Sigilo profissional e ransomware: o risco digital na advocacia

Peças, contratos, provas, laudos e conversas com clientes estão hoje em notebooks, e-mail e nuvem. O sigilo profissional do advogado, pensado para o papel e o arquivo físico, precisa agora de proteção técnica.

O que as normas garantem e exigem

Estatuto da Advocacia, art. 7º, II: é direito do advogado a inviolabilidade do escritório, dos instrumentos de trabalho e da correspondência escrita, eletrônica, telefônica e telemática relativas ao exercício da advocacia.
Código de Ética e Disciplina da OAB: o sigilo profissional é dever do advogado, inclusive em relação a ex-clientes.
LGPD, art. 46: medidas técnicas aptas a proteger os dados pessoais de clientes e partes.
Resolução CD/ANPD nº 15/2024: incidente com dados protegidos por sigilo profissional é de risco relevante (art. 5º, V) e deve ser comunicado em 3 dias úteis, com a causa principal e as medidas técnicas adotadas (art. 6º). Todo incidente deve ser registrado por 5 anos (art. 10).

Como o ataque chega ao escritório

Intimação falsa: e-mails que imitam tribunais ou o PJe com anexos maliciosos.
Notebook em audiência ou home office: fora da rede, sem gestão, com documentos sigilosos.
Ransomware nas pastas de processos: prazos parados e peças expostas.
Pen drives: provas e processos levados de um lado para outro.

Por que o EDR importa para o escritório

Num incidente, a comunicação à ANPD pede a causa principal, a data e os dados afetados. Um antivírus que só bloqueia não registra o caminho do ataque. O EDR do Bitdefender GravityZone Enterprise mostra a linha do tempo, as máquinas envolvidas e o que cada processo fez, o que dá base para a comunicação e para a defesa do próprio escritório.

Nenhuma norma da OAB ou da ANPD cita o EDR por nome. Mas é ele que transforma "achamos que foi um anexo" em "o ataque começou nesta máquina, nesta hora, e tocou estes arquivos".

Checklist para o escritório

Proteção corporativa em todos os computadores, inclusive notebooks que saem do escritório.
Criptografia de disco nos notebooks.
Autenticação multifator no e-mail.
Controle de pen drives e mídias externas.
EDR para registrar incidentes, e MDR para cobrir noites e fins de semana.
Backup separado e roteiro de resposta com prazos.

Segundo a IBM, o custo médio de uma violação de dados no Brasil foi de R$ 7,19 milhões em 2025. Num escritório de advocacia, o dano à reputação pode ser ainda maior que o financeiro.

Perguntas frequentes

O escritório precisa avisar o cliente se houver vazamento?

A LGPD (art. 48) exige comunicar a ANPD e os titulares quando o incidente puder causar risco ou dano relevante. Dados sob sigilo profissional são um dos critérios de risco relevante da Resolução CD/ANPD nº 15/2024.

Notebook furtado é incidente de segurança?

Pode ser, se houver dados pessoais acessíveis. Criptografia de disco reduz muito esse risco, porque os dados ficam ilegíveis sem a chave.

Escritório de advocacia é obrigado a ter EDR?

Nenhuma norma cita o EDR por nome. Mas é ele que registra a causa principal e os dados afetados, informações exigidas na comunicação de incidente à ANPD.

O que é inviolabilidade do escritório?

É o direito previsto no art. 7º, II, do Estatuto da Advocacia, que protege o escritório, os instrumentos de trabalho e as comunicações eletrônicas do advogado.

Quanto tempo tenho para comunicar um incidente?

Três dias úteis, quando houver risco ou dano relevante aos titulares, como no caso de dados protegidos por sigilo profissional.