LGPD no site do escritório de advocacia: política de privacidade, formulário, cookies e WhatsApp

A LGPD no site do escritório de advocacia se resolve em quatro pontos: uma política de privacidade que diga o que o site coleta e para quê, formulários que pedem só o necessário, um banner de cookies que permita recusar o que não é essencial e cuidado com o caminho que a conversa faz quando o visitante clica no WhatsApp. A Lei 13.709/2018 vale para o escritório como vale para qualquer controlador de dados, e o site é a primeira vitrine dessa conformidade para quem chega pela busca ou pelo anúncio.

Onde o site do escritório trata dados pessoais

Para a LGPD, dado pessoal é a “informação relacionada a pessoa natural identificada ou identificável” (art. 5º, I), e tratamento é qualquer operação com ele, da coleta ao armazenamento e à eliminação (art. 5º, X). Em um site de advocacia, isso acontece em mais lugares do que parece:

• formulário de contato e de orçamento;
• botão de WhatsApp, que leva a conversa para fora do site;
• inscrição na newsletter;
• cookies de medição (Google Analytics) e de anúncios (Google Ads, Meta);
• chatbot, quando existe;
• registros de acesso guardados pela hospedagem.

O escritório é o controlador, a quem competem as decisões sobre o tratamento (art. 5º, VI). Hospedagem, ferramenta de e-mail, plataforma do formulário e ferramentas de medição atuam como operadores, que tratam dados em nome do controlador (art. 5º, VII) e seguem as instruções dele (art. 39).

Política de privacidade do escritório

O art. 9º da LGPD garante ao titular acesso facilitado a informações claras, adequadas e ostensivas sobre o tratamento. A política de privacidade é o lugar dessas informações no site. Pelos incisos do art. 9º, ela precisa trazer:

1. a finalidade específica de cada tratamento (responder ao contato, enviar a newsletter, medir visitas);
2. a forma e a duração do tratamento;
3. a identificação do controlador, com nome e dados do escritório;
4. as informações de contato do controlador;
5. o uso compartilhado de dados e a finalidade (hospedagem, ferramenta de e-mail, Google, Meta);
6. as responsabilidades dos agentes que realizam o tratamento;
7. os direitos do titular, com menção explícita ao art. 18 (confirmação, acesso, correção, eliminação, revogação do consentimento, entre outros).

Vale incluir também a hipótese legal de cada tratamento (art. 7º), a política de cookies e a data da última atualização. A política descreve o que o site faz de verdade. Modelo copiado de outro site pode listar ferramentas que o escritório não usa e esquecer as que usa. A “política de privacidade escritório de advocacia” que o Google sugere como busca é, no fim, um texto que só o próprio escritório pode fechar.

Encarregado ou canal de atendimento

O art. 41 pede que o controlador indique um encarregado e divulgue a identidade e o contato dele de forma clara, “preferencialmente no sítio eletrônico do controlador” (§ 1º). A Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, dispensa os agentes de tratamento de pequeno porte dessa indicação (art. 11), desde que mantenham um canal de comunicação com o titular (§ 1º). A dispensa não vale para quem realiza tratamento de alto risco ou ultrapassa o limite de receita definido no art. 3º da resolução. Cada escritório precisa conferir o próprio enquadramento. Em qualquer caso, o contato para assuntos de privacidade aparece na política e no rodapé do site.

Formulário de contato

O formulário é um dos principais pontos de coleta do site, e o princípio da necessidade (art. 6º, III) orienta cada campo: limitar a coleta ao mínimo necessário para a finalidade. Para um primeiro contato, bastam nome, telefone ou e-mail, área do problema e cidade.

A hipótese legal do formulário de contato costuma ser o art. 7º, V: tratamento necessário para procedimentos preliminares relacionados a contrato, a pedido do titular. A pessoa pediu para ser atendida, e o escritório usa os dados para responder. Na prática, o formulário ganha três ajustes:

• Aviso curto acima do botão: “Usamos estes dados só para responder ao seu contato. Veja a política de privacidade”, com o link.
• Campo de mensagem com orientação: “Conte em poucas linhas o assunto. Detalhes e documentos ficam para a conversa com o advogado.” Isso evita que dados sensíveis, como os de saúde em casos previdenciários (art. 5º, II, e art. 11), cheguem por um canal aberto.
• Newsletter separada: se o formulário oferece inscrição, ela tem caixa própria, desmarcada. O consentimento se refere a finalidades determinadas, e autorizações genéricas são nulas (art. 8º, § 4º).

Os envios precisam chegar a uma caixa de e-mail protegida, com acesso restrito a quem atende. O guia de e-mail marketing para advogados detalha o formulário de inscrição da newsletter.

Cookies e banner de consentimento

Em 18 de outubro de 2022, a ANPD lançou o guia orientativo “Cookies e Proteção de Dados Pessoais”. Ele separa os cookies estritamente necessários, que fazem o site funcionar, dos demais (analíticos e de publicidade). Para os necessários, o guia aponta o legítimo interesse como hipótese legal possível. Para os outros, o caminho é o consentimento. As boas práticas que o guia lista para o banner:

• no primeiro nível, um botão para rejeitar todos os cookies não necessários, fácil de ver, ao lado do botão de aceitar;
• no segundo nível, as categorias de cookies descritas pela finalidade, com escolha por categoria;
• cookies baseados em consentimento desativados por padrão;
• link fácil para o titular exercer seus direitos.

O guia também lista o que evitar: banner com um único botão “Aceito” ou “Ciente”, botão de rejeitar escondido ou com menos destaque e cookies não necessários já ativados. Para o escritório, isso significa configurar o Google Analytics, a tag do Google Ads e o pixel do Meta para só funcionarem depois do aceite. Parte dos visitantes vai recusar, e a medição passa a contar menos que o total. O guia como medir resultados do marketing jurídico mostra como fechar essa conta com a origem anotada no atendimento.

WhatsApp do escritório e LGPD

“LGPD WhatsApp Business” e “LGPD contato via WhatsApp” aparecem no autocompletar do Google. Quando o botão de WhatsApp é o principal canal de contato do site, a conversa sai da página e passa a correr em um aplicativo de terceiro. Além da LGPD, entra o sigilo profissional: o art. 36, § 1º, do Código de Ética e Disciplina presume confidenciais as comunicações de qualquer natureza entre advogado e cliente.

Cuidados práticos

• Número do escritório: uma conta comercial do escritório, em aparelho do escritório, com bloqueio de tela e verificação em duas etapas, em vez do celular pessoal de quem estiver de plantão.
• Acesso definido: quem lê e responde, e o que acontece com a conversa quando essa pessoa sai do escritório.
• Mensagem automática inicial: além de avisar o prazo de resposta, pode trazer o link da política de privacidade.
• Documentos no momento certo: pedir documentos pessoais e de saúde só quando forem necessários para o atendimento, e guardar cópias no sistema do escritório, com prazo para eliminar o que não serve mais (art. 15 e art. 16 da LGPD).
• Grupos com cuidado: colocar clientes em um grupo expõe o telefone de cada um aos demais. Listas de transmissão ou mensagens individuais evitam isso.

A configuração do aplicativo, as mensagens automáticas e a triagem estão no guia de WhatsApp para advogados.

Se o atendimento inicial usa chatbot, o Anexo Único do Provimento 205 permite o uso para dúvidas iniciais e coleta de dados, e a Recomendação 001/2024 do Conselho Federal da OAB pede que ele informe de forma transparente que se trata de uma máquina (item 2.4). O guia sobre inteligência artificial para advogados trata disso com mais detalhe.

Segurança do site

O art. 46 da LGPD pede medidas de segurança, técnicas e administrativas, para proteger os dados de acessos não autorizados e de incidentes, e o § 2º diz que elas valem desde a concepção do serviço. Se acontecer um incidente que possa causar risco ou dano relevante, o art. 48 obriga o controlador a comunicar a ANPD e os titulares. No site, a base é:

• certificado de segurança (HTTPS) em todas as páginas;
• WordPress, tema e plugins atualizados, com o mínimo de plugins possível;
• backup automático, guardado fora do servidor do site;
• acessos individuais ao painel, com senha forte e verificação em duas etapas;
• remoção dos acessos de quem não trabalha mais no projeto.

Checklist LGPD para o site do escritório

1. Política de privacidade com os itens do art. 9º, a hipótese legal de cada tratamento e a data de atualização.
2. Contato do encarregado, ou o canal de atendimento ao titular, na política e no rodapé.
3. Formulários com campos mínimos, aviso com link para a política e caixa separada para a newsletter.
4. Banner de cookies com botão de rejeitar e ferramentas de medição e anúncio só depois do aceite.
5. WhatsApp do escritório em conta e aparelho do escritório, com acesso definido.
6. Chatbot, se houver, identificado como máquina e sem responder consulta jurídica.
7. HTTPS, atualizações, backup e acessos revisados.
8. Lista dos operadores (hospedagem, e-mail, formulário, medição) e do que cada um recebe.

Estrutura pronta, texto do escritório. A Fysi constrói o site com o que a LGPD pede na página: política de privacidade publicada, formulários com aviso e caixa separada para a newsletter, banner de cookies e medição que respeita o aceite. O texto jurídico da política fica com o escritório, que conhece os próprios tratamentos. Veja a criação de sites para advogados.

Perguntas frequentes

Escritório de advocacia precisa de política de privacidade no site?

Se o site coleta dados pessoais, por formulário, cookies ou newsletter, precisa informar o titular de forma clara e acessível, como manda o art. 9º da LGPD. A política de privacidade é o documento que cumpre esse papel no site.

Preciso de banner de cookies?

Se o site usa cookies além dos estritamente necessários, como os do Google Analytics ou do pixel do Meta, o guia da ANPD de 2022 orienta usar banner com opção de rejeitar e com esses cookies desativados por padrão.

Escritório pequeno precisa de encarregado (DPO)?

A Resolução CD/ANPD nº 2/2022 dispensa os agentes de tratamento de pequeno porte de indicar encarregado (art. 11), desde que mantenham um canal de comunicação com o titular. A dispensa não vale em casos de tratamento de alto risco ou acima do limite de receita da resolução.

Posso pedir detalhes do caso no formulário do site?

O ideal é pedir só o necessário para o primeiro contato (art. 6º, III, da LGPD) e deixar os detalhes para a conversa com o advogado. Relatos de saúde e documentos pessoais são dados sensíveis e pedem mais cuidado.

Conversa de WhatsApp com cliente entra na LGPD?

Entra, porque envolve dados pessoais, e também está protegida pelo sigilo profissional (art. 36, § 1º, do Código de Ética). Use conta e aparelho do escritório, defina quem tem acesso e guarde documentos no sistema do escritório.