Escritório de advocacia trata dados pessoais e, muitas vezes, dados sensíveis (saúde, orientação política, processos criminais). Adicionar um chatbot ao WhatsApp não muda a natureza da obrigação sob a LGPD — apenas amplia o perímetro técnico que precisa estar em conformidade.
Base legal correta
Para o primeiro contato via chatbot, a base legal adequada é em geral o legítimo interesse (art. 7º, IX) combinado com o consentimento quando houver coleta de dado sensível. A ferramenta deve informar, já na primeira mensagem, quem está coletando os dados, para qual finalidade e por quanto tempo eles serão armazenados.
Checklist mínimo
- Finalidade específica — triagem e agendamento, não marketing futuro (para isso precisa de consentimento separado).
- Retenção limitada — histórico de conversa de leads não convertidos deve ser descartado em prazo razoável (90 a 180 dias é padrão).
- Criptografia em trânsito e em repouso — o WhatsApp já garante a primeira; o armazenamento no seu CRM precisa ter a segunda.
- Acesso restrito — apenas advogado responsável e equipe autorizada têm acesso ao conteúdo das conversas.
- Direitos do titular — canal explícito para solicitar acesso, correção ou exclusão dos dados.
- Plano de resposta a incidente — ANPD exige notificação em prazo razoável quando há risco relevante.
Dados sensíveis: cuidado especial
Chatbot não deve solicitar dados sensíveis proativamente. Se o cliente os enviar espontaneamente (atestado médico, relato de violência), a IA deve acusar recebimento sem entrar em análise e escalar imediatamente ao advogado. Todo o tratamento desses dados segue o regime especial do art. 11 da LGPD.
DPO: precisa ter?
A ANPD ainda não obriga todo escritório a ter Encarregado (DPO) formal, mas recomenda para operações que envolvem volume relevante de dados sensíveis. Escritórios com mais de cinco advogados e operação digital estruturada devem designar um responsável — pode ser o sócio de compliance ou contratação externa.