LGPD e gestão de certificados digitais no escritório contábil: o que muda na prática

O escritório contábil que armazena certificados digitais de vinte, cinquenta ou cem clientes está sentado em cima de um volume enorme de dados pessoais sensíveis, e muitas vezes isso pode passar despercebido.

O foco costuma estar todo voltado para o titular do certificado, que precisa proteger seus próprios dados, mas raramente se para para pensar no escritório enquanto agente de tratamento dentro dessa engrenagem.

Esse ponto cego é compreensível. A LGPD costuma ser discutida do ponto de vista de quem sofre o vazamento, não de quem guarda a chave de acesso.

Só que o escritório que armazena tokens, senhas e credenciais de certificado de clientes exerce, na prática, uma atividade de tratamento de dados pessoais o tempo inteiro, e isso traz obrigações concretas que não desaparecem só porque o foco público da lei costuma recair sobre outro personagem da história.

Este artigo trata exatamente desse lado pouco explorado: o escritório contábil como operador de dados de certificados de terceiros. Vamos entender a base legal que sustenta esse tratamento, o que muda na forma de armazenar e reter esses dados, qual é a responsabilidade do escritório na cadeia da LGPD e como se adequar sem criar uma rotina burocrática desproporcional ao tamanho do escritório.

Por que a gestão de certificados digitais de clientes é uma atividade regulada pela LGPD?

Antes de qualquer ajuste prático, é preciso entender por que essa atividade cotidiana do escritório entra, de fato, no radar da legislação de proteção de dados.

De que forma o certificado digital e os dados associados se enquadram na definição de dados pessoais?

O certificado digital pode conter ou estar associado a dados pessoais do titular, como CPF, nome e e-mail, quando se tratar de pessoa natural. No caso de certificados vinculados a empresas, o CNPJ, isoladamente, não é dado pessoal para fins da LGPD, embora o certificado possa estar associado a dados pessoais de sócios, administradores, representantes e outras pessoas naturais.

Além disso, o acesso proporcionado pelo certificado pode permitir ao escritório consultar diferentes informações relacionadas a pessoas naturais, dependendo dos sistemas acessados e das permissões concedidas.

Quando essas informações se enquadram na definição de dado pessoal, seu armazenamento, acesso e utilização constituem operações de tratamento sujeitas à LGPD.

Qual é a base legal que autoriza o escritório a tratar esses dados sem violar a legislação?

A LGPD prevê diversas bases legais que autorizam o tratamento de dados, e para a relação entre escritório contábil e cliente, a mais aplicável costuma ser a execução de contrato, já que o manuseio do certificado é necessário para prestar o próprio serviço contábil contratado.

Essa base dispensa, em regra, a necessidade de um consentimento formal separado para cada ato de tratamento diretamente vinculado à execução do serviço.

Ainda assim, é recomendável que o contrato de prestação de serviços deixe explícito que o tratamento de dados relacionados ao certificado digital é parte necessária da execução contratual, reforçando essa base legal de forma documentada, em vez de depender apenas de uma interpretação implícita da relação comercial estabelecida.

O que o escritório precisa mudar na forma de armazenar e acessar certificados de clientes?

Entender a base legal é o primeiro passo, mas a adequação prática exige revisar hábitos operacionais que muitos escritórios mantêm há anos sem qualquer questionamento.

De que maneira o consentimento do titular do certificado deve ser documentado pelo escritório?

Mesmo quando a base legal principal é a execução do contrato, formalizar por escrito a autorização específica para armazenamento e uso do certificado reforça a transparência da relação e reduz o risco de disputa futura.

O ideal é que essa autorização descreva, de forma objetiva, quais dados serão acessados, para qual finalidade e por quanto tempo o escritório manterá a custódia daquele certificado.

Esse documento não precisa ser complexo, mas precisa existir de forma consistente para todos os clientes atendidos, e não apenas para os casos que geram mais volume de acesso ao sistema governamental.

Qual é o prazo máximo de retenção dos dados relacionados ao certificado após o encerramento do contrato?

A LGPD estabelece que dados pessoais devem ser mantidos apenas pelo tempo necessário ao cumprimento da finalidade para a qual foram coletados, salvo hipóteses legais específicas de retenção obrigatória, como prazos de guarda fiscal previstos em legislação própria.

Isso significa que, encerrada a relação contratual, o escritório não deveria manter indefinidamente cópias de credenciais, tokens ou dados de acesso ao certificado do ex-cliente.

O procedimento correto envolve devolver ou eliminar essas informações em prazo razoável após o fim do contrato, preservando apenas o que a legislação fiscal e contábil exigir manter por obrigação legal específica, como registros contábeis com prazo próprio de guarda.

Como o escritório deve proceder com dados de certificados de clientes falecidos ou de empresas extintas?

Nesses casos, o escritório deve seguir os mesmos princípios de finalidade e necessidade: manter apenas o que for legalmente exigido para fins de obrigações fiscais e contábeis pendentes, e providenciar a eliminação de credenciais e dados de acesso que não tenham mais utilidade legítima, comunicando, quando aplicável, herdeiros ou responsáveis legais sobre o encerramento dessa custódia.

Qual é o papel do escritório contábil na cadeia de responsabilidade da LGPD?

A LGPD distingue papéis diferentes dentro do fluxo de tratamento de dados, e entender em qual papel o escritório se encaixa é essencial para saber exatamente quais obrigações lhe cabem.

De que forma o escritório se enquadra como controlador ou operador de dados nessa relação?

A classificação do escritório como controlador ou operador depende da finalidade e da forma como o tratamento é realizado em cada situação.

Quando o escritório trata dados pessoais por conta do cliente e de acordo com as instruções recebidas, pode atuar como operador. Em outras atividades, porém, o próprio escritório pode tomar decisões sobre o tratamento e assumir a posição de controlador.

Essa distinção importa porque o operador tem responsabilidades específicas, como seguir estritamente as instruções do controlador, adotar medidas de segurança adequadas e comunicar incidentes relevantes, mas não assume automaticamente todas as obrigações que recaem sobre quem define as finalidades do tratamento.

Que cláusulas contratuais específicas devem regular o tratamento de dados do certificado do cliente?

O contrato de prestação de serviços contábeis deveria incluir cláusulas específicas que deixem clara essa relação de tratamento de dados, cobrindo pontos como:

• A finalidade específica para a qual o certificado será acessado e utilizado pelo escritório.
• As medidas de segurança adotadas para armazenamento de tokens, senhas e credenciais associadas.
• O prazo de retenção dessas informações e o procedimento de devolução ou eliminação ao final do contrato.
• A forma de comunicação em caso de incidente de segurança que envolva os dados do certificado.

Como um escritório de pequeno porte se adequa à LGPD sem equipe jurídica dedicada?

Adequação não significa necessariamente contratar uma estrutura jurídica robusta.

Muitas medidas eficazes são operacionais e de baixo custo de implementação.

Quais são as ações mínimas de conformidade que o escritório deve implementar em 30 dias?

Um escritório que ainda não tratou esse tema formalmente pode começar com um conjunto enxuto de ações concretas:

• Mapear quantos e quais certificados digitais de clientes estão atualmente sob custódia do escritório.
• Revisar o contrato padrão de prestação de serviços, incluindo cláusulas específicas sobre tratamento de dados do certificado.
• Restringir o acesso aos certificados armazenados a colaboradores que efetivamente precisam dessa informação para exercer suas funções.
• Definir e documentar um procedimento simples de devolução ou eliminação de credenciais ao final de cada contrato encerrado.

De que maneira a CertClick suporta o parceiro contador nesse processo de adequação?

A CertClick não substitui o controle interno do escritório, mas assume uma parte da operação com os certificados dos clientes.

No programa de parceria para contadores, o escritório compra vouchers e a CertClick, Autoridade de Registro parceira da Certificadora Safeweb, cuida da validação, da emissão e do suporte dos certificados.

A emissão é 100% online, com validação de dados e videoconferência, e o suporte é gratuito por WhatsApp, e-mail, telefone e chat. Assim, o escritório concentra a sua parte da adequação nos princípios de segurança e finalidade exigidos pela LGPD: definir quem acessa cada certificado, para quê e por quanto tempo, sem que isso represente um projeto jurídico complexo de implementação.

LGPD como diferencial de confiança do escritório contábil no mercado

Tratar a LGPD apenas como uma obrigação legal a ser cumprida no limite mínimo é desperdiçar uma oportunidade real de diferenciação. Escritórios que demonstram controle rigoroso sobre a custódia de certificados e dados sensíveis de clientes transmitem, na prática, uma mensagem clara de profissionalismo, algo especialmente valioso em um mercado onde a confiança é o principal ativo intangível da relação entre contador e cliente.

Adequar-se à lei, nesse sentido, deixa de ser apenas uma questão de evitar penalidades e passa a ser parte da proposta de valor do escritório, um argumento concreto para atrair novos contratantes que já entendem, cada vez mais, a importância de proteger seus próprios dados.

Perguntas frequentes

O escritório contábil precisa nomear um encarregado de dados (DPO) por causa dos certificados?

Não existe uma obrigação automática de nomeação de encarregado apenas em razão da custódia de certificados digitais. A necessidade de nomear um encarregado depende do volume e da natureza geral do tratamento de dados realizado pelo escritório como um todo, e não exclusivamente dessa atividade específica, embora ter alguém formalmente responsável por essas questões seja sempre uma boa prática de governança.

Um vazamento de dados envolvendo certificado digital precisa ser comunicado à ANPD?

Depende da natureza do incidente e do risco ou dano relevante que ele possa causar aos titulares. Quando o incidente envolver dados pessoais e puder acarretar risco ou dano relevante, o controlador deve comunicar a ANPD e os titulares afetados nos termos da regulamentação aplicável. Atualmente, a Resolução CD/ANPD nº 15/2024 estabelece prazo de três dias úteis para essa comunicação. Em uma situação envolvendo credenciais de certificado digital, o risco deve ser avaliado considerando, entre outros fatores, o tipo de dado envolvido e o potencial de acesso indevido a sistemas ou informações protegidas.

Usar e-mail pessoal para armazenar dados ou credenciais de certificados de clientes viola a LGPD?

Não configura, por si só, uma violação automática, mas representa uma prática de segurança inadequada que aumenta significativamente o risco de exposição indevida desses dados. O ideal é utilizar sistemas próprios do escritório, com controle de acesso adequado, em vez de depender de contas de e-mail pessoais para armazenar informações sensíveis de clientes.

Como o escritório responde se um cliente alegar que não autorizou o tratamento dos seus dados?

Nesse momento, a documentação prévia se torna essencial: o contrato de prestação de serviços com cláusulas específicas sobre tratamento de dados, eventual termo de autorização assinado e o histórico de comunicação com o cliente sobre a custódia do certificado formam o conjunto de evidências que permite ao escritório demonstrar que o tratamento estava respaldado por base legal adequada e devidamente informado ao titular.

Clientes podem solicitar a exclusão dos dados de certificado mesmo durante o contrato ativo?

Podem solicitar, mas essa exclusão precisa ser avaliada em conjunto com as obrigações contratuais e legais ainda vigentes. Se a exclusão dos dados inviabilizar a execução do serviço contratado, o escritório deve explicar essa limitação ao cliente, esclarecendo que alguns dados são necessários para a própria continuidade da prestação de serviço enquanto o contrato permanecer ativo.