Segurança da informação em cartórios extrajudiciais: Aspectos práticos da comunicação e registro de incidentes com dados pessoais

A lei nº 13.709/2018 ("lei Geral de Proteção de Dados Pessoais" ou "LGPD"), adotou, por um lado, um viés preventivo, com o objetivo de evitar a ocorrência de danos em virtude do tratamento de dados pessoais¹ e, por outro, preocupou-se com a capacidade de resposta do agente de tratamento a eventuais incidentes de segurança envolvendo tais ativos informacionais.

De acordo com a ANPD - Autoridade Nacional de Proteção de Dados², incidente de segurança é qualquer evento adverso confirmado, relacionado à violação das propriedades de confidencialidade, integridade³, disponibilidade⁴ e autenticidade⁵ da segurança de dados pessoais (art. 3º, XII, resolução CD/ANPD 15/24).

Erros humanos, não conformidade com as diretrizes internas sobre segurança da informação, controles ineficazes, ausência de atualização e manutenção de softwares e hardwares, violações de acesso, são exemplos de fatores que podem levar à ocorrência de um incidente.

A LGPD preconiza como boa prática a implementação de programa de governança em privacidade que conte com planos de resposta a incidentes envolvendo dados pessoais e remediação (art. 50, § 2º, I, g, LGPD) e determina ao controlador⁶ o dever de comunicar à ANPD e ao titular⁷ a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.

No âmbito dos serviços notariais e de registro, expressamente mencionados pela lei 13.709/18⁸, os mecanismos de segurança e, especialmente, os de resposta a incidentes, merecem atenção por parte do agente de tratamento, dada a natureza dos dados pessoais sob gestão e responsabilidade dos delegatários e o potencial de dano aos titulares em caso de manejo inadequado ou ilícito dessas informações.

1. Plano de resposta a incidentes

O provimento 149/2023 do CNJ, ao trazer balizas para adequação dos cartórios extrajudiciais à LGPD e em linha com o que reza a própria lei, dispõe sobre a obrigação de implementação de um plano de resposta a incidentes envolvendo dados pessoais⁹.

O referido documento, enquanto instrumento de governança, deve descrever procedimentos, funções e responsabilidades para o gerenciamento de um incidente de segurança, de forma a oportunizar à serventia a reversão ou a mitigação dos efeitos da ocorrência.

Nesse sentido, necessita nortear o cartório em todas as fases da resposta, compreendendo desde a confirmação de que o incidente efetivamente aconteceu, à apuração de responsabilidades e realização dos registros exigidos pela Autoridade Nacional.

Também precisa prever a comunicação de incidentes que possam acarretar risco ou dano relevante aos titulares ao juiz corregedor permanente e à Corregedoria-Geral da Justiça (CGJ), além de, conforme já prevê a LGPD, à ANPD e aos titulares¹⁰. Considerando que nem todo incidente precisa ser comunicado aos atores acima listados, é salutar que o plano disponha sobre o processo de avaliação quanto à efetiva necessidade de sua realização.

2. Comunicação do incidente

2.1 Avaliação quanto à necessidade de comunicação da ocorrência

A ANPD aprovou, por meio da resolução CD/ANPD 15/24, o regulamento de comunicação de incidentes de segurança.

No referido instrumento, a Autoridade Nacional dispõe sobre o incidente de segurança que pode acarretar risco ou dano relevante aos titulares, vejamos:

Art. 5º O incidente de segurança pode acarretar risco ou dano relevante aos titulares quando puder afetar significativamente interesses e direitos fundamentais dos titulares e, cumulativamente, envolver, pelo menos, um dos seguintes critérios:

I - dados pessoais sensíveis;

II - dados de crianças, de adolescentes ou de idosos;

III - dados financeiros;

IV - dados de autenticação em sistemas;

V - dados protegidos por sigilo legal, judicial ou profissional; ou

VI - dados em larga escala.

Os critérios trazidos acima permitem a avaliação quanto à necessidade de comunicação do incidente aos titulares, à ANPD, ao juiz corregedor permanente e à CGJ - Corregedoria-Geral da Justiça, afinal, ela apenas será necessária se a ocorrência puder acarretar risco ou dano relevante aos titulares.

Deve-se considerar na análise mencionada que o incidente de segurança que possa "afetar significativamente interesses e direitos fundamentais dos titulares" será caracterizado, dentre outras situações, naquelas em que a atividade de tratamento puder impedir o exercício de direitos ou a utilização de um serviço, assim como ocasionar danos materiais ou morais aos titulares, tais como discriminação, violação à integridade física, ao direito à imagem e à reputação, fraudes financeiras ou roubo de identidade (art. 5º, § 1º, Resolução CD/ANPD 15/24).

Também deve-se levar em conta na referida avaliação que tratamento de "dados em larga escala" é aquele que possa abranger número significativo de titulares, considerando, ainda, o volume de dados envolvidos, bem como a duração, a frequência e a extensão geográfica de localização dos titulares (art. 5º, § 2º, resolução CD/ANPD 15/24).

Tendo em vista a natureza do acervo das serventias extrajudiciais e a atividade-fim dos serviços prestados, eventual incidente envolvendo dados pessoais contidos em seus arquivos poderá, analisando-se o caso concreto, ser enquadrado no conceito de "dados em larga escala", para fins de avaliação da necessidade de comunicação.

Pondera-se aqui que realizar a comunicação de um incidente aos titulares e às autoridades não significa juridicamente que o delegatário (controlador) esteja afirmando eventual culpa pela sua ocorrência. Ao revés, a sua realização representa a adoção de prática necessária à gestão do incidente, revelando o nível de maturidade da serventia.

A existência ou não de culpa do responsável pelo cartório ou de algum prestador de serviço quanto ao incidente, portanto, não constitui parâmetro para a análise da necessidade de comunicação da sua ocorrência.

2.2 Processo de comunicação do incidente e prazos para sua realização

De acordo com a ANPD, a comunicação do incidente deve ser realizada pelo controlador¹¹, por meio do encarregado, acompanhada de documento comprobatório de vínculo contratual, empregatício ou funcional, ou por meio de representante constituído, acompanhada de instrumento com poderes de representação junto à ANPD.

No caso dos cartórios extrajudiciais, para comprovação do vínculo do encarregado poderá ser apresentado o contrato escrito utilizado para a sua nomeação, nos termos do art. 88 do Provimento 149/23 do CNJ¹².

A Resolução CD/ANPD 15/24 dispõe que comunicação à ANPD deverá ocorrer por meio de formulário eletrônico disponibilizado pela Autoridade, no prazo de três dias úteis, contado do conhecimento pelo controlador de que o incidente afetou dados pessoais¹³.

A Autoridade Nacional concede, ainda, o prazo de vinte dias úteis para complementação, de maneira fundamentada, das informações requeridas na resolução CD/ANPD 15/24¹⁴.

Apesar da recente consolidação do prazo de comunicação do incidente pela Autoridade Nacional, ainda não houve alteração do parâmetro aplicado aos cartórios no Provimento nº 149/2023 do CNJ. Nesse sentido, as serventias possuem até quarenta e oito horas úteis - contadas a partir do conhecimento da ocorrência - para realizar a comunicação ao juiz corregedor permanente, à CGJ - Corregedoria-Geral da Justiça e à própria ANPD.

O Provimento do CNJ não dispõe sobre o prazo para comunicação do incidente, pelo cartório, ao titular. Neste caso, recomenda-se a aplicação do mesmo prazo definido pela Autoridade Nacional, qual seja, três dias úteis¹⁵.

2.3 Conteúdo da comunicação do incidente

A comunicação do incidente poderá ser necessária tanto às autoridades fiscalizadoras quanto aos titulares. Com base no regulamento expedido pela ANPD, pode-se classificar o conteúdo da comunicação de acordo com seu alvo, conforme abaixo: 

CONTEÚDO DA COMUNICAÇÃO
Para a ANPD, CGJ e juiz corregedor permanente	Para o titular de dados pessoais
Descrição da natureza e da categoria de dados pessoais afetados.	Descrição da natureza e da categoria de dados pessoais afetados.
Número de titulares afetados, discriminando, quando aplicável, o número de crianças, de adolescentes ou de idosos.	-
Medidas técnicas e de segurança utilizadas para a proteção dos dados pessoais, adotadas antes e após o incidente, observados os segredos comercial e industrial.	Medidas técnicas e de segurança utilizadas para a proteção dos dados, observados os segredos comercial e industrial.
Riscos relacionados ao incidente com identificação dos possíveis impactos aos titulares.	Riscos relacionados ao incidente com identificação dos possíveis impactos aos titulares.
Motivos da demora, no caso de a comunicação não ter sido realizada no prazo determinado.	Motivos da demora, no caso de a comunicação não ter sido feita no prazo determinado.
Data da ocorrência do incidente, quando possível determiná-la, e a de seu conhecimento pelo controlador.	-
Dados do encarregado ou de quem representa o controlador.	Contato para obtenção de informações e os dados de contato do encarregado.
Identificação do controlador.	-
Identificação do operador, quando aplicável.
Descrição do incidente, incluindo a causa principal, caso seja possível identificá-la.	Medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do incidente, quando cabíveis.
Total de titulares cujos dados são tratados nas atividades de tratamento afetadas pelo incidente.	-
-	Data do conhecimento do incidente de segurança.

É fundamental que a comunicação do incidente aos titulares faça uso de linguagem simples e de fácil entendimento e ocorra de forma direta e individualizada, caso seja possível identificá-los. 

A comunicação deve ser dar pelos meios usualmente utilizados pelo cartório para contatar o titular, tais como telefone, e-mail, mensagem eletrônica ou carta.

Constatada a inviabilidade de uma comunicação direta e individualizada ou de identificação, parcial ou integral, dos titulares afetados, deverá o delegatário comunicar a ocorrência do incidente pelos meios de divulgação disponíveis, tais como seu sítio eletrônico, aplicativos, suas mídias sociais e canais de atendimento ao titular (art. 9º, § 3º, Resolução CD/ANPD 15/24).

Tudo isso de forma que a comunicação permita o conhecimento amplo, com direta e fácil visualização, pelo período de, no mínimo, três meses.

3. Registro do incidente de segurança

Todos os incidentes de segurança ocorridos no âmbito dos cartórios precisam ser registrados, ainda que não sejam passíveis de comunicação a autoridades e titulares. Trata-se de medida que permite o rastreamento e a análise de vulnerabilidades da serventia, servindo de base para melhorias nas suas políticas de segurança.

Ademais, viabiliza a documentação dos esforços do cartório no processo de apuração e resposta ao incidente, fornecendo evidências de conformidade e de observância do princípio da responsabilização e prestação de contas (art. 6º, X, LGPD), que exige que o agente de tratamento não só adote medidas para proteger os dados pessoais, como também as comprove de forma transparente.

A Resolução CD/ANPD 15/24 dispõe sobre o rol de informações que deverá compor registro do incidente, vejamos:

Art. 10 (...)

§ 1º O registro do incidente deverá conter, no mínimo:

I - a data de conhecimento do incidente;

II - a descrição geral das circunstâncias em que o incidente ocorreu;

III - a natureza e a categoria de dados afetados;

IV - o número de titulares afetados;

V - a avaliação do risco e os possíveis danos aos titulares;

VI - as medidas de correção e mitigação dos efeitos do incidente, quando aplicável;

VII - a forma e o conteúdo da comunicação, se o incidente tiver sido comunicado à ANPD e aos titulares; e

VIII - os motivos da ausência de comunicação, quando for o caso.

O registro do incidente deve ser mantido pelo prazo mínimo de cinco anos, contado a partir da data do registro, exceto se constatadas obrigações adicionais que demandem maior prazo de manutenção¹⁶.

A gestão da segurança da informação é pilar essencial do escopo protetivo trazido pela LGPD. O trabalho preventivo para proteção dos dados pessoais deve envolver medidas capazes de prevenir incidentes envolvendo esses ativos. Em caso de sua ocorrência, saber responder a ela também é tarefa do agente de tratamento.

Nas situações em que o incidente exigir comunicação formal sobre ele - ou seja, naqueles que possam acarretar risco ou dano relevante aos titulares -, há a possibilidade de prejuízos não só às pessoas naturais a quem se referem os dados pessoais envolvidos, mas ao próprio cartório e ao ecossistema extrajudicial, especialmente de caráter reputacional.

Além de figurar na posição de "responsável por incidente" perante autoridades e titulares, o delegatário poderá ser obrigado pela ANPD - após avaliação da Autoridade quanto à sua gravidade -, a providenciar sua ampla divulgação em meios de comunicação.

Os cartórios representam o serviço mais confiável para os brasileiros¹⁷. Manter esse grau de credibilidade perante a sociedade perpassa pela adoção de medidas de segurança robustas e de respostas eficientes a ocorrências nocivas (ou potencialmente nocivas) aos dados pessoais sob sua responsabilidade.

_______

1 A LGPD determina, em seu art. 46, que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.