Software para advogado de LGPD: o prazo que começa a correr por telefone
Segurança · · 5 min de leitura · Equipe Adv3
Quem atende LGPD não tem processo, tem obrigação recorrente. Um software para advogado de LGPD precisa dar conta de três coisas que o cadastro de processos não modela: um prazo de três dias úteis que começa quando o cliente descobre o incidente, pedidos de titulares com quinze dias cada e em volume, e um registro de operações de tratamento que é documento vivo por cliente, não entrega única.
Escolher um software para advogado de LGPD não é escolher entre os mesmos sistemas de sempre, porque o calendário desse trabalho é outro. Nada é publicado, nada é intimado, e o prazo mais grave começa a correr no instante em que o cliente descobre alguma coisa, geralmente numa ligação de sexta à noite.
Três dias úteis, contados do conhecimento
O art. 48 da LGPD manda o controlador comunicar à autoridade nacional e ao titular o incidente de segurança que possa acarretar risco ou dano relevante, em prazo razoável "conforme definido pela autoridade nacional".
Quem definiu foi a Resolução CD/ANPD nº 15, de 24 de abril de 2024, que aprovou o regulamento de comunicação de incidente. O prazo é de três dias úteis, e o marco inicial não é o incidente: é o conhecimento, pelo controlador, de que o incidente afetou dados pessoais. Há ainda vinte dias úteis para complementar informações de forma fundamentada, e o prazo conta em dobro para agentes de pequeno porte, o que cobre boa parte da carteira de um escritório médio. Detalhes e o canal oficial estão na página da ANPD sobre comunicação de incidentes. Conferido em 19/08/2026.
O que isso significa operacionalmente: a data mais importante do atendimento é a data em que o cliente soube, e ela precisa ser registrada na primeira conversa, porque ninguém mais vai registrá-la. É o oposto do contencioso, onde a data vem carimbada de fora.
Quinze dias por titular, e eles não vêm um por vez
O art. 19, II, fixa quinze dias, contados do requerimento, para a declaração clara e completa sobre os dados tratados. O inciso I exige o formato simplificado imediatamente.
O problema aqui não é o prazo, é a quantidade. Um cliente com base grande gera pedidos em fluxo contínuo, cada um com relógio próprio, e nenhum deles tem número de processo, comarca ou parte adversa. Cadastrar cada requisição como se fosse um caso entope a lista de processos; deixar tudo por e-mail perde o prazo do décimo pedido.
| Obrigação | Prazo | Onde está |
|---|---|---|
| Confirmação em formato simplificado | Imediato | LGPD, art. 19, I |
| Declaração clara e completa | 15 dias do requerimento | LGPD, art. 19, II |
| Comunicação do incidente à ANPD | 3 dias úteis do conhecimento | Res. CD/ANPD 15/2024 |
| Comunicação do incidente ao titular | 3 dias úteis do conhecimento | Res. CD/ANPD 15/2024 |
| Complementação da comunicação | 20 dias úteis | Res. CD/ANPD 15/2024 |
O registro de operações é documento vivo
O art. 37 obriga controlador e operador a manter registro das operações de tratamento, especialmente quando fundadas no legítimo interesse. Na prática do escritório, esse registro costuma ser entregue uma vez, aprovado, e nunca mais tocado.
Ele envelhece rápido: o cliente contrata uma ferramenta nova, muda de folha de pagamento, abre um canal de atendimento. Cada mudança altera o registro, e é a versão vigente na data do incidente que vai ser cobrada.
Um sistema que sirva para isso precisa guardar versões datadas por cliente, não o arquivo mais recente. É a mesma exigência da gestão de contratos empresariais: o que importa é o que valia naquele dia.
Por que um software para advogado de LGPD não é o de sempre
Três desencontros, e são estruturais:
- Não há processo. A maior parte do trabalho nunca vira autos. Um sistema organizado em torno de número CNJ deixa o principal fora.
- O honorário é recorrente. Encarregado como serviço se cobra por mês, e não por êxito nem por ato, o que puxa a lógica dos honorários recorrentes e não a do contencioso.
- O material é sensível por definição. O escritório passa a guardar inventário de dados de terceiros, o que torna as permissões de acesso da equipe parte do serviço, e não detalhe de configuração.
Há uma ironia útil aqui: o escritório que vende adequação precisa estar adequado. Cliente pergunta, e a resposta honesta depende de a LGPD no próprio escritório estar resolvida antes.
O que avaliar numa ferramenta
- Dá para cadastrar demanda sem número de processo, com prazo próprio e responsável?
- Dá para ter prazo em horas ou dias úteis curtos, e aviso que chegue a tempo num prazo de três dias?
- Dá para versionar documento por cliente, mantendo o que valia em cada data?
- Dá para restringir quem abre o quê, dentro da equipe?
- Dá para exportar tudo depois, sem depender de quem vendeu?
Perguntas frequentes
Qual o prazo para comunicar um incidente à ANPD?
Três dias úteis, contados do conhecimento pelo controlador de que o incidente afetou dados pessoais, pela Resolução CD/ANPD nº 15/2024. O prazo é contado em dobro para agentes de pequeno porte.
O prazo conta do incidente ou da descoberta?
Da descoberta. O marco é o conhecimento pelo controlador de que o incidente afetou dados pessoais, e não a data em que o incidente ocorreu.
Todo incidente precisa ser comunicado?
Não. O art. 48 da LGPD trata do incidente que possa acarretar risco ou dano relevante aos titulares. A avaliação é do controlador, com apoio do encarregado, e é justamente a decisão que precisa ficar documentada.
Software jurídico comum serve para atender LGPD?
Serve para a parte contenciosa e para a organização do escritório. O que ele não costuma ter é fila de requisições de titulares com prazo individual e versão datada do registro de operações, que é onde o trabalho realmente acontece.
Como o Adv3 trata isso
No Adv3 dá para tocar o cliente de LGPD sem número de processo, abrir cada incidente ou pedido de titular como caso com prazo, responsável e aviso, guardar as versões dos documentos com a data em que entraram e limitar por permissão quem enxerga o material de cada cliente.
O que o Adv3 não faz, e vale dizer claramente: não existe módulo de LGPD. Não há inventário de dados, não há mapeamento de tratamento, não há relatório de impacto, não há integração com a ANPD nem canal de titular pronto para publicar no site do cliente. Escritório cuja carteira é só proteção de dados vai querer uma ferramenta especializada para o inventário, e pode usar o Adv3 para o que sobra: o escritório em volta do serviço.