Danilo Doneda

João Paulo Bachur

Mônica Fujimoto

As “centrais de cartórios” criadas por atos administrativos do Conselho Nacional de Justiça (CNJ) e de Tribunais de Justiça estaduais configuram um novo regime de prestação de serviços eletrônicos em que associações privadas de notários e registradores centralizam e tratam bases de dados pessoais em nível nacional. A atuação dessas centrais impõe nova camada de tratamento de dados no iter seguido pela informação pessoal até a prestação dos serviços, que deve, necessariamente, ser considerada em seus riscos face à Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709, de 14 de agosto de 2018).
As possibilidades de otimização e aperfeiçoamento dos serviços notariais e de registro proporcionadas pelas tecnologias de informação e comunicação proporcionou intensa reflexão sobre novas possibilidades para esses serviços. Medidas e normas técnicas para a sua informatização passaram a ser providenciadas por órgãos do Poder Judiciário.
<a href="https://www.jota.info/produtos/poder?utm_source=Banner%20site&amp;utm_medium=Artigos&amp;utm_campaign=CTA_Poder_materias"><img class="size-medium wp-image-292717 aligncenter" src="https://www.jota.info/wp-content/uploads/2021/01/jota-pro-poder.jpg" alt="" width="688" height="688" /></a>Em determinado momento, tais medidas admitiram entidades ao sistema notarial e registral tal como desenhado pelo art. 236 da Constituição, que prevê uma delegação direta do Poder Público ao notário e registrador, sem intermediários ou subdelegatários.
Notários e registradores passaram a ser obrigados a fornecer dados pessoais de cidadãos que constam de seus acervos para as associações escolhidas caso a caso. Por exemplo, os Provimentos 88 e 100 do CNJ determinam o repasse de todas as biometrias, fichas de assinaturas, telefones, endereços e imagens de documentos dos brasileiros para uma associação privada, o Colégio Notarial do Brasil. O Provimento 46 do CNJ transfere toda a base dos cartórios de registro civil para a Associação dos Registradores de Pessoas Naturais do Brasil (ARPEN).
Há inúmeros exemplos. Em relação aos registros de imóveis, o Provimento CGJSP nº 42, de 19 de dezembro de 2012, implantou o Serviço de Registro Eletrônico de Imóveis (SREI) no Estado de São Paulo e instituiu a operação da Central de Serviços Eletrônicos Compartilhados dos Registradores de Imóveis (Central Registradores de Imóveis), plataforma desenvolvida, operada e administrada pela ARISP. A Corregedoria paulista vem, inclusive, proibindo que os próprios oficiais prestem seu serviço eletrônico diretamente, tornando obrigatória a intermediação e o tratamento de dados pessoais por pessoa jurídica de direito privado<a href="applewebdata://60E93EC9-A0BC-4CB7-A62C-867F5E6FC4FE#_ftn1" name="_ftnref1">[1]</a>.
A legitimação desse novo regime decorre da instituição do Operador Nacional do Sistema de Registro Eletrônico de Imóveis (ONR) pela Lei nº 13.465, de 11 de julho de 2017, organizado na forma de pessoa jurídica de direito privado sem fins lucrativos. Atualmente, quatro Ações Diretas de Inconstitucionalidade propugnam a inconstitucionalidade do ONR: ADI 5.771, de autoria do Ministério Público Federal, ADI 5.787 do Partido dos Trabalhadores, ADI 5.883, do Instituto dos Arquitetos do Brasil e ADI 6.787, do Partido Socialismo e Liberdade.
A interposição de entidade privada entre o notário ou registrador e o usuário de serviços notariais e de registro (titular de dados pessoais) exige necessariamente a consideração dos riscos relativos a potenciais violações da privacidade e do direito fundamental à proteção de dados.
<blockquote class="jota-article__eye">Chama a atenção a mudança na arquitetura do sistema: a atuação de agentes autônomos e decentralizados, segundo o desenho constitucional, é substituída por um sistema privatizado e centralizador em que os agentes autônomos passam a atuar como “fornecedores" de dados pessoais para estruturas alheias à delegação constitucional do art. 236 (as referidas associações ou centrais de cartórios).</blockquote>
Uma abordagem centralizada para os sistemas registral e notarial pode parecer sedutora sob determinados aspectos. A concentração de dados pode facilitar a prestação de serviços que eventualmente sejam dificultados por questões como distância ou tempo de resposta, considerando a discrepância entre estruturas de notários e registradores em um país com as proporções do Brasil. Outrossim, o serviço tende a ser mais uniforme.
Há, no entanto, riscos concretos e relevantes a serem levados em conta sob o prisma da proteção de dados.
Sistemas centralizados apresentam, entre outras, a desvantagem de proporcionarem o chamado “ponto de falha único” (single point of failure), isto é, qualquer falha ou problema compromete integralmente a prestação do serviço como um todo. Eventuais incidentes de segurança em um sistema centralizado possuem o potencial de comprometer a generalidade dos dados pessoais armazenados. Ainda, estando submetidos tais sistemas centralizados a uma autoridade única, o poder dos gestores aumenta de forma muito acentuada, tornando questões sobre a sua legitimidade e a governança dos dados elementos cruciais a serem levados em conta para a garantia e efetividade dos direitos dos titulares de dados pessoais<a href="applewebdata://60E93EC9-A0BC-4CB7-A62C-867F5E6FC4FE#_ftn2" name="_ftnref2">[2]</a>.
Há que se ressaltar, neste momento, que a centralização de bases de dados não é, absolutamente, o caminho único ou preferencial para a modernização e aperfeiçoamento de serviços que dependam do armazenamento e tratamento massivo de dados pessoais. Muito pelo contrário. Sistemas decentralizados hoje dispõem de procedimentos para garantir a sua interoperabilidade, possibilitando que resultados equivalentes à centralização sejam atingidos sem a efetiva centralização de bases de dados e com o oferecimento ao titular de dados de instrumentos eficazes de transparência e controle sobre os seus próprios dados, além da otimização de recursos, entre outros<a href="applewebdata://60E93EC9-A0BC-4CB7-A62C-867F5E6FC4FE#_ftn3" name="_ftnref3">[3]</a>.
A interoperabilidade versa especificamente sobre a “a capacidade dos sistemas das tecnologias da informação e dos processos operacionais de que constituem o suporte para trocar dados e assegurar a partilha de informações e conhecimentos”<a href="applewebdata://60E93EC9-A0BC-4CB7-A62C-867F5E6FC4FE#_ftn4" name="_ftnref4">[4]</a>, estando os “recipientes” (pots)<a href="applewebdata://60E93EC9-A0BC-4CB7-A62C-867F5E6FC4FE#_ftn5" name="_ftnref5">[5]</a> compartimentalizados. O que se observa no sistema que se impôs progressivamente no Brasil, porém, não é a interoperabilidade de vários “pots”, e sim, a centralização das informações e de dados pessoais nas mãos das associações privadas escolhidas como “Centrais”.
Há argumentos em favor do sistema centralizado sustentando que o sistema pode beneficiar a persecução dos interesses públicos dos sistemas de registro de propriedade, possibilitando a elaboração de estatísticas e a interoperabilidade de sistemas descentralizados<a href="applewebdata://60E93EC9-A0BC-4CB7-A62C-867F5E6FC4FE#_ftn6" name="_ftnref6">[6]</a>. Ora, o modelo do SREI não é o de interoperabilidade, e sim o de centralização de bases de dados sob a tutela de entidade privada. Argumentos teóricos devem sobreviver ao teste da implementação prática.
Lembre-se aqui o caso de central de registros administrada pela Arpen-SP que, em 2019, foi responsável pelo vazamento de dados de quase 1 milhão de arquivos, incluindo dados sensíveis de crianças e adolescentes<a href="applewebdata://60E93EC9-A0BC-4CB7-A62C-867F5E6FC4FE#_ftn7" name="_ftnref7">[7]</a>:
"Foram vazados 988 mil arquivos. Um único deles é um banco de dados com 381 mil certidões de nascimento, com informações de mais de 1 milhão de pais (339 mil), mães (378 mil) e filhos (381 mil). O UOL pesquisou essa base de dados e localizou várias pessoas em redes sociais e em registros públicos. Há, por exemplo, uma cabeleireira que ficou viúva e cuida de uma jovem e de um adolescente, um policial militar, um pai descendente de chineses que não paga pensão a seu filho de sete anos e até uma pessoa que responde processo por receptação e furto na Justiça. (...)
Troca de mensagens de funcionário da Arpen-SP (Associação dos Registradores de Pessoas Naturais de São Paulo) mostra que a causa do vazamento foi uma falha no sistema da entidade, que congrega cartórios do estado para esse tipo de registro. O funcionário conversou com o grupo de pesquisadores Certo (sigla para Computer Emergency Response Team), que atua com segurança da informação e proteção da privacidade. Foram eles que, no final de agosto, alertaram a Arpen sobre a exposição de dados das pessoas".
Há motivos, portanto, para considerar que a centralização do sistema registral, que envolve a transferência de dados pessoais dos cidadãos brasileiros coletados pelos cartórios para entidades privadas, é incompatível com as disposições da LGPD.
A entrada em vigor da LGPD estabeleceu no ordenamento pátrio uma série de princípios materiais, dentre os quais os princípios da finalidade, adequação, necessidade, transparência, prevenção e segurança, bem como uma série de requisitos legais que devem preceder o tratamento de dados pessoais. E é justamente ante a este novo paradigma de tratamento de dados que a criação de bases de registro notariais centralizadas na mão de entidades privadas passa a provocar preocupações quanto ao risco de violação ao direito fundamental de proteção aos dados. Frise-se que tais dados são coletados para o exercício de finalidade pública essencial, a fim de conferir a estabilidade de relações jurídicas, bem como garantir a eficácia formal e substancial por meio da realização de registros pelos delegados de fé pública.<a href="applewebdata://60E93EC9-A0BC-4CB7-A62C-867F5E6FC4FE#_ftn8" name="_ftnref8">[8]</a>
E não é por outro motivo que a LGPD considera que as obrigações atreladas aos serviços notariais e de registro são as mesmas das dispensadas às pessoas jurídicas de direito público (art. 23, § 4º, LGPD). Dessa forma, a transferência desses dados para entidades privadas contraria o propósito essencial do tratamento de dados pessoais pelas pessoas de direito público, qual seja, o atendimento de sua finalidade pública, a persecução de interesse público e o objetivo de executar as competências legais ou cumprir com as  atribuições legais do serviço público (art. 23, caput, LGPD).
Para que o aumento da vulnerabilidade e a limitação ao direito fundamental sejam considerados constitucionais, o legislador deve atender ao princípio da transparência e proporcionalidade, devendo estabelecer medidas organizacionais e preventivas, de modo a proteger o indivíduo contra os riscos à violação da sua personalidade. Essas medidas, contudo, não foram previstas nas normativas de criação das centrais de cartórios.
A responsabilização por eventual incidente igualmente não foge às controvérsias aqui tratadas, principalmente na perspectiva de enquadramento do controlador e operador, vez que é crucial identificar as competências de cada agente para fins de responsabilização (art. 42, LGPD). No contexto das centrais de cartórios, contudo, essa atribuição não é feita de forma clara e devida. Isso porque o controlador definido pela legislação que criam as centrais e figuras como ONR não é o mesmo que o controlador da operação, isto é, o notário ou registrador, conforme definição de competência realizada pelo art. 236 da Constituição Federal, que estabelece o dever de tutela dos documentos de sua serventia, o sigilo das informações que lhe forem prestadas e a facilitação do acesso à documentação sob sua custódia.
Dessa forma, diante do confronto entre a Lei Geral de Proteção de Dados e as portarias administrativas que criaram as centrais de cartórios observa-se um possível quadro de violação ao direito fundamental à proteção de dados, devido a: i) o risco generalizado e ampliado de exposição dos dados dos titulares; ii) ausência de base legal que legitime a atividade de tratamento; iii) indefinição quanto à responsabilização dos controladores em caso de incidentes de segurança; iv) violação aos princípios da transparência, minimização e proporcionalidade; v) ausência de medidas que garantam a segurança dos titulares.
A modernização tecnológica dos cartórios não pressupõe a centralização de bases de dados nas mãos de associação privada escolhida a dedo. A centralização e a privatização são, na verdade, a degeneração do escopo original que animou a digitalização dos serviços notariais e de registro. Ainda que a centralização ocorra sob a justificativa da eficiência, é incontornável que a informatização dos cartórios ocorra nos marcos constitucionais da proteção à privacidade, em respeito ao direito fundamental à proteção de dados já reconhecido pelo STF.
<hr />
<div id="teste3-99b6e4ed7825b47581be" role="main"></div>
<script type="text/javascript" src="https://d335luupugsy2.cloudfront.net/js/rdstation-forms/stable/rdstation-forms.min.js"></script> 
<script type="text/javascript"> new RDStationForms('teste3-99b6e4ed7825b47581be', 'UA-53687336-1').createForm();</script> 
<script type="text/javascript">
setTimeout(function(){
 const btn = document.getElementById("rd-button-knf3ol7n")
 const check = document.getElementById("rd-checkbox_field-knj7ibbg")
 btn.disabled = true;
 btn.style.opacity = 0.7;
 check.addEventListener("click", function() {
 if (check.checked){
 btn.disabled = false;
 btn.style.opacity = 1;
 } else {
 btn.disabled = true;
 btn.style.opacity = 0.7;
 }
 });
}, 3000);
</script>
<hr />
<a href="applewebdata://60E93EC9-A0BC-4CB7-A62C-867F5E6FC4FE#_ftnref1" name="_ftn1">[1]</a> Atualmente, o sistema é gerenciado pela Coordenação Nacional das Centrais Estaduais de Serviços Eletrônicos Compartilhados, vinculado ao Instituto de Registro Imobiliário do Brasil (IRIB) e oferece diretamente serviços online tais como pedido de certidões, visualização eletrônica da matrícula do imóvel, pesquisa de bens que permite a busca por CPF ou CNPJ para detector bens imóveis registrados. CNJ. Sistema de Registro Eletrônico de Imóveis. Disponível em: https://www.cnj.jus.br/sistemas/sistema-de-registro-eletronico-de-imoveis-srei/  Acesso em 21/04/2020.
<a href="applewebdata://60E93EC9-A0BC-4CB7-A62C-867F5E6FC4FE#_ftnref2" name="_ftn2">[2]</a> Primavera de Filippi, Smari Mccarthy. "Cloud Computing: Centralization and Data Sovereignty". European Journal of Law and Technology, University of Warwick, 2012, 3 (2). &lt; https://hal.archives-ouvertes.fr/hal-00746065/file/07_-_2012_EJLT_-Cloud_Computing_and_Data_Sovereignty.pdf &gt;.
<a href="applewebdata://60E93EC9-A0BC-4CB7-A62C-867F5E6FC4FE#_ftnref3" name="_ftn3">[3]</a> Florian Kelbert, Alexander Pretschner. "Decentralized Distributed Data Usage Control". CANS 2014: Cryptology and Network Security, pp 353-369
<a href="applewebdata://60E93EC9-A0BC-4CB7-A62C-867F5E6FC4FE#_ftnref4" name="_ftn4">[4]</a> COMISSÃO DAS COMUNIDADES EUROPEIAS. Comunicação da Comissão ao Conselho e ao Parlamento Europeu relativa ao reforço da eficácia, da interoperabilidade e das sinergias entre as bases de dados europeias o domínio da justiça e dos assuntos internos. Bruxelas, 24.11.2005. COM(2005) 597 final. Disponível em: https://eur-lex.europa.eu/legalcontent/ PT/TXT/PDF/?uri=CELEX:52005DC0597&amp;from=EN  . Acesso em 24/04/2021
<a href="applewebdata://60E93EC9-A0BC-4CB7-A62C-867F5E6FC4FE#_ftnref5" name="_ftn5">[5]</a> “Crucially, databases are compartmentalised; even though in the future all third-country nationals will be effectively captured by at least one database, the data pots are separate from each other”.  Disponível em: https://eumigrationlawblog.eu/interoperability-of-europeancentralised-
databases-another-nail-in-the-coffin-of-third-country-nationals-privacy/  Acesso em 25/04/2021.
<a href="applewebdata://60E93EC9-A0BC-4CB7-A62C-867F5E6FC4FE#_ftnref6" name="_ftn6">[6]</a> UNGER, Adriana; BIONI, Bruno; FANTINATO, Marcelo; LUCIANO, Maria. Measuring property registry in Brazil: A privacy by design econometric model. Conference: World Bank Land and Poverty Conference 2020 at Washington, USA. Disponível em: https://www.researchgate.net/publication/340087960_Measuring_property_registry_in_Brazil_A_privacy_by_design_econometric_model  Acesso em 24/04/2021.
<a href="applewebdata://60E93EC9-A0BC-4CB7-A62C-867F5E6FC4FE#_ftnref7" name="_ftn7">[7]</a> MILITÃO, Eduardo. Falha de cartórios expõe dados de ao menos 1 milhão de pais, mães e filhos. UOL, publicado em 29/10/2019. Disponível em:
https://noticias.uol.com.br/cotidiano/ultimas-noticias/2019/10/29/falha-de-cartorios-expoedados-de-ao-menos-1-milhao-de-pais-maes-e-filhos.htm?cmpid=copiaecola  Acesso em 29/04/2021.
<a href="applewebdata://60E93EC9-A0BC-4CB7-A62C-867F5E6FC4FE#_ftnref8" name="_ftn8">[8]</a> AMADEI, Vicente de Abreu. Teoria Geral das Notas e do Registro. In: Direito Notarial e Registral Avançado. Consuelo Yatsuda Moromizato Yoshida; Marcelo Figueiredo; Vicente de Abreu Amadei (org.) 1 ed. ebook. São Paulo: Editora Revista dos Tribunais, 2014

hacker-2300772_1280

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Centralização do sistema registral é incompatível com as disposições da LGPD

As centrais de cartórios e os riscos à proteção de dados pessoais

Centralização do sistema registral é incompatível com as disposições da LGPD