LGPD e envio de documentos contábeis: o que escritórios precisam saber

Holerite tem CPF, valor de salário, descontos, dependentes. DARF tem dados de contribuinte. Balancete tem dados financeiros sensíveis. Tudo isso é dado pessoal sob a LGPD — e quando você envia, vira responsável pelo tratamento. Esse artigo mostra o que muda na rotina do escritório e os ajustes mínimos para ficar conforme.

Quem é o controlador e quem é o operador

Pela LGPD, o cliente (empresa contratante) normalmente é o controlador dos dados de seus funcionários — ele decide o que coletar e por quê. O escritório contábil atua como operador: trata os dados em nome do controlador, conforme contrato. Isso muda completamente as obrigações:

• O contrato de prestação de serviço precisa de cláusula específica de tratamento de dados.
• O escritório precisa demonstrar segurança técnica adequada (não vale "mando por WhatsApp pessoal").
• Em incidente de vazamento, o operador notifica o controlador, que notifica a ANPD.

Os 6 ajustes mínimos para escritórios

1. Adicione cláusula de operador no contrato

Inclua no contrato com o cliente o papel do escritório como operador, finalidades autorizadas, prazo de retenção e protocolo de incidente. Sem essa cláusula, o tratamento fica sem base legal definida e o risco aumenta.

2. Pare de enviar PDF como anexo direto

Anexo em email ou WhatsApp circula descontroladamente. Vai parar em backup do Gmail, no histórico do dispositivo do destinatário, em encaminhamento. Use link expirado e rastreado em vez de anexo. Você reduz superfície de exposição e tem auditoria de acesso.

3. Limite o destinatário

Holerite vai pra colaborador específico, não pro grupo do RH no WhatsApp. Quanto mais ampla a audiência inicial, maior o risco de vazamento secundário. Cada documento, um destinatário identificado.

4. Tenha registro de acesso (audit log)

A LGPD exige que você consiga responder "quem acessou esses dados, quando, de onde" — em até 15 dias após pedido do titular. Sem log estruturado, você não consegue cumprir esse direito.

5. Defina retenção e tenha política de descarte

Documento contábil tem prazo legal mínimo (5 anos pra fiscal, por exemplo), mas não pode ficar para sempre. Defina o ciclo de vida e descarte ao fim — comprovando o descarte com log.

6. Nomeie um DPO (mesmo que externo)

Encarregado pelo Tratamento de Dados (DPO/EPD) é obrigatório para tratamentos significativos. Pode ser interno, externo ou terceirizado. Para escritório pequeno, um advogado parceiro com expertise em LGPD costuma resolver.

O que pedir do seu fornecedor de software

1. Hospedagem com isolamento por cliente (multi-tenancy real, não pasta compartilhada).
2. Hash criptográfico dos arquivos (integridade).
3. URLs assinadas com expiração (link não vaza após o prazo).
4. Audit log imutável de acessos.
5. Política de retenção configurável por tipo de documento.
6. Processador de dados localizado no Brasil ou em país com adequação reconhecida pela ANPD.
7. DPA (Data Processing Agreement) assinado entre seu escritório e o fornecedor.

O que vale pra envio rastreado e LGPD

Plataformas que enviam por link único com tracking imutável se alinham naturalmente com várias exigências da LGPD: limitação por destinatário, audit log, retenção configurável, hash de integridade. O meudoc.cloud opera nesse modelo desde o primeiro envio. Veja também os 7 elementos de um recibo válido — o sistema já cobre os requisitos de prova exigidos pela ANPD em caso de incidente.