LGPD para escritório de contabilidade: você é controlador e operador ao mesmo tempo

18 de setembro de 2026LGPD de Todos14 min de leitura

Um escritório de contabilidade é controlador e operador ao mesmo tempo, e troca de papel várias vezes no mesmo dia. É controlador do cadastro dos próprios clientes e da própria equipe, porque decide sozinho o que fazer com esses dados. É operador quando processa a folha de pagamento dos funcionários do cliente, porque ali quem decide é o cliente. Quase todo material do setor trata o escritório como se ele fosse só uma das duas coisas, e é daí que vem a confusão que custa caro.

A pergunta que o contador realmente tem não é "o que é a LGPD". É outra, mais concreta: até onde vai a minha responsabilidade, e a partir de onde é problema do cliente. Este texto responde isso pela linha que a lei usa, que não é o tipo de empresa e sim quem toma a decisão, e mostra o que precisa estar escrito para essa fronteira existir no dia em que alguém cobrar.

1. Os dois papéis, e por que o escritório tem os dois

A lei separa controlador de operador por um critério só: quem toma a decisão sobre o tratamento. Não é o tamanho da empresa, não é quem tem o sistema, não é quem digita. É quem decide que aquele dado será tratado, para quê e até quando.

Aplicado ao escritório, isso produz duas situações que convivem. Quando o escritório guarda o cadastro dos clientes, o telefone do sócio, o histórico de atendimento e a ficha da própria equipe, ninguém mandou ele fazer isso: ele decidiu. Ali ele é controlador, com todas as obrigações de um, inclusive a de informar essas pessoas e a de atender pedidos delas.

Quando o escritório recebe do cliente a lista de funcionários para processar a folha, a decisão de tratar aqueles dados é do cliente, que é o empregador. O escritório executa em nome dele. Ali ele é operador, e a régua muda: a obrigação central passa a ser seguir instrução, e não decidir. O texto sobre o fornecedor que acessa dados percorre essa posição em geral; aqui o ponto é que o mesmo escritório ocupa as duas ao mesmo tempo.

Vale desmontar três confusões comuns, porque elas aparecem em quase toda conversa sobre o assunto. A primeira é achar que quem tem o sistema é o controlador: o sistema é ferramenta, e a decisão continua de quem contratou. A segunda é achar que operador tem menos obrigação: ele tem obrigações diferentes, e algumas são idênticas, como segurança e comunicação de incidente. A terceira é achar que o papel se define por contrato: o contrato registra, e não inventa. Se o escritório decide sozinho, ele é controlador, ainda que o contrato diga o contrário.

2. O que é seu e o que é do cliente

A separação fica clara quando você passa a lista de dados que o escritório tem e pergunta, item a item, quem decidiu que aquilo seria tratado. A tabela faz isso com o que aparece em qualquer escritório, do menor ao maior.

Repare em uma linha que costuma passar batida: a prospecção. Enviar proposta para empresa que nunca foi cliente é tratamento decidido pelo escritório, portanto posição de controlador, e precisa de base legal como qualquer outro. O texto sobre promoção por WhatsApp e e-mail explica o que sustenta esse envio e o que não sustenta.

3. O dado sensível que entra sem convite

O escritório de contabilidade trata dado sensível todo mês, e quase nunca se vê tratando. Ele não coleta por um campo chamado "saúde": recebe atestado médico para justificar falta, exame ocupacional na admissão e no desligamento, e documento que revela condição de saúde para efeito de benefício ou de isenção.

Dado de saúde está na lista fechada do Art. 5º, II, e o efeito prático é que ele muda de regime. As hipóteses que autorizam tratá-lo estão no Art. 11, que tem lista própria e mais estreita que a do Art. 7º, e nela não existe legítimo interesse. O texto sobre o que é dado sensível mostra a lista inteira e o parágrafo que alcança o dado comum que apenas revela um sensível.

Há um segundo dado que entra pela porta da frente e ninguém repara: o de criança. A declaração de imposto de renda pede o CPF dos dependentes, inclusive de crianças pequenas, e o escritório passa a ter nome, CPF e data de nascimento de filhos de clientes e de funcionários de clientes guardados em pasta. O Art. 14 trata especificamente de dados de crianças e adolescentes, e o que ele exige está no texto sobre dados de crianças e adolescentes.

4. A cláusula que o cliente vai cobrar

Na posição de operador, a obrigação central do escritório é seguir a instrução do controlador, e instrução que não está escrita não existe no dia em que alguém cobra. É por isso que a cláusula de proteção de dados no contrato de serviço contábil deixou de ser detalhe.

Note que o artigo cria dever dos dois lados. O escritório segue a instrução, e o cliente verifica se ela está sendo seguida. Essa segunda metade é o que explica o movimento que chegou aos escritórios nos últimos anos: cliente maior pedindo evidência, questionário, política de segurança. Não é excesso de zelo dele, é obrigação legal dele. O texto sobre como responder ao questionário do cliente mostra o que costuma ser pedido e como responder sem prometer o que não existe.

O que precisa estar escrito cabe em uma página, e é menos jurídico do que parece. Quais dados o escritório recebe e para quê. O que ele pode e o que não pode fazer com eles, inclusive se pode usar subcontratado e qual. Quem no escritório tem acesso. Por quanto tempo ele guarda depois de processar. O que cada lado faz quando houver incidente, com prazo e com quem avisa quem. E o que acontece no fim do contrato: devolve, elimina, ou guarda o que a lei manda guardar e elimina o resto.

5. Por quanto tempo o escritório guarda

O escritório costuma guardar duas coisas diferentes pelo mesmo prazo, e isso é um erro que sai caro em espaço e em risco. Uma é o que a lei obriga a manter, com prazo que vem do direito tributário e do trabalhista. A outra é a cópia de conveniência, aquela que fica porque é mais fácil não apagar.

A LGPD não fixa prazo nenhum. Ela manda eliminar quando a finalidade acaba, no Art. 15 e no Art. 16, e ressalva o que outras leis obrigam a guardar. Quem fixa prazo é a lei tributária, a trabalhista e o Código Civil, e o texto sobre por quanto tempo guardar os dados traz a tabela com o prazo de cada uma e o dispositivo de onde ele sai.

O ponto próprio do escritório é outro, e vale pensar com calma: parte do que ele guarda não é dele. É cópia de documento do cliente, mantida por comodidade de atendimento. Quando essa cópia não é obrigatória e não está prevista no contrato, ela é acúmulo puro, e acúmulo é exposição. Uma regra escrita de descarte, aplicada uma vez por ano, resolve, e o descarte precisa de registro para valer como prova de que foi feito.

6. Os quatro lugares onde vaza na prática

Incidente em escritório de contabilidade quase nunca é invasão: é rotina que virou hábito. Quatro situações aparecem com frequência, e nenhuma das quatro precisa de equipe técnica para ser resolvida.

O arquivo que viaja por mensagem. A folha sai por aplicativo porque é rápido, e a partir daí existe cópia no aparelho de quem mandou, no de quem recebeu, no backup dos dois e às vezes em um grupo com gente que nem trabalha mais lá. A lei não proíbe aplicativo nenhum: o Art. 46 exige medida adequada ao risco, e o risco de uma folha de pagamento é alto. O caminho razoável é separar aviso de arquivo.

A senha compartilhada de portal. Um login usado por quatro pessoas transforma qualquer registro de acesso em ficção, porque todo mundo é a mesma pessoa no log. E, quando alguém sai, a única saída é trocar a senha de todos. Acesso individual não custa dinheiro e é a medida que mais melhora a capacidade de demonstrar o que aconteceu.

O ex-funcionário que continua entrando. É o defeito mais comum e o mais silencioso. Vale ter uma lista do que cada pessoa acessa, feita uma vez, e usá-la como roteiro no dia do desligamento. O texto sobre segurança quando você não tem TI traz o conjunto mínimo para quem não tem equipe técnica.

O e-mail que vai para o cliente errado. Autocompletar de destinatário é a causa de uma parte grande dos incidentes reportados em qualquer setor, e no contábil o anexo costuma ser exatamente o que não deveria circular. Quando acontecer, existe procedimento, e ele começa antes do aviso ao titular. O texto sobre quando comunicar a ANPD e os clientes mostra o teste que decide.

7. O que ter, e em que ordem

Para um escritório de contabilidade, a adequação tem uma ordem que evita refazer trabalho, e ela começa pela separação dos dois papéis. Sem isso, todo documento sai descrevendo uma empresa que é metade escritório e metade cliente.

Primeiro, liste o que o escritório trata e marque cada linha como controlador ou operador. Essa lista é o registro das operações de tratamento, que o Art. 37 cobra e que a Resolução CD/ANPD nº 2/2022 aceita em formato simplificado para o agente de tratamento de pequeno porte. Segundo, escreva o aviso de privacidade da parte em que você é controlador, que é a que fala com os seus clientes e com a sua equipe. Terceiro, leve para o contrato a parte em que você é operador, que é a cláusula da seção anterior.

Depois vêm as medidas que valem para os dois papéis, e que são as mesmas de qualquer empresa: acesso individual, separação do que é sensível, prazo de descarte escrito, canal para pedidos de titular e um combinado de incidente. O texto sobre quais documentos a sua empresa precisa mostra quais desses viram papel e quais são só rotina registrada.

8. Perguntas frequentes

Escritório de contabilidade é controlador ou operador?

Os dois, e em operações diferentes. É controlador dos dados que trata por decisão própria: o cadastro dos clientes, a própria equipe, a lista de contatos, o histórico de atendimento. É operador quando trata dados por decisão do cliente, seguindo as instruções dele, como a folha de pagamento dos funcionários do cliente ou a base de notas fiscais. O Art. 5º separa os dois pelo critério de quem decide, e não pelo tipo de empresa. Um mesmo escritório troca de papel várias vezes no mesmo dia.

Escritório de contabilidade precisa ter um encarregado?

Precisa ter um canal que funcione, e quase sempre não precisa indicar formalmente. O Art. 41 manda o controlador indicar encarregado, e a Resolução CD/ANPD nº 2/2022 dispensa o agente de tratamento de pequeno porte dessa indicação, desde que mantenha um canal de comunicação com o titular e com a ANPD. A dispensa não vale para quem faz tratamento de alto risco. Na prática, o que a maioria dos escritórios precisa é de um endereço publicado que alguém leia e responda dentro do prazo.

Preciso fazer contrato novo com cada cliente por causa da LGPD?

Não necessariamente um contrato novo, mas o contrato precisa dizer o que o escritório faz com os dados. O Art. 39 obriga o operador a tratar segundo as instruções do controlador, e instrução que não está escrita não existe quando alguém cobra. Um aditivo de uma página costuma resolver: quais dados, para quê, por quanto tempo, quem acessa, o que acontece no fim do contrato e o que cada lado faz em caso de incidente. Isso também protege o escritório, porque delimita até onde vai a responsabilidade dele.

Posso enviar folha de pagamento por WhatsApp?

A lei não proíbe nenhum aplicativo, e essa é a parte que confunde. O que o Art. 46 exige é medida de segurança adequada ao risco, e folha de pagamento com salário, CPF e dependentes tem risco alto. O problema do envio por aplicativo de mensagem não é o aplicativo: é que a cópia fica no aparelho de quem recebeu, no aparelho de quem mandou, no backup dos dois, e muitas vezes em um grupo. Se o envio por mensagem for inevitável, o caminho razoável é mandar o aviso pelo aplicativo e o arquivo por um canal com controle de acesso.

Se os dados vazarem no cliente, o escritório responde?

Depende de quem causou e do que estava escrito. O Art. 42 obriga a reparar o dano quem o causou no exercício da atividade de tratamento, e o § 1º, I diz que o operador responde solidariamente quando descumpre a lei ou quando não segue as instruções lícitas do controlador, caso em que se equipara ao controlador. Ou seja, seguir instrução escrita é o que mantém o escritório na posição de operador. Sem instrução escrita, a discussão sobre quem decidiu o quê acontece depois do dano, que é o pior momento possível.

Fontes: Lei nº 13.709/2018 (LGPD), Arts. 5º, 7º, 11, 14, 15, 16, 37, 39, 41, 42 e 46 · Resolução CD/ANPD nº 2/2022

Publicado por LGPD de Todos, projeto da EFAR Consultoria em TI. Veja como produzimos os nossos textos.