registro das Operações de Tratamento de Dados Pessoais da organização?

O ROPA — sigla comumente utilizada para Record of Processing Activities — é, na prática, um dos instrumentos centrais para compreender como os dados pessoais circulam dentro de uma organização. A LGPD determina, em seu art. 37, que controladores e operadores mantenham registro das operações de tratamento de dados pessoais que realizarem, especialmente quando o tratamento estiver baseado no legítimo interesse. A própria ANPD esclarece que a adequação à LGPD envolve o mapeamento e o registro dessas operações, incluindo a identificação de suas finalidades e respectivas bases legais.

Mais recentemente, ao tratar da atuação do Encarregado, a ANPD reforçou que esse registro deve abranger todas as operações de tratamento e recomendou que as informações sejam levantadas diretamente com as áreas que executam os respectivos processos, inclusive por meio de entrevistas, formulários ou planilhas. Essa orientação é particularmente importante porque evidencia que o ROPA não deveria ser construído apenas a partir da percepção do DPO ou da equipe de Privacidade sobre quais áreas “parecem” tratar dados. O mapeamento precisa alcançar a realidade operacional da organização.

É justamente nesse ponto que o Jurídico pode se transformar em um ponto cego.

Em muitos programas de conformidade, o primeiro exercício de data mapping começa pelas áreas em que a coleta de dados é mais evidente. Recursos Humanos trata dados de colaboradores. Marketing trabalha com leads e campanhas. Comercial mantém informações de clientes e prospects. Atendimento recebe manifestações e cadastros. Tecnologia administra sistemas e acessos. O Jurídico, por sua vez, pode ser enxergado principalmente como área de apoio ao próprio projeto de adequação e não como uma unidade operacional que também precisa declarar seus tratamentos.

Mas basta observar a rotina jurídica para perceber a dimensão dessa lacuna.

A gestão do contencioso envolve dados de autores, réus, colaboradores, testemunhas, partes adversas, representantes legais e terceiros. Pode incluir documentos de identificação, registros financeiros, dados trabalhistas e informações sensíveis. Esses dados são recebidos, consultados, organizados, armazenados, compartilhados com escritórios externos e posteriormente arquivados ou eliminados.

A gestão contratual envolve representantes, procuradores, signatários, testemunhas e eventualmente terceiros relacionados à contratação. Além do contrato definitivo, existem minutas, aprovações internas, plataformas de assinatura, repositórios e períodos específicos de retenção.

O consultivo jurídico também pode envolver tratamento de dados pessoais. Pareceres produzidos para RH, Compliance, Comercial ou outras áreas podem utilizar informações de casos concretos, documentos de colaboradores, clientes ou terceiros para avaliar riscos e orientar uma decisão.

As investigações internas representam outro fluxo que não deveria permanecer invisível. Dependendo do caso, podem reunir denúncias, depoimentos, registros de comunicação, informações profissionais, documentos comprobatórios e dados pessoais sensíveis de denunciantes, investigados, testemunhas e outras pessoas mencionadas durante a apuração.

A gestão de procurações também possui seu próprio ciclo. Dados de procuradores e representantes são coletados, registrados, compartilhados, armazenados e precisam ser revistos quando os poderes são revogados, vencem ou deixam de ser necessários.

O mesmo ocorre com o relacionamento com escritórios de advocacia. O Jurídico pode encaminhar processos completos, bases documentais, contratos, informações de testemunhas e evidências para terceiros que passam a integrar aquela cadeia de tratamento. Isso exige compreender quais dados são compartilhados, para qual finalidade, em quais sistemas permanecem, por quanto tempo são conservados e quais outros prestadores podem estar envolvidos.

Até atividades aparentemente simples podem representar operações próprias. Uma notificação extrajudicial pode envolver dados de destinatários e representantes. Uma consulta sobre determinado colaborador pode gerar uma pasta documental. Uma solicitação para um escritório externo pode resultar no envio de uma base inteira. Uma ferramenta de jurimetria pode criar um novo fluxo de dados oriundos de processos públicos.

Se nada disso estiver registrado, o problema não é apenas documental. Um ROPA incompleto compromete a capacidade da organização de compreender o próprio programa de privacidade.

Sem o mapeamento do Jurídico, pode se tornar mais difícil identificar quais bases legais sustentam determinadas atividades, quais dados sensíveis são tratados, quais fornecedores recebem informações pessoais, onde estão os principais repositórios, quais operações envolvem transferência internacional, quais prazos de retenção precisam ser definidos e quais medidas de segurança são proporcionais aos riscos existentes.

O impacto também aparece quando a organização precisa responder a situações concretas. Imagine uma solicitação de titular pedindo informações sobre o tratamento de seus dados. Se parte dessas informações estiver em um processo, contrato ou investigação mantida pelo Jurídico, mas a área estiver fora do mapa de dados, a busca pode ser incompleta.

O mesmo ocorre em um incidente de segurança. Se o inventário indicar apenas os sistemas de RH, Marketing e Comercial, mas não registrar que um escritório externo armazena centenas de documentos processuais com dados pessoais, a análise da cadeia afetada poderá começar a partir de uma visão incompleta.

Também há reflexos na retenção. É difícil construir uma tabela de temporalidade consistente se a organização sequer registrou que determinada atividade existe, quais documentos produz e para quais finalidades os mantém.

Por isso, um ROPA útil não deve se limitar a listar departamentos ou sistemas. Ele precisa retratar operações de tratamento concretas.

No Jurídico, isso pode significar registrar separadamente atividades como gestão do contencioso judicial, administrativo e arbitral; gestão contratual; gestão de procurações; consultivo jurídico; investigações internas; notificações extrajudiciais; relacionamento e compartilhamento com escritórios externos; utilização de sistemas jurídicos e LegalTechs; e outras atividades relevantes de acordo com a realidade da organização.

Para cada uma delas, o mapeamento deve permitir compreender, de forma proporcional e estruturada, elementos como finalidade do tratamento, categorias de titulares e de dados pessoais, bases legais, origem das informações, sistemas e repositórios utilizados, compartilhamentos internos e externos, eventuais transferências internacionais, critérios de retenção e medidas de segurança relacionadas ao processo.

A própria ANPD disponibiliza modelo simplificado de registro para agentes de tratamento de pequeno porte e esclarece que ele pode servir como referência para estruturação do registro. A existência desse modelo reforça outro ponto importante: o ROPA não precisa ser um documento meramente formal ou excessivamente complexo, mas deve ser suficientemente detalhado para permitir que a organização compreenda as operações que efetivamente realiza.

Também é importante evitar uma abordagem estática. Um ROPA elaborado durante o projeto inicial de adequação e nunca mais revisado rapidamente deixa de representar a realidade. O Jurídico pode contratar uma nova LegalTech, passar a utilizar Inteligência Artificial, substituir escritórios externos, criar um procedimento de investigação interna ou alterar sua forma de armazenar contratos. Cada uma dessas mudanças pode modificar os fluxos de tratamento e exigir atualização do inventário.

É por isso que o data mapping deveria ser compreendido como um processo contínuo de governança, e não apenas como uma etapa concluída quando a organização implementou seu primeiro programa de privacidade.

Há, ainda, uma provocação especialmente relevante para departamentos Jurídicos que participam diretamente da conformidade: não basta ajudar as demais áreas a preencher o ROPA se o próprio Jurídico não consegue preencher o seu.

Uma forma simples de testar essa maturidade é perguntar à área se ela consegue, hoje, responder com clareza:

• quais operações do Jurídico envolvem dados pessoais;
• quais categorias de pessoas aparecem nesses processos;
• quais dados são tratados, inclusive sensíveis;
• por que cada operação é realizada e qual base legal a sustenta;
• onde essas informações estão armazenadas;
• quais escritórios, plataformas e demais terceiros recebem os dados;
• quais critérios determinam seu período de conservação; e
• o que ocorre com as informações quando deixam de ser necessárias.

Se essas respostas dependem de uma investigação extensa ou estão dispersas entre diferentes profissionais, sistemas e fornecedores, provavelmente ainda existe uma parte relevante do fluxo jurídico fora do mapa.

Mapear apenas as áreas tradicionalmente associadas à coleta de dados produz uma fotografia incompleta da organização. O dado pessoal não deixa de integrar o programa de privacidade quando atravessa a porta do Jurídico.

Talvez, portanto, uma das verificações mais simples e reveladoras de um programa de conformidade seja abrir o ROPA e procurar pelo departamento Jurídico.

Se processos judiciais, contratos, investigações, procurações, pareceres, sistemas jurídicos e escritórios parceiros não aparecem ali, a organização pode ter um inventário de dados mas ainda não possui uma visão completa de como seus dados pessoais realmente circulam.

Como estruturar a proteção de dados no Jurídico sem prejudicar sua atuação

Depois de identificar tantos pontos de atenção, é possível que a primeira impressão seja a de que incorporar a LGPD à rotina do Jurídico significa acrescentar novas etapas de aprovação, restringir acessos, criar formulários e tornar uma área que já trabalha sob pressão ainda mais burocrática. Uma estrutura adequada de governança, entretanto, deveria produzir justamente o efeito contrário.

O objetivo não é dificultar o acesso a um documento necessário para uma defesa, impedir o compartilhamento com um escritório ou criar obstáculos à utilização de novas tecnologias. É garantir que essas atividades ocorram dentro de critérios previamente definidos, evitando que cada advogado precise decidir individualmente, diante de uma urgência, onde armazenar um processo, como enviar determinada informação ou se pode utilizar uma nova ferramenta.

Em outras palavras, proteger dados no Jurídico não significa tratar menos quando o tratamento é necessário. Significa tratar melhor.

O primeiro passo é conhecer as próprias operações. O mapeamento discutido ao longo deste artigo deve alcançar contencioso judicial, administrativo e arbitral, gestão contratual, consultivo, procurações, investigações internas, notificações, relacionamento com escritórios, LegalTechs, ferramentas de Inteligência Artificial e outras atividades que efetivamente façam parte da rotina da organização. Para cada fluxo, o Jurídico precisa compreender quais dados utiliza, de quem são essas informações, por que são necessárias, de onde vêm, onde permanecem armazenadas e para onde são encaminhadas.

Esse levantamento permite avançar para uma segunda etapa: relacionar cada finalidade às hipóteses legais efetivamente aplicáveis. O exercício regular de direitos terá importância evidente em diversas atividades jurídicas, mas não deve ser transformado em uma justificativa genérica para todo e qualquer tratamento realizado pelo departamento. Dependendo da operação, também podem existir obrigações legais ou regulatórias, execução de contratos e outras hipóteses previstas na LGPD. Mais importante do que selecionar uma base legal em uma planilha é conseguir demonstrar a relação entre finalidade, necessidade do tratamento e fundamento jurídico escolhido.

A partir daí, a governança precisa chegar aos ambientes em que os documentos realmente estão.

O Jurídico deveria identificar quais são seus repositórios oficiais. Processos devem ficar em um sistema de gestão? Contratos em uma plataforma contratual? Investigações em uma área segregada? Pareceres em um diretório específico? Definir essas respostas reduz a dispersão e facilita a aplicação de controles de acesso, retenção e descarte.

Sem essa definição, é comum que o sistema oficial seja apenas mais um lugar em que o documento existe. A versão considerada definitiva está na plataforma jurídica, mas outra cópia permanece no computador do advogado, uma terceira foi enviada por e-mail, outra está em uma pasta compartilhada e talvez mais uma tenha sido encaminhada ao escritório externo.

Por isso, uma medida prática importante é adotar o princípio do repositório oficial e da cópia temporária. Quando houver necessidade de baixar um arquivo para análise, essa cópia não deveria se transformar automaticamente em um novo arquivo permanente. Downloads, áreas de trabalho, pastas pessoais e dispositivos utilizados pelos profissionais precisam estar sujeitos a regras de organização e limpeza, especialmente quando contiverem processos completos, documentos de identificação ou dados sensíveis.

Organizar repositórios também permite melhorar os controles de acesso. O fato de alguém integrar o Jurídico não significa que precise consultar todos os processos, contratos e investigações mantidos pela área. A concessão de acesso deve considerar função, necessidade e sensibilidade da informação.

Na prática, isso pode significar restringir investigações internas a uma equipe específica, limitar documentos trabalhistas aos profissionais responsáveis pelo contencioso correspondente, controlar o acesso a operações societárias confidenciais e revisar periodicamente as permissões concedidas em sistemas jurídicos. A entrada, mudança de função e desligamento de profissionais também devem gerar atualização dos acessos.

O mesmo raciocínio precisa ser aplicado ao compartilhamento. O Jurídico dificilmente funcionará sem trocar documentos com outras áreas, escritórios, peritos, consultorias e diferentes prestadores. A solução não é impedir essas transferências, mas definir canais e critérios adequados.

Documentos de maior criticidade não deveriam depender da decisão improvisada de cada profissional sobre enviar um anexo, criar um link público ou utilizar um aplicativo de mensagens. A organização pode estabelecer canais corporativos autorizados, exigir restrição de acesso em links compartilhados, limitar destinatários ao necessário e adotar proteções adicionais quando a sensibilidade das informações justificar.

Nesse processo, vale incorporar uma pergunta simples antes de cada compartilhamento: o destinatário precisa receber este documento inteiro ou apenas parte das informações?

Essa lógica de minimização é especialmente importante na relação com escritórios externos. Encaminhar toda a pasta funcional de um colaborador para responder a uma questão específica, por exemplo, pode ser mais simples operacionalmente, mas também amplia desnecessariamente a quantidade de informações colocadas à disposição de terceiros.

Os próprios escritórios e demais fornecedores jurídicos precisam fazer parte do programa. Antes da contratação — e periodicamente de acordo com o risco — a organização pode avaliar aspectos de privacidade e segurança como controles de acesso, armazenamento, resposta a incidentes, retenção, utilização de subcontratados, transferência internacional e destinação dos dados ao término da relação.

A ANPD reconhece que cadeias de tratamento podem envolver operadores e suboperadores e destaca a importância de compreender os papéis efetivamente exercidos pelos participantes. Portanto, a governança não deve terminar na assinatura de uma cláusula de proteção de dados: é necessário conhecer minimamente quem participa do tratamento e como aquele fluxo funciona na prática.

Isso vale igualmente para LegalTechs e outras plataformas. Nenhuma nova ferramenta que receberá processos, contratos, documentos de colaboradores ou outras informações pessoais deveria entrar em produção apenas porque atende a uma necessidade funcional. A avaliação precisa anteceder a carga de dados. Depois que milhares de documentos estão armazenados em uma plataforma, descobrir que a solução não atende aos requisitos necessários transforma uma avaliação preventiva em um problema de migração.

Com a Inteligência Artificial, essa regra precisa ser ainda mais clara. A facilidade de acesso às ferramentas generativas torna pouco realista uma política baseada simplesmente em “não usar IA”. Uma abordagem mais eficiente é definir quais soluções são autorizadas, quais usos são permitidos, quais informações podem ser inseridas e quais situações exigem minimização, anonimização quando efetivamente possível ou aprovação prévia.

Essa política pode estabelecer, por exemplo, que processos sob segredo de justiça, investigações, documentos com dados sensíveis ou informações estratégicas não sejam inseridos em ferramentas não avaliadas. Também pode orientar os profissionais a fornecer apenas os trechos necessários e exigir revisão humana dos resultados produzidos.

Outro elemento indispensável é a retenção estruturada. Como vimos, não é razoável exigir que o Jurídico elimine documentos que ainda são necessários ao exercício de direitos ou ao cumprimento de obrigações. Da mesma forma, “guardar por precaução” não deveria substituir uma política de temporalidade.

Contratos, processos, pareceres, procurações, investigações e outros documentos devem possuir critérios próprios de conservação. A matriz de retenção pode identificar prazo ou evento de referência, justificativa jurídica, necessidade de eventual legal hold, responsável pela revisão e destinação ao final do período.

Quando determinada informação precisar permanecer arquivada, isso não significa que deva continuar disponível para uso cotidiano. Repositórios de arquivo podem possuir acessos mais restritos e finalidade limitada à conservação. E, encerrada a justificativa, é necessário haver procedimento de descarte.

Esse descarte precisa alcançar também a realidade operacional: arquivos temporários, cópias locais, documentos físicos e, quando aplicável, informações mantidas por terceiros. Uma política que determina a eliminação no sistema oficial, mas ignora dezenas de cópias espalhadas por e-mails e computadores, resolve apenas parte do problema.

Também é fundamental incluir o Jurídico nos fluxos corporativos de resposta a incidentes. A área pode ser vítima e não apenas assessora nesses eventos. Uma petição encaminhada ao destinatário errado, uma pasta processual compartilhada sem restrição, um notebook com documentos jurídicos extraviado ou um escritório que comunica acesso indevido a seus sistemas podem representar incidentes envolvendo dados pessoais.

Os profissionais precisam saber identificar essas situações e, principalmente, saber para quem comunicar internamente e com que urgência. A avaliação posterior sobre risco, necessidade de comunicação e providências cabíveis dependerá das circunstâncias do caso, mas essa análise só pode começar quando o evento chega rapidamente às áreas responsáveis.

A mesma integração deve ocorrer no atendimento aos direitos dos titulares. Quando uma pessoa solicita confirmação, acesso, correção ou outra providência prevista na LGPD, a busca não pode ficar restrita aos sistemas de RH, Marketing ou Atendimento. Dependendo da situação, informações relacionadas ao titular podem estar em processos, contratos, pareceres ou outros arquivos jurídicos.

Isso não significa que todo pedido resulte automaticamente na entrega ou eliminação de qualquer documento mantido pelo Jurídico. A própria LGPD admite hipóteses de conservação e existem situações em que o exercício regular de direitos, obrigações legais, direitos de terceiros, sigilo e outras limitações precisam ser considerados. O importante é que o Jurídico faça parte do fluxo de análise para que a organização consiga localizar as informações e avaliar corretamente a providência aplicável. A ANPD reconhece direitos como confirmação, acesso e correção e estabelece o Encarregado como canal de comunicação entre os titulares e o agente de tratamento.

Por fim, nenhuma dessas medidas funciona se existir apenas em políticas que a equipe não conhece. O treinamento do Jurídico precisa refletir a rotina do Jurídico.

Uma capacitação genérica explicando o conceito de dado pessoal e apresentando os princípios da LGPD é importante, mas insuficiente. O treinamento da área deveria utilizar situações que os profissionais realmente enfrentam: posso encaminhar este processo inteiro ao escritório? Posso manter a lista de testemunhas no meu computador? O que faço com documentos depois do encerramento da ação? Posso inserir este contrato em uma ferramenta de IA? Como compartilho um documento sensível? O que faço se encaminhar um anexo para a pessoa errada?

A própria ANPD aponta a capacitação e a conscientização dos funcionários como elementos essenciais para concretizar políticas, salvaguardas e o princípio da responsabilização e prestação de contas.

Uma estrutura funcional de proteção de dados no Jurídico pode, portanto, ser construída a partir de alguns pilares integrados: mapear o que é tratado, justificar por que é tratado, centralizar onde é armazenado, limitar quem acessa, controlar com quem é compartilhado, avaliar as tecnologias utilizadas, definir por quanto tempo permanece necessário, estabelecer como será descartado e preparar as pessoas para reconhecer situações de risco.

Nada disso exige transformar cada petição, contrato ou consulta jurídica em um projeto de privacidade. O que precisa existir são regras suficientemente claras para que as decisões mais recorrentes já tenham sido tomadas antes da urgência aparecer.

Esse talvez seja o principal sinal de maturidade: quando a proteção de dados deixa de depender de perguntas feitas caso a caso e passa a fazer parte da própria forma como o Jurídico trabalha.

No fim, o melhor programa de privacidade para o departamento Jurídico não é aquele que cria mais etapas. É aquele que reduz improvisos, organiza responsabilidades e permite que a área continue defendendo os interesses da organização sabendo onde estão seus dados, por que estão ali, quem pode utilizá-los e até quando devem permanecer.

Conclusão

O departamento Jurídico ocupa uma posição singular dentro dos programas de privacidade e proteção de dados. É comum que seja chamado para interpretar a LGPD, revisar contratos, avaliar riscos e orientar as demais áreas da organização. Ao mesmo tempo, sua própria rotina envolve um fluxo constante de dados pessoais que nem sempre recebe o mesmo nível de atenção dedicado aos processos de Recursos Humanos, Marketing, Comercial ou Atendimento.

Ao longo deste artigo, vimos que essa realidade está presente em atividades essencialmente jurídicas. Processos judiciais e administrativos reúnem informações de partes, colaboradores, testemunhas e terceiros; contratos incorporam dados de representantes, procuradores e signatários; pareceres e documentos probatórios podem conter informações de elevada criticidade; e escritórios externos, sistemas de gestão processual, LegalTechs e ferramentas de Inteligência Artificial acrescentam novos ambientes e participantes à cadeia de tratamento.

Em muitos desses casos, existe uma justificativa jurídica legítima e por vezes indispensável para utilizar e conservar determinadas informações. O exercício regular de direitos, o cumprimento de obrigações legais e regulatórias e outras hipóteses previstas pela LGPD permitem que o Jurídico desempenhe suas funções sem depender, por exemplo, do consentimento de uma parte adversa para preparar uma defesa. A existência de uma base legal, entretanto, não transforma o dado em informação de uso irrestrito.

Finalidade, adequação, necessidade, segurança, prevenção e responsabilização continuam acompanhando o tratamento. Isso significa avaliar se todos os dados presentes em um documento precisam realmente ser utilizados, se um processo inteiro precisa ser encaminhado a um terceiro, se todas as versões de um contrato devem permanecer armazenadas, se determinado profissional necessita acessar todo o repositório jurídico ou se informações pessoais e confidenciais podem ser inseridas em uma ferramenta de IA sem avaliação prévia.

Da mesma forma, confidencialidade e sigilo profissional, embora essenciais à atividade jurídica, não substituem uma estrutura de governança de dados. Um documento pode ser tratado como confidencial e, ainda assim, existir simultaneamente no sistema jurídico, na caixa de e-mail, na pasta de downloads de um advogado, em um diretório compartilhado e na infraestrutura de um escritório externo. A proteção efetiva começa quando a organização consegue compreender e controlar esse ciclo.

Isso inclui também saber quando o ciclo deve terminar. Guardar documentos necessários para proteger os interesses da organização é parte legítima da atividade jurídica; conservar indiscriminadamente processos, minutas, evidências, pareceres e cópias durante tempo indeterminado porque “podem ser úteis algum dia” é outra realidade. Uma gestão madura precisa conseguir distinguir necessidade jurídica de armazenamento por hábito, estabelecendo critérios de retenção, arquivamento, eventual legal hold e descarte seguro.

A tecnologia torna essa discussão ainda mais relevante. LegalTechs e sistemas jurídicos podem centralizar grandes volumes de informações, enquanto ferramentas de Inteligência Artificial permitem que processos e contratos inteiros sejam analisados em poucos segundos. O ganho de eficiência é evidente, mas cada nova solução também pode criar novos fluxos de tratamento. Por isso, inovação e proteção de dados não devem ser tratadas como objetivos concorrentes: quanto mais tecnologia o Jurídico incorpora à sua rotina, maior deve ser sua capacidade de compreender para onde as informações estão indo e sob quais condições estão sendo utilizadas.

É justamente nesse cenário que o ROPA deixa de ser apenas um registro de conformidade e passa a funcionar como um teste de maturidade. Se a organização consegue mapear detalhadamente campanhas de Marketing, processos de RH e cadastros comerciais, mas não consegue identificar como o Jurídico trata dados em seu contencioso, contratos, pareceres, procurações, sistemas e relações com escritórios externos, existe uma parte relevante do programa que ainda permanece invisível.

Incorporar o Jurídico à governança de privacidade, portanto, não significa criar barreiras à defesa dos interesses da organização. Significa estabelecer critérios para que aquilo que já precisa ser feito seja realizado de maneira mais organizada, rastreável e segura. Mapear operações, definir repositórios oficiais, limitar acessos, controlar compartilhamentos, avaliar fornecedores e tecnologias, estabelecer critérios de retenção e preparar os profissionais para lidar com incidentes e solicitações de titulares são medidas que podem fortalecer e não enfraquecer a própria atuação jurídica.

No fim, talvez exista uma contradição que sintetize todo o problema: o Jurídico pode conhecer profundamente a LGPD e, ainda assim, conhecer pouco sobre o ciclo de vida dos dados pessoais dentro de sua própria operação.

Por isso, uma pergunta simples pode servir como ponto de partida para qualquer organização que queira avaliar a maturidade do seu programa de privacidade:

se o ROPA da sua empresa fosse aberto hoje, seria possível enxergar com clareza tudo o que acontece com os dados pessoais depois que eles chegam ao departamento Jurídico?

Se a resposta não for imediata, talvez o próximo processo a ser revisado pelo Jurídico deva ser o seu próprio.

Referências

https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/guia_agentes_de_tratamento_e_encarregado___defeso_eleitoral.pdf
https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/guia_atuacao_encarregado_anpd.pdf

https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/radar-tecnologico-ia-generativa.pdf

https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/relatorio-de-impacto-a-protecao-de-dados-pessoais-ripd
https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes
https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes_anpd/resolucao-cd-anpd-no-19-de-23-de-agosto-de-2024
https://www.planalto.gov.br/ccivil_03/constituicao/constituicao.htm
https://www.planalto.gov.br/ccivil_03/leis/2002/l10406compilada.htm
https://www.gov.br/anpd/pt-br/acesso-a-informacao/perguntas-frequentes

O Papel da DPO Expert na Governança e Prevenção de Riscos

A DPO Expert apoia organizações na estruturação de uma abordagem completa de privacidade e proteção de dados aplicada aos processos do departamento Jurídico, considerando todo o ciclo de vida das informações, desde o recebimento e utilização dos dados em processos, contratos e demais atividades jurídicas até sua retenção, arquivamento e descarte. Essa atuação envolve o mapeamento dos fluxos de dados e sua adequada inclusão no ROPA, a definição das bases legais aplicáveis, a gestão de acessos e compartilhamentos, a avaliação de escritórios externos, sistemas jurídicos e LegalTechs, a adoção de critérios para o uso de ferramentas de Inteligência Artificial, bem como a definição de regras de retenção e descarte e a avaliação das medidas técnicas e administrativas necessárias à adequada proteção das informações tratadas pelo Jurídico.

Dessa forma, a DPO Expert não apenas viabiliza a conformidade com a LGPD, mas contribui diretamente para o aumento da maturidade organizacional em proteção de dados, posicionando a empresa de forma mais segura, competitiva e preparada para os desafios do ambiente digital.

Clique aqui e veja como a DPO Expert pode proteger sua empresa.

Siga nossa página no LinkedIn