LGPD e serventias extrajudiciais: horizonte normativo desenhado pelo CNJ

A lei 13.709/18, mais conhecida como Lei Geral de Proteção de Dados Pessoais (LGPD), entrou em vigor em agosto de 2020 e estabeleceu uma série de obrigações a organizações públicas e privadas que, em suas atividades, realizam tratamento de dados pessoais. Por se tratar de uma norma geral com repercussão setorial, precisa ser objeto de implementações específicas que garantam seu cumprimento nas diversas esferas econômicas e governamentais, considerando a legislação e as peculiaridades de cada área. 

Diante da necessidade de estabelecer parâmetros para adequação das serventias extrajudiciais à LGPD, a Corregedoria Nacional de Justiça do Conselho Nacional de Justiça (CNJ) tem trabalhado na elaboração de um provimento sobre o assunto. A minuta foi submetida à consulta pública aberta por meio de edital publicado em 8 de fevereiro de 2022¹ e recebeu sugestões até o dia 28 de fevereiro. O texto não apresenta inovações em relação ao da Lei 13.709/18, mas indica as diretrizes para aplicação prática, materializando comandos contidos no referido diploma legal². 

Como medida imediata a ser cumprida pelos cartórios, a minuta do Provimento determina a nomeação de um encarregado pelo tratamento de dados pessoais (art. 10), figura instituída pela LGPD³, cuja indicação pelo controlador, em regra, é obrigatória⁴. 

Não obstante a existência de serventias extrajudiciais dos mais variados portes e responsáveis pelo tratamento de diferentes volumes de dados pessoais, a Autoridade Nacional de Proteção de Dados (ANPD) ainda não estabeleceu regramento de dispensa de indicação de um encarregado pelos delegatários⁵. Por esta razão, o documento publicado pelo CNJ apresenta possibilidades específicas sobre o tema, de modo a viabilizar o atendimento da lei pelos serviços notariais e de registro das mais diversas realidades. 

A minuta dispõe que serventias classificadas como "Classe I" e "Classe II" pelo Provimento nº 74/2018 da Corregedoria Nacional de Justiça⁶ poderão designar um encarregado de maneira conjunta (art. 10, § 1º). Os cartórios também poderão terceirizar o exercício da função mediante contratação de prestador de serviços ("Encarregado Externo" ou "DPO as a service"), seja pessoa física ou pessoa jurídica (art. 10, I). 

Adicionalmente, o documento levado à consulta pública prevê que serventias de "Classe I" poderão ter a remuneração do encarregado subsidiada, ou integralmente paga, pelas entidades representativas de classe (art. 10, § 3º). Também é possível contratar um mesmo encarregado por cartórios de qualquer classe, desde que demonstrável a inexistência de conflito na cumulação de funções e na manutenção da qualidade dos serviços prestados (art. 10, § 4º). 

O texto disponibilizado pela Corregedoria, ainda no tocante aos atores envolvidos na governança de dados nos cartórios, estabelece que as serventias de "Classe III" deverão contar com uma equipe de apoio multidisciplinar, composta ao menos por integrantes das áreas de tecnologia da informação, segurança da informação e jurídica (art. 10, § 2º). Essa equipe é equivalente ao Comitê Gestor de Proteção de Dados Pessoais, estrutura comumente criada pelos agentes de tratamento durante o seu processo de adequação à LGPD e que representa uma boa prática de governança na inteligência do art. 50 da Lei de Proteção de Dados⁷. 

Além disso, o CNJ também apontou procedimentos técnicos para adoção pelas serventias rumo à conformidade às normas protetivas de dados. O texto estabelece a necessidade de se realizar um mapeamento das atividades de tratamento de dados pessoais (art. 7º, caput), a fim de identificar as operações realizadas com tais informações e viabilizar o registro, conforme preconiza a LGPD em seu art. 37⁸. 

Intitulado "inventário de dados pessoais" (art. 7º, § 1º), o produto desse processo jogará luz sobre os dados tratados e todas as operações a que estão sujeitos, tais como coleta, armazenamento, compartilhamento e descarte. Nele é preciso constar a categoria dos dados e dos titulares envolvidos, as formas de obtenção e coleta das informações, as finalidades do seu uso, bases legais autorizativas e tempo de retenção, bem como as hipóteses de compartilhamento com terceiros e eventual transferência internacional (art. 7º, § 1º, I). 

A partir do mapeamento poderão ser trazidos à baila problemas em controles de acesso às informações, medidas de segurança inadequadas, dados tratados em excesso⁹ ou, até mesmo, uso de informações pessoais de forma ilegal¹⁰. Nesse sentido, os insumos coletados deverão ser aproveitados para análise de lacunas relacionadas à proteção de dados pessoais, cabendo às serventias a condução da avaliação das vulnerabilidades (gap assessment) encontradas (art. 7º, III).

O gap assessment preconizado pelo CNJ perseguirá a realização de ajustes de conformidade, a fim de tratar os riscos associados às vulnerabilidades encontradas no mapeamento, seja para conviver com eles, mitigá-los ou eliminá-los. 

O texto apresentado também trata sobre o Relatório de Impacto à Proteção de Dados Pessoais¹¹. Ele deve ser realizado nos atos em que o tratamento gere risco a direitos e liberdades fundamentais do titular, de acordo com as orientações expedidas pela ANPD (art. 11, caput), contendo a descrição de tais processos de tratamento, bem como medidas, salvaguardas e mecanismos de mitigação de risco. Assim, sua elaboração em relação às atividades já realizadas pelo cartório depende da boa condução do mapeamento de dados, do gap assessment e da adoção das medidas de conformidade. 

Os novos contratos ou convênios que venham a ser celebrados pelos responsáveis pelas serventias, por sua vez, deverão, nos casos aplicáveis, ser precedidos da elaboração da elaboração de Relatório de Impacto prévio à sua consolidação (art. 11, II). 

O caminho da prestação dos serviços notariais e de registro, para o CNJ, envolve a adoção de medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados ou qualquer forma de tratamento inadequado ou ilícito (art. 12, caput). De acordo com a minuta publicada, tais medidas serão materializadas por meio da adoção de política de segurança da informação, com previsão de adoção de mecanismos de segurança - desde a concepção de novos produtos ou serviços e contendo o plano de resposta a incidentes de segurança com dados pessoais (art. 12, I). 

O plano mencionado deverá prever a comunicação imediata do incidente ao controlador e a comunicação ao Juiz Corregedor Permanente e à Corregedoria Geral da Justiça do Estado ou do Distrito Federal, no prazo máximo de 24 horas. É preciso que haja detalhamento da natureza do incidente e das medidas adotadas para a apuração das suas causas e a mitigação de novos riscos e dos impactos causados aos titulares dos dados (art. 13, caput). 

A minuta, porém, não traz previsão de informação do incidente à ANPD, indo de encontro ao que reza o art. 48 da LGPD. Tampouco leva em consideração que o mesmo artigo da norma não determina a comunicação de qualquer incidente, mas somente daqueles que possam acarretar risco ou dano relevante aos titulares. Ou seja, é preciso fazer uma análise desse potencial, para que o dever de comunicação não represente um esforço desproporcional às serventias extrajudiciais. 

Assim, em linha com o que reza a própria legislação protetiva de dados pessoais, espera-se que a versão final do Provimento preveja a realização de um filtro prévio, sob a responsabilidade da própria serventia e a partir dos parâmetros estabelecidos pela ANPD, quanto aos incidentes que precisam ser comunicados. 

Cumpre salientar, ainda, que a Autoridade Nacional recomenda, enquanto pendente a regulamentação do tema, que a comunicação seja feita no prazo de dois dias úteis, contados da data do conhecimento do incidente¹². Aguarda-se que a Corregedoria, no documento definitivo, adote prazo alinhado ao da ANPD. 

O texto apresentado também traz diretrizes aos responsáveis pelos serviços notariais e de registro no relacionamento com seus prepostos, titulares de dados e prestadores de serviços. Deverão ser promovidos treinamentos internos para implementação da cultura de privacidade e proteção de dados pessoais (art. 16, caput), bem como viabilizar medidas de transparência aos titulares de dados (art. 18, caput), incluindo canais eletrônicos específicos para atendimento das requisições e/ou reclamações (art. 17, I). 

No tocante aos prestadores de serviços, a serventia deverá revisar e adequar às normas todos os contratos que envolvam atividades de tratamento de dados pessoais, considerando a responsabilização dos agentes de tratamento prevista na lei (art. 8º, caput). Tal precaução inclui a elaboração de orientações e procedimentos para as contratações futuras, no intuito de deixá-los em conformidade com a lei de regência (art. 8º, V).

 Como pode ser visto até aqui, a minuta apresentada pela Corregedoria Nacional de Justiça busca direcionar as serventias extrajudiciais ao cumprimento das obrigações contidas da lei 13.709/18 - as quais, independentemente da existência de ato do CNJ, já devem ser perseguidas pelos cartórios. Por esta razão, os pontos elencados neste artigo dificilmente sofrerão alterações substanciais na versão final do Provimento. 

Os delegatários preocupados com a adequação das suas atividades à Lei Geral de Proteção de Dados Pessoais já possuem um excelente parâmetro para viabilização do seu processo de conformidade. Afinal, a minuta já incorpora em seu texto o espírito preventivo e protetivo da norma e traz elementos operacionais e procedimentais alinhados à legislação vigente.

_____________