LGPD para escritórios de contabilidade: o que a lei exige de segurança

Um escritório de contabilidade concentra, num só lugar, folha de pagamento, declarações de imposto, dados bancários e certificados digitais de dezenas de empresas. Para quem ataca, é um alvo eficiente. Para a LGPD, é um ambiente de alto risco.

As obrigações que se somam

Sigilo profissional

A NBC PG 01, Código de Ética Profissional do Contador, estabelece o dever de guardar sigilo sobre o que o profissional souber em razão do exercício da profissão.

Medidas de segurança da LGPD

O art. 46 da LGPD exige medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de incidentes.

Incidente com dados financeiros ou sob sigilo é "de risco relevante"

A Resolução CD/ANPD nº 15/2024, art. 5º, lista os critérios que tornam um incidente de risco relevante quando ele pode afetar significativamente os titulares. Entre eles: dados financeiros e dados protegidos por sigilo profissional. Ou seja, praticamente todo incidente num escritório contábil se enquadra.

Comunicação em 3 dias úteis

O art. 6º exige comunicar a ANPD em 3 dias úteis, informando, entre outros itens:

a natureza e a categoria dos dados afetados e o número de titulares;
as medidas técnicas e de segurança adotadas antes e depois do incidente;
a data da ocorrência, quando possível determiná-la;
a descrição do incidente, incluindo a causa principal.

E o art. 10 manda registrar todo incidente por no mínimo 5 anos, mesmo os que não forem comunicados.

A lei obriga a ter EDR?

Nenhuma norma do CFC ou da ANPD cita o EDR por nome. O que as normas exigem é a capacidade de proteger os dados e, se algo acontecer, explicar com precisão o que houve. Sem uma ferramenta que registre o comportamento das máquinas, perguntas como "qual foi a causa principal?" e "quais dados foram acessados?" ficam sem resposta em três dias úteis. Por isso o EDR se tornou o padrão para escritórios que precisam comprovar diligência.

Checklist para o escritório

Proteção corporativa gerenciada em todas as estações e no servidor de arquivos.
Bloqueio de phishing: e-mails falsos de Receita, prefeitura e eSocial são o golpe mais comum.
Certificados digitais A1 instalados só onde necessário e protegidos.
Backup separado e testado.
EDR para registrar e investigar incidentes, ou MDR se não houver TI dedicada.
Roteiro de resposta: quem decide, quem comunica, em quanto tempo.

O custo médio de uma violação de dados no Brasil foi de R$ 7,19 milhões em 2025, segundo a IBM, e no setor de serviços, de R$ 8,51 milhões. Para um escritório, o maior custo costuma ser a confiança dos clientes.

Perguntas frequentes

O escritório contábil é controlador ou operador dos dados?

Depende da atividade. Em muitos serviços o escritório atua como operador em nome do cliente; em outros, como controlador. Em ambos os casos, a LGPD exige medidas de segurança. Vale formalizar isso em contrato.

Escritório pequeno também precisa comunicar incidente?

Sim. Agentes de pequeno porte têm regras simplificadas, mas continuam obrigados a comunicar incidentes relevantes à ANPD e aos titulares.

Qual o prazo para comunicar um incidente à ANPD?

Três dias úteis a partir do conhecimento de que o incidente afetou dados pessoais (Resolução CD/ANPD nº 15/2024, art. 6º).

Certificado digital A1 é risco?

Sim, se estiver instalado em várias máquinas sem proteção. Ele pode ser usado para acessar sistemas e assinar em nome do cliente.

Que versão do Bitdefender indicamos para contabilidade?

Para quem precisa de evidência de incidentes, o GravityZone Business Security Enterprise, com EDR. Sem TI dedicada, Enterprise com MDR.