Sim, a LGPD se aplica aos escritórios de contabilidade, e os certificados digitais dos clientes estão no centro dessa obrigação. O escritório trata dados pessoais o tempo todo: CPF de sócios, folha de pagamento, dados de funcionários dos clientes. E o certificado digital é a chave que abre os portais onde esses dados estão, como o e-CAC e o eSocial.
Na prática, a lei pede três coisas ao escritório: proteger esses dados com medidas de segurança, conseguir demonstrar que protege e agir rápido quando algo dá errado. Abaixo você vê o que isso significa para a guarda dos certificados e um passo a passo para se adequar.
Por que a LGPD se aplica ao escritório contábil
A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) vale para qualquer empresa que trate dados de pessoas físicas. O escritório contábil trata muitos: nome e CPF de sócios, salários, dados bancários, informações de saúde que aparecem na folha, entre outros.
Na maior parte dos serviços, o escritório atua como operador: trata os dados por conta do cliente, que é o controlador. Em relação aos próprios funcionários, o escritório é controlador. Nos dois papéis, ele tem deveres de segurança.
Onde entram os certificados digitais
Com o certificado digital do cliente, é possível acessar o e-CAC, o eSocial, o Simples Nacional e outros sistemas que reúnem dados pessoais e fiscais. Por isso, um certificado mal guardado não é só um risco de fraude: é um risco de acesso indevido a dados de terceiros.
Pastas compartilhadas, pendrives, anexos de e-mail e mensagens de WhatsApp multiplicam as cópias do certificado e tiram do escritório o controle sobre quem pode usá-lo. Veja onde guardar o certificado digital com segurança.
O que a LGPD exige na prática
- Medidas de segurança: o escritório deve adotar medidas técnicas e administrativas para proteger os dados contra acessos não autorizados e vazamentos (art. 46).
- Prestação de contas: não basta proteger, é preciso conseguir demonstrar as medidas adotadas (art. 6º, X).
- Comunicação de incidentes: um incidente que possa causar risco ou dano relevante aos titulares deve ser comunicado à ANPD e aos titulares (art. 48).
- Responsabilidade do operador: o operador responde junto com o controlador pelos danos quando descumpre a lei ou as instruções lícitas do cliente (art. 42, § 1º, I).
As sanções administrativas incluem advertência, publicização da infração e multa de até 2% do faturamento, limitada a R$ 50 milhões por infração (art. 52). Para o escritório, o dano à confiança dos clientes costuma pesar ainda mais.
Como guardar certificados digitais de clientes em conformidade
- Guarde os certificados num único lugar protegido. Nada de cópias em computadores, pendrives, e-mails ou pastas de rede.
- Dê acesso pelo menor privilégio. Cada colaborador usa só os certificados e portais de que precisa, com login próprio.
- Registre automaticamente cada uso. Quem usou, quando, de qual computador e em qual portal. É esse registro que permite demonstrar controle. Entenda se é possível saber quem usou o certificado digital.
- Tire as senhas das planilhas. Veja como gerenciar a senha do certificado digital.
- Mantenha backup protegido. Cópias de segurança também precisam de criptografia e acesso restrito. Veja o guia de backup do certificado A1.
- Receba o certificado do cliente por um canal seguro, e não como anexo.
- Retire os acessos no mesmo dia em que um colaborador sai. Veja o que fazer quando um funcionário sai.
- Preveja a guarda no contrato. O contrato de prestação de serviços deve dizer como o escritório guarda e usa o certificado do cliente.
- Tenha um plano para incidentes. Se houver suspeita de uso indevido, revogue o certificado, avise o cliente e avalie a comunicação à ANPD.
Controle manual ou software de gestão?
Planilhas e pastas compartilhadas custam pouco no começo, mas não registram quem usou cada certificado nem impedem cópias. Na hora de demonstrar conformidade, faltam provas.
| Critério | Controle manual | Software de gestão |
|---|---|---|
| Registro de uso | Inexistente ou anotado à mão | Automático, a cada acesso |
| Controle de acesso | Quem tem o arquivo e a senha usa | Permissão por colaborador e por portal |
| Cópias do certificado | Espalhadas em vários lugares | Uma cópia protegida |
| Saída de colaborador | Depende de trocar senhas e recolher arquivos | Acesso retirado na hora |
| Prova de conformidade | Difícil de reunir | Histórico pronto para apresentar |
Como o CertiSeguro ajuda na adequação
Nenhum software, sozinho, torna um escritório adequado à LGPD. A adequação envolve contratos, processos e pessoas. O que o CertiSeguro faz é resolver a parte dos certificados: eles ficam armazenados num só lugar, cada colaborador recebe permissões por certificado e por portal, cada uso fica registrado e o cliente envia o certificado por um link seguro. Com isso, o escritório tem o histórico necessário para demonstrar que controla o acesso aos dados dos clientes.
Perguntas frequentes
A LGPD se aplica a escritórios de contabilidade?
Sim. O escritório trata dados pessoais de clientes, sócios e funcionários dos clientes, e por isso deve seguir a LGPD, inclusive nas medidas de segurança e na comunicação de incidentes.
O escritório precisa do consentimento do cliente para guardar o certificado digital?
Em geral, não. O consentimento é só uma das bases legais da LGPD. A guarda do certificado costuma se apoiar na execução do contrato de prestação de serviços (art. 7º, V) e no cumprimento de obrigações legais (art. 7º, II). O mais importante é que o contrato deixe claro como o certificado é guardado e usado.
Quem responde se o certificado do cliente vazar do escritório?
O cliente, como controlador, responde perante os titulares. Mas o escritório, como operador, responde junto com ele quando não adota as medidas de segurança exigidas ou não segue as instruções do cliente (art. 42). Além disso, o cliente pode cobrar o escritório com base no contrato.
Existe certificação LGPD para escritório de contabilidade?
Não existe uma certificação oficial obrigatória da LGPD. O que a lei exige é a adequação: medidas de segurança, contratos claros e capacidade de demonstrar o que foi feito. Certificações privadas podem ajudar, mas não substituem essas medidas.
Qual é o valor da multa da LGPD?
A multa pode chegar a 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração. A lei também prevê advertência, publicização da infração e bloqueio ou eliminação dos dados envolvidos.
Conclusão
A LGPD transformou a guarda dos certificados digitais dos clientes numa obrigação de segurança do escritório. Centralizar os certificados, dar acesso individual, registrar cada uso e ter um plano para incidentes são as medidas que permitem proteger os dados e demonstrar essa proteção.
Se o seu escritório ainda guarda certificados em pastas e planilhas, teste o CertiSeguro gratuitamente e veja como ter o histórico de cada acesso.