Resposta rápida
A LGPD nos anúncios do escritório vale a partir do momento em que alguém chama: nome, telefone e conversa já são dados pessoais. O escritório precisa coletar só o necessário no formulário, proteger o WhatsApp e o CRM, ter política de privacidade e cuidar em dobro dos dados de saúde, comuns no previdenciário e no trabalhista.
Resumo
- Nome e WhatsApp de quem chamou já são dados pessoais.
- O escritório costuma ser o controlador; a agência, operadora.
- Laudos e atestados são dados sensíveis e pedem cuidado extra.
- Nenhum dado pessoal deve ir para o Google Analytics.
Por que a LGPD entra na conversa sobre anúncios
A LGPD entra porque todo anúncio que funciona termina em dados pessoais: um nome, um telefone, uma conversa sobre um problema. A partir do momento em que a pessoa chama, o escritório passa a tratar dados e responde por eles.
A Lei Geral de Proteção de Dados (Lei 13.709/2018) chama de dado pessoal qualquer informação ligada a uma pessoa identificada ou identificável (art. 5º, I). O nome e o WhatsApp de quem chamou já se encaixam.
No escritório, o controlador é quem decide o que fazer com os dados; em geral, o próprio escritório. A agência e os sistemas que tratam os dados em nome dele são operadores (art. 5º, VI e VII). Isso significa que a responsabilidade principal fica com o advogado, mesmo quando a coleta é feita por um fornecedor.
Este guia mostra os cuidados práticos com os dados que chegam pelos anúncios. Ele não substitui a análise jurídica da adequação do escritório à LGPD.
Os pontos de coleta de dados e o cuidado com cada um
Os dados de quem chama o escritório entram por seis pontos, do formulário ao relatório da agência. Cada um tem um risco comum e um cuidado mínimo.
| Ponto de coleta | Que dado entra | Risco comum | Cuidado mínimo |
|---|---|---|---|
| Formulário da landing page | Nome, telefone, e-mail, área do caso | Pedir mais do que o necessário para o primeiro contato | Só os campos que servem para responder; link para a política de privacidade ao lado do botão |
| WhatsApp do escritório | Telefone, mensagens, áudios, fotos de documentos e laudos | Celular pessoal sem senha, conversas antigas guardadas sem prazo | Aparelho ou conta do escritório, com senha, e regra para apagar o que não virou cliente |
| CRM ou planilha | Histórico do contato, origem, etapa e resultado | Planilha compartilhada por link aberto ou enviada em grupo | Acesso por usuário, sem links abertos, e registro de quem pode ver |
| Ferramentas de anúncio e Analytics | Dados de navegação e cliques | Enviar nome ou telefone para o Analytics ou para a plataforma sem critério | Nenhum dado pessoal no Analytics; uso de dados nas plataformas só com base legal e aviso na política |
| Agência ou fornecedor | Acesso à conta de anúncios, ao CRM ou às conversas | Fornecedor com acesso amplo e sem contrato que trate dos dados | Contrato com cláusula de proteção de dados e acesso só ao necessário |
| Relatórios | Listas de contatos com nome e telefone | Relatório com dados pessoais circulando por e-mail | Relatório com números agregados; lista nominal só dentro do CRM |
O WhatsApp é o ponto mais sensível
No WhatsApp, a pessoa manda o que quiser, inclusive fotos de documentos, exames e laudos. Por isso o aparelho e a conta de atendimento precisam ser do escritório, com acesso controlado.
O formulário é o ponto mais fácil de acertar
O formulário só coleta o que o escritório pede. O princípio da necessidade (art. 6º, III) limita o tratamento "ao mínimo necessário" para a finalidade; para o primeiro contato, nome, telefone e área do caso costumam bastar.
Dados de saúde e outros dados sensíveis
Dado de saúde é dado pessoal sensível, e isso aparece muito no previdenciário e no trabalhista. Laudos, atestados e relatos de doença entram nessa categoria (art. 5º, II).
A lei permite tratar dado sensível sem consentimento quando ele é necessário para o "exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral" (art. 11, II, "d"). Mas essa base cobre o que é necessário para o caso, e não a coleta de laudos de quem só estava tirando uma dúvida.
Na prática, no primeiro contato
Peça o documento sensível só quando ele for preciso para avaliar o caso, explique para que vai usar e guarde em local com acesso controlado. Se a pessoa não virou cliente, aplique a regra de exclusão do escritório.
Em que base legal o escritório trata os dados de quem chama
Para responder a quem pediu contato, a base mais comum é a de "procedimentos preliminares relacionados a contrato" (art. 7º, V). Depois que o contrato é assinado, entram a execução do contrato e o exercício regular de direitos em processo (art. 7º, V e VI).
Usar os dados para outra finalidade, como mandar conteúdo a quem não virou cliente, pede outra base, como o legítimo interesse (art. 7º, IX), com registro das operações (art. 37), ou o consentimento. Na dúvida, não reaproveite a lista sem análise.
A política de privacidade
A pessoa tem direito a informação clara sobre a finalidade, o tempo de guarda, quem é o controlador e com quem os dados são compartilhados (art. 9º). A política de privacidade, com link ao lado do botão do formulário, é o lugar dessas informações.
Rastreamento de anúncios e LGPD
Rastrear de qual anúncio veio o cliente é compatível com a LGPD, desde que os dados pessoais fiquem no lugar certo. A origem da campanha pode ir para o Analytics; o nome e o telefone ficam no CRM.
O Google Analytics não aceita dados de identificação pessoal nos eventos (Ajuda do Google Analytics). Para ligar a campanha ao contrato, o cruzamento é feito dentro do cadastro do escritório, como explica o guia sobre de qual anúncio veio o cliente.
Ferramentas que gravam as conversas do WhatsApp para atribuir a origem pedem mais cuidado. Antes de contratar, leia o guia dá para rastrear WhatsApp do anúncio e confira no contrato onde os dados ficam e quem tem acesso.
Direitos de quem chamou e segurança dos dados
Quem chamou o escritório pode pedir acesso, correção ou eliminação dos seus dados (art. 18). Alguém no escritório precisa saber receber e responder a esses pedidos.
O escritório também deve adotar medidas de segurança para proteger os dados de acessos não autorizados (art. 46) e, se houver incidente com risco relevante, comunicar a autoridade nacional e os titulares (art. 48). A lei prevê ainda a indicação de um encarregado pelo tratamento de dados (art. 41).
Checklist de LGPD para os anúncios do escritório
Use os dez pontos abaixo para revisar a coleta de dados que nasce dos anúncios. Cada item falho é um ponto a corrigir antes de aumentar a verba.
- O formulário pede só o necessário para responder ao primeiro contato.
- Há link para a política de privacidade ao lado do botão do formulário.
- A política diz quem é o escritório, para que usa os dados, por quanto tempo guarda e como a pessoa pede acesso ou exclusão.
- O WhatsApp de atendimento é do escritório, com senha, e não o celular pessoal de quem atende.
- Laudos, exames e documentos com dados de saúde não ficam soltos na galeria do celular.
- O CRM ou a planilha tem acesso por usuário, sem link aberto.
- Existe regra para apagar dados de quem não virou cliente depois de um prazo definido pelo escritório.
- Nenhum dado pessoal vai para o Google Analytics.
- O contrato com a agência e com os fornecedores trata da proteção de dados.
- Alguém no escritório responde aos pedidos dos titulares dos dados.
Quando a Comarka Ads monta o caminho para rastrear do clique ao contrato, esses pontos entram na revisão: o que vai para o Analytics, o que fica no CRM e quem acessa cada coisa.
Serviços relacionados
Os serviços da Comarka Ads ligados ao tema deste guia.
Rastreamento de conversões
De qual anúncio veio cada contrato
Auditoria comercial
Onde os contatos se perdem
Google Ads para advogados
Anúncios para quem busca advogado
Anúncios no Instagram
Meta Ads com criativos para advocacia
Perguntas frequentes sobre LGPD nos anúncios do escritório
Respostas curtas para as dúvidas mais comuns sobre o tema.
O escritório precisa de política de privacidade para anunciar?
Na prática, sim. A LGPD exige informação clara sobre a finalidade, o tempo de guarda e quem é o controlador (art. 9º). A política com link ao lado do formulário é o lugar dessas informações.
Preciso pedir consentimento no formulário de contato?
Nem sempre. Para responder a quem pediu contato, a base mais comum é a de procedimentos preliminares relacionados a contrato (art. 7º, V). Consentimento entra quando o uso vai além disso.
Posso receber laudo médico pelo WhatsApp?
Pode, quando for necessário para avaliar o caso. Dado de saúde é sensível (art. 5º, II): explique para que vai usar, guarde em local com acesso controlado e apague se a pessoa não virar cliente.
A agência de anúncios responde pela LGPD?
A agência que trata dados em nome do escritório é operadora e tem deveres próprios, mas o controlador costuma ser o escritório. O contrato com a agência deve tratar da proteção de dados.
Posso mandar conteúdo para quem chamou e não fechou contrato?
Só com base legal para essa nova finalidade, como legítimo interesse com registro ou consentimento. Reaproveitar a lista sem análise é um risco.
Fontes consultadas
Estas são as normas e páginas usadas para escrever este guia.
Este guia tem caráter informativo e não substitui a consulta às normas da OAB nem a análise do caso de cada escritório.
