Proteção de Dados·30 jun 2026·9 min

RGPD no escritório de advocacia: o que a Ordem exige e o que o Regulamento acrescenta

Um escritório trata dados sensíveis por natureza — saúde, condenações, situação financeira. O segredo profissional cobre parte do problema, mas não dispensa registo de tratamentos, contratos com subcontratantes nem resposta a violações em 72 horas.

Última atualização: junho de 2026.

Há uma ideia confortável e errada que circula em muitos escritórios: «nós temos segredo profissional, portanto o RGPD é assunto de outros».

O segredo profissional e a proteção de dados respondem a perguntas diferentes. O segredo diz o que não pode ser revelado. O RGPD diz como se pode tratar — com que fundamento, durante quanto tempo, com que medidas de segurança e com que obrigações perante o titular dos dados. Um escritório pode cumprir escrupulosamente o segredo e, ainda assim, estar em incumprimento do Regulamento.

E a advocacia é, por natureza, um tratamento de risco elevado: processa-se rotineiramente informação sobre saúde, condenações penais, situação financeira e vida familiar — de clientes e também de terceiros que nunca contactaram o escritório.

Índice

O enquadramento aplicável em Portugal

Três camadas, que devem ser lidas em conjunto:

  1. Regulamento (UE) 2016/679 — o RGPD, diretamente aplicável.
  2. Lei n.º 58/2019, de 8 de agosto — assegura a execução do RGPD na ordem jurídica nacional.
  3. Estatuto da Ordem dos Advogados (Lei n.º 145/2015) — em especial o regime do segredo profissional, com destaque para o artigo 92.º.

A autoridade de controlo é a CNPD.

O ponto de articulação relevante: o RGPD reconhece expressamente a proteção do sigilo profissional, e a lei nacional acomoda-o — designadamente ao modelar os poderes de acesso da autoridade e o exercício de alguns direitos dos titulares quando colidam com o segredo. Isso não significa isenção do Regulamento; significa que certos deveres se cumprem de forma adaptada.

Fundamento de licitude: não é o consentimento

Erro comum: fazer o cliente assinar um «consentimento RGPD» na primeira reunião e considerar o assunto resolvido.

O consentimento é um dos fundamentos do artigo 6.º, mas raramente é o adequado na relação com o cliente, por duas razões:

  • É revogável a todo o tempo. Se o tratamento dependesse dele, a revogação a meio do processo deixaria o escritório sem base para continuar — o que é incompatível com o mandato e com os deveres legais de conservação.
  • Exige liberdade real de escolha. Não a há quando o tratamento é imprescindível à prestação do serviço.

Fundamentos que tipicamente se ajustam melhor:

  • Execução do contrato de mandato, para os dados do próprio cliente.
  • Obrigação jurídica a que o responsável está sujeito — por exemplo, deveres de conservação, contabilísticos ou de prevenção do branqueamento de capitais.
  • Interesse legítimo, com o devido teste de ponderação, sobretudo para dados de contrapartes e terceiros.
  • Declaração, exercício ou defesa de um direito num processo judicial — particularmente relevante nas categorias especiais.

O último é decisivo na advocacia e costuma passar despercebido.

Categorias especiais e dados de condenações

O artigo 9.º proíbe, em princípio, o tratamento de dados sobre saúde, vida sexual, convicções, filiação sindical e outros — salvo verificando-se uma das exceções previstas.

Para a advocacia, a exceção operativa é a que permite o tratamento necessário à declaração, exercício ou defesa de um direito num processo judicial. É essa a base que sustenta juntar um relatório clínico a uma ação de responsabilidade, ou tratar informação sobre a vida familiar num processo de regulação.

Os dados relativos a condenações penais e infrações têm regime próprio, no artigo 10.º, com condições distintas — não se confundem com as categorias especiais do artigo 9.º, embora sejam frequentemente tratados em conjunto.

Consequência prática: o registo de tratamentos deve identificar separadamente estas categorias e o fundamento específico invocado para cada uma. Um registo que diga apenas «dados de clientes» não cumpre a função.

Registo de atividades de tratamento

O artigo 30.º impõe a manutenção de um registo das atividades de tratamento.

A dispensa prevista para entidades com menos de 250 trabalhadores não se aplica quando o tratamento não é ocasional ou quando abrange categorias especiais — o que é precisamente o caso de qualquer escritório de advocacia. Na prática, portanto: o registo é obrigatório mesmo num escritório individual.

O que deve constar, no mínimo:

  • Identificação e contactos do responsável (e do encarregado, se existir)
  • Finalidades do tratamento
  • Categorias de titulares e de dados
  • Categorias de destinatários
  • Transferências para países terceiros, quando existam
  • Prazos de conservação previstos
  • Descrição geral das medidas de segurança

É o primeiro documento que a CNPD pede numa fiscalização. Ter um registo desatualizado é melhor do que não ter nenhum, mas não muito.

Subcontratantes: a nuvem, o software e a IA

Sempre que um terceiro trata dados por conta do escritório, é subcontratante na aceção do artigo 28.º — e é preciso um contrato escrito com o conteúdo mínimo que a norma exige.

Entram nesta categoria, quase sempre:

  • Alojamento e infraestrutura na nuvem
  • Correio eletrónico e ferramentas de produtividade
  • Software de gestão documental e de gestão de processos
  • Cópias de segurança externas
  • Serviços de digitalização e de transcrição
  • Ferramentas de inteligência artificial que processem documentos ou peças

Este último ponto merece atenção específica. Antes de submeter um documento de cliente a qualquer serviço de IA, três verificações mínimas:

  1. Existe contrato de subcontratação com as garantias do artigo 28.º?
  2. Onde ficam os dados e há transferência para país terceiro? Se sim, com que mecanismo de transferência?
  3. Os dados são usados para treinar modelos? Se forem, dificilmente é compatível com o segredo profissional.

Para escritórios com exigências mais estritas, as vias habituais são a instalação em perímetro próprio (on-premise), a nuvem privada com dados em território da UE, ou a anonimização prévia dos documentos. A escolha é de risco, não de preferência técnica.

Nota deontológica. Recorrer a um subcontratante não transfere a responsabilidade. Perante o cliente e perante a Ordem, o dever de guarda continua a ser do advogado.

Violações de dados: o relógio das 72 horas

O artigo 33.º obriga a notificar a autoridade de controlo de uma violação de dados sem demora injustificada e, sempre que possível, até 72 horas após o conhecimento — salvo se for improvável que a violação resulte em risco para os direitos e liberdades das pessoas.

Quando a violação seja suscetível de implicar risco elevado, o artigo 34.º impõe ainda a comunicação aos próprios titulares.

Setenta e duas horas é pouco tempo para improvisar. O que deve estar preparado de antemão:

  • Quem decide. Uma pessoa identificada, com substituto.
  • Como se avalia o risco. Critérios escritos, ainda que simples.
  • Registo interno. O artigo 33.º obriga a documentar todas as violações, incluindo as não notificadas, com fundamentação da decisão.
  • Texto-base de notificação. Redigir sob pressão produz notificações incompletas.

Um portátil perdido sem cifra, um e-mail com anexo enviado ao destinatário errado ou um acesso indevido à pasta de um processo são violações — não apenas ataques informáticos.

Encarregado de proteção de dados: é preciso?

A designação de encarregado (DPO) é obrigatória nos casos do artigo 37.º, entre os quais o tratamento em larga escala de categorias especiais de dados.

Para a generalidade dos escritórios pequenos e médios, a designação não é automaticamente obrigatória: o critério da larga escala é aferido pelo volume, pelo âmbito, pela duração e pelo número de titulares, e a advocacia corrente tende a não o preencher. Estruturas maiores, ou práticas concentradas em contencioso de massa, devem fazer a análise com cuidado.

Duas cautelas:

  • A análise deve ser documentada, mesmo que conclua pela não obrigatoriedade. É essa documentação que responde à pergunta numa fiscalização.
  • A designação voluntária é possível, mas atrai o regime completo dos artigos 37.º a 39.º.

Prazos de conservação

O princípio da limitação da conservação exige que os dados não sejam guardados mais tempo do que o necessário. «Guardamos tudo para sempre» não é política de conservação.

Na advocacia, a definição de prazos deve conjugar:

  • A duração do mandato e o período de eventual responsabilidade profissional posterior
  • Os prazos legais de conservação aplicáveis (designadamente contabilísticos e fiscais)
  • Os deveres decorrentes do regime de prevenção do branqueamento de capitais, quando aplicável
  • Os prazos de prescrição relevantes para eventual litígio sobre o próprio mandato

O resultado deve ser uma tabela por categoria documental, com prazo e destino no final (eliminação ou arquivo). Não precisa de ser sofisticada — precisa de existir e de ser seguida.

Checklist de conformidade

  • Registo de atividades de tratamento elaborado e atualizado (obrigatório, mesmo em escritório individual)
  • Fundamento de licitude identificado por finalidade — e não assente em consentimento genérico
  • Categorias especiais e dados de condenações identificados separadamente, com fundamento próprio
  • Informação aos titulares (arts. 13.º e 14.º) prestada, incluindo aos terceiros cujos dados constem dos processos
  • Contratos de subcontratação (art. 28.º) com todos os fornecedores que tratam dados
  • Ferramentas de IA avaliadas: contrato, localização dos dados, uso para treino
  • Transferências internacionais identificadas e com mecanismo válido
  • Procedimento de resposta a violações escrito, com responsável designado e registo interno
  • Tabela de prazos de conservação por categoria documental
  • Necessidade de DPO analisada e a análise documentada
  • Medidas de segurança proporcionadas: cifra de portáteis, autenticação forte, controlo de acessos por processo
  • Formação da equipa, incluindo pessoal não jurista

Perguntas frequentes

O segredo profissional dispensa o cumprimento do RGPD? Não. São regimes distintos e cumulativos. O segredo determina o que não pode ser revelado; o RGPD regula as condições do tratamento. O sigilo é reconhecido e acomodado, mas não isenta.

Preciso de consentimento do cliente para tratar os seus dados? Em regra não, e frequentemente é o fundamento errado. A execução do contrato de mandato, o cumprimento de obrigações legais e o exercício de direitos em processo judicial são bases mais adequadas e mais estáveis.

Um escritório individual precisa de registo de atividades de tratamento? Sim. A dispensa por dimensão não se aplica quando o tratamento não é ocasional ou envolve categorias especiais — o que sucede na advocacia.

Posso usar ferramentas de IA com documentos de clientes? Pode, desde que o fornecedor seja tratado como subcontratante, exista contrato nos termos do artigo 28.º, a localização dos dados e eventuais transferências estejam resolvidas e os dados não sejam usados para treinar modelos. Instalação em perímetro próprio ou anonimização prévia reduzem o risco.

Todo o escritório precisa de DPO? Não. A obrigatoriedade depende dos critérios do artigo 37.º, designadamente o tratamento em larga escala de categorias especiais. Documente a análise, mesmo quando conclua pela negativa.

Perdi um portátil com processos. É uma violação de dados? Se não estiver cifrado, quase certamente sim. Avalie o risco, documente internamente e pondere a notificação à CNPD dentro do prazo das 72 horas.

Este artigo tem finalidade informativa e não substitui aconselhamento jurídico sobre um caso concreto. Confirme sempre a redação em vigor das normas citadas e as orientações atualizadas da autoridade de controlo.