Ementa

Estabelece medidas a serem adotadas pelas serventias extrajudiciais em âmbito nacional para o processo de adequação à Lei Geral de Proteção de Dados Pessoais.

A CORREGEDORA NACIONAL DE JUSTIÇA, no uso de suas atribuições legais e regimentais,

CONSIDERANDO que é missão do Conselho Nacional de Justiça (CNJ) desenvolver políticas judiciárias que promovam a efetividade e a unidade ao Poder Judiciário, incluindo-se as serventias extrajudiciais, para os valores de justiça e de paz social;

CONSIDERANDO a competência dos órgãos judiciários para exercerem função regulatória das atividades prestadas nas serventias notariais e registrais (CRFB, art. 236, § 1º);

CONSIDERANDO que o § 2º do art. 5º da Emenda Constitucional n. 45/2004, dispõe que, até que entre em vigor o Estatuto da Magistratura, o Conselho Nacional de Justiça, mediante resolução, disciplinará seu funcionamento e definirá as atribuições do Ministro Corregedor;

CONSIDERANDO que, em cumprimento desse citado mandamento constitucional, o Regimento Interno do Conselho Nacional de Justiça estabelece que compete ao Corregedor Nacional de Justiça, entre outras competências, expedir provimentos, instruções, orientações e outros atos normativos destinados ao aperfeiçoamento das atividades dos serviços auxiliares do Poder Judiciário e dos serviços notariais e de registro (art. 8º, X);

CONSIDERANDO a necessidade de regulamentar as disposições da Lei n. 13.709, de 14 de agosto de 2018, que dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural, considerando as resoluções aplicáveis, como a Resolução CD/ANPD n. 02, de 27 de janeiro de 2022;

CONSIDERANDO o princípio da publicidade que orienta a prática dos atos registrais e notariais, possibilitando, inclusive, que a pessoa possa requerer certidão sem informar o motivo ou o interesse do pedido (Lei n. 6.015/1973, art. 17; Lei n. 8.934/1994, art. 1º);

CONSIDERANDO a obrigação das serventias extrajudiciais de cumprir as normas técnicas estabelecidas pelo Poder Judiciário (arts. 37 e 38 da Lei n. 8.935, de 18 de novembro de 1994);

CONSIDERANDO o fato de haver tratamento de dados pessoais, sensíveis ou não, na prestação das atividades notariais e registrais, sendo os responsáveis pelas delegações dos serviços extrajudiciais de notas e de registro, no desempenho de suas atividades, controladores de dados pessoais;

CONSIDERANDO o compartilhamento de dados pessoais pelos responsáveis das serventias extrajudiciais com as centrais de serviços eletrônicos compartilhados, decorrente de previsões legais e normativas;

RESOLVE:

CAPÍTULO I

DAS DISPOSIÇÕES GERAIS

Art. 1º Os responsáveis pelas serventias extrajudiciais deverão atender às disposições da Lei Geral de Proteção de Dados Pessoais – LGPD (Lei n. 13.709/2018), independentemente do meio ou do país onde os dados estão localizados, obedecendo a seus fundamentos, princípios e obrigações concernentes à governança do tratamento de dados pessoais.

Parágrafo único. Deverão ser cumpridas as disposições previstas na LGPD e nas diretrizes, regulamentos, normas, orientações e procedimentos expedidos pela Autoridade Nacional de Proteção de Dados Pessoais, com base nas competências previstas no artigo 55-J da LGPD.

Art. 2º O tratamento de dados pessoais destinado à prática dos atos inerentes ao exercício dos respectivos ofícios, consistentes no exercício de competências previstas em legislação específica, será promovido de forma a atender à finalidade da prestação do serviço, na persecução do interesse público, e com os objetivos de executar as competências legais e desempenhar atribuições legais e normativas dos serviços públicos delegados.

Art. 3º Fica criada, no âmbito da Corregedoria Nacional de Justiça do Conselho Nacional de Justiça, a Comissão de Proteção de Dados – CPD/CN/CNJ, de caráter consultivo, responsável por propor, independentemente de provocação, diretrizes com critérios sobre a aplicação, interpretação e adequação das Serventias à LGPD, espontaneamente ou mediante provocação pelas Associações.

Art. 4º Os responsáveis pelas delegações dos serviços extrajudiciais de notas e de registro, na qualidade de titulares das serventias, interventores ou interinos, são controladores no exercício da atividade típica registral ou notarial, a quem compete as decisões referentes ao tratamento de dados pessoais.

Parágrafo único. Os administradores dos Operadores Nacionais de registros públicos e de Centrais de serviços compartilhados são controladores para fins da legislação de proteção de dados pessoais.

Art. 5º O operador, a que se refere o art. 5º da LGPD, é a pessoa natural ou jurídica, de direito público ou privado, externa ao quadro funcional da serventia, contratada para serviço que envolva o tratamento de dados pessoais em nome e por ordem do controlador.

CAPÍTULO II

DA GOVERNANÇA DO TRATAMENTO DE DADOS PESSOAIS NAS SERVENTIAS

Art. 6º Na implementação dos procedimentos de tratamento de dados, o responsável pela serventia extrajudicial deverá verificar o porte da sua serventia e classificá-la, de acordo com o Provimento n. 74, de 31 de julho de 2018, da Corregedoria Nacional de Justiça (Classe I, II ou III), e observadas as regulamentações da Autoridade Nacional de Proteção de Dados (“ANPD”), fazer a adequação à legislação de proteção de dados conforme o volume e a natureza dos dados tratados, e de forma proporcional à sua capacidade econômica e financeira para aporte e custeio de medidas técnicas e organizacionais, adotar ao menos as seguintes providências:

I – nomear encarregado pela proteção de dados;

II – mapear as atividades de tratamento e realizar seu registro;

III – elaborar relatório de impacto sobre suas atividades, na medida em que o risco das atividades o faça necessário;

IV – adotar medidas de transparência aos usuários sobre o tratamento de dados pessoais;

V – definir e implementar Política de Segurança da Informação;

VI – definir e implementar Política Interna de Privacidade e Proteção de Dados;

VII – criar procedimentos internos eficazes, gratuitos, e de fácil acesso para atendimento aos direitos dos titulares;

VIII – zelar para que terceiros contratados estejam em conformidade com a LGPD, questionando-os sobre sua adequação e revisando cláusulas de contratação para que incluam previsões sobre proteção de dados pessoais; e

IX – treinar e capacitar os prepostos.

CAPÍTULO III

DO MAPEAMENTO DAS ATIVIDADES DE TRATAMENTO

Art. 7º O mapeamento de dados consiste na atividade de identificar o banco de dados da serventia, os dados pessoais objeto de tratamento e o seu ciclo de vida, incluindo todas as operações de tratamento a que estão sujeitos, como a coleta, armazenamento, compartilhamento, descarte, e quaisquer outras operações às quais os dados pessoais estejam sujeitos.

§ 1º O produto final da atividade de mapeamento será denominado “Inventário de Dados Pessoais”, devendo o responsável pela serventia:

I – garantir que o inventário de dados pessoais contenha os registros e fluxos de tratamento dos dados com base na consolidação do mapeamento e das decisões tomadas a respeito de eventuais vulnerabilidades encontradas, que conterão informações sobre:

a) finalidade do tratamento;

b) categorias de dados pessoais, e descrição dos dados utilizados nas respectivas atividades;

c) a identificação das formas de obtenção/coleta dos dados pessoais;

d) base legal;

e) descrição da categoria dos titulares;

f) se há compartilhamento de dados com terceiros, identificando eventual transferência internacional;

g) categorias de destinatários, se houver;

h) prazo de conservação dos dados; e

i) medidas de segurança organizacionais e técnicas adotadas.

II – elaborar plano de ação para a implementação dos novos processos, procedimentos, controles e demais medidas internas, incluindo a revisão e criação de documentos, bem como as formas de comunicação com os titulares e a Autoridade Nacional de Proteção de Dados (ANPD), quando necessária;

III – conduzir a avaliação das vulnerabilidades (gap assessment) para análise de lacunas em relação à proteção de dados pessoais no que se refere às atividades desenvolvidas na serventia;

IV – tomar decisões diante das vulnerabilidades encontradas e implementar as adequações necessárias e compatíveis com a tomada de decisões;

V – atualizar, sempre que necessário, não podendo ultrapassar um ano, o inventário de dados; e

VI – arquivar o inventário de dados pessoais na serventia e disponibilizá-lo em caso de solicitação da Corregedoria Geral da Justiça, da Autoridade Nacional de Proteção de Dados Pessoais ou de outro órgão de controle.

§ 2º O responsável pela serventia extrajudicial poderá utilizar formulários e programas de informática adaptados para cada especialidade de serventia para o registro do fluxo dos dados pessoais, abrangendo todas as fases do seu ciclo de vida durante o tratamento, tais como coleta, armazenamento e compartilhamento, eventualmente disponibilizados por associações de classe dos notários e registradores.

CAPÍTULO IV

DA REVISÃO DOS CONTRATOS

Art. 8º A serventia deverá revisar e adequar todos os contratos que envolvam as atividades de tratamento de dados pessoais às normas de privacidade e proteção de dados pessoais, considerando a responsabilização dos agentes de tratamento prevista na lei, observando os seguintes procedimentos:

I – revisar todos os contratos celebrados com os seus empregados, incluindo a obrigatoriedade de respeito às normas de privacidade e proteção de dados nos contratos ou em regulamentos internos;

II – revisar os modelos existentes de minutas de contratos e convênios externos, que envolvam atividades de tratamento de dados pessoais, incluindo compartilhamento de dados;

III – elaborar “Termos de Tratamento de Dados Pessoais” para assinatura com os operadores, sempre que possível, incluindo as informações sobre quais dados pessoais são tratados, quem são os titulares dos dados tratados, para quais finalidades e quais são os limites do tratamento;

IV – incluir cláusulas de descarte de dados pessoais nos contratos, convênios e instrumentos congêneres, conforme os parâmetros da finalidade (pública) e necessidade acima indicados;

V – elaborar orientações e procedimentos para as contratações futuras, no intuito de deixá-los em conformidade com a lei de regência;

VI – criar procedimentos de auditoria regulares para realizar a gestão de terceiros com quem houver o compartilhamento de dados pessoais.

Art. 9º Os responsáveis pelas serventias extrajudiciais deverão exigir de seus fornecedores de tecnologia, automação e armazenamento a adequação às exigências da LGPD quanto aos sistemas e programas de gestão de dados internos utilizados.

CAPÍTULO V

DO ENCARREGADO

Art. 10. Deverá ser designado o encarregado pelo tratamento de dados pessoais, conforme o disposto no art. 41 da LGPD, consideradas as seguintes particularidades:

I – os responsáveis pelas Serventias Extrajudiciais poderão terceirizar o exercício da função de Encarregado mediante a contratação de prestador de serviços, pessoa física ou pessoa jurídica, desde que apto ao exercício da função;

II – a função do Encarregado não se confunde com a do responsável pela delegação dos serviços extrajudiciais de notas e de registro;

III – a nomeação do Encarregado será promovida mediante contrato escrito, a ser arquivado em classificador próprio, de que participarão o controlador na qualidade de responsável pela nomeação e o Encarregado; e

IV – a nomeação de Encarregado não afasta o dever de atendimento pelo responsável pela delegação dos serviços extrajudiciais de notas e de registro, quando for solicitado pelo titular dos dados pessoais.

§ 1º Serventias classificadas como “Classe I” e “Classe II” pelo Provimento n. 74, de 31 de julho de 2018, da Corregedoria Nacional de Justiça, poderão designar Encarregado de maneira conjunta.

§ 2º A nomeação e contratação do Encarregado de Proteção de Dados Pessoais pelas Serventias será de livre escolha do titular da Serventias, podendo, eventualmente, ser realizada de forma conjunta, ou ser subsidiado ou custeado pelas entidades de classe.

§ 3º Não há óbice para a contratação independente de um mesmo Encarregado por serventias de qualquer Classe, desde que demonstrável a inexistência de conflito na cumulação de funções e a manutenção da qualidade dos serviços prestados.

CAPÍTULO VI

DO RELATÓRIO DE IMPACTO

Art. 11. Ao responsável pela serventia incumbe cuidar para que seja realizado relatório de impacto à proteção de dados pessoais referente aos atos em que o tratamento de dados pessoais possa gerar risco às liberdades civis e aos direitos fundamentais do titular, de acordo com as orientações expedidas pela ANPD. A elaboração do Relatório deverá se atentar às seguintes instruções:

I – adotar metodologia que resulte na indicação de medidas, salvaguardas e mecanismos de mitigação de risco;

II – elaborar o documento previamente a contrato ou convênio que seja objeto da avaliação feita por meio do Relatório;

III – franquear, a título de transparência, aos afetados a possibilidade de se manifestarem a respeito do conteúdo; e

IV – elaborar o documento previamente à adoção de novos procedimentos ou tecnologias.

§ 1º Para o cumprimento das providências de que trata o caput do artigo, poderão ser fornecidos, pelas entidades representativas de classe, modelos, formulários e programas de informática adaptados para cada especialidade de serventia para elaboração de Relatório de Impacto.

§ 2º Serventias Classe I e II poderão adotar modelo simplificado de Relatório de Impacto conforme orientações da CPD/ CN/CNJ para a simplificação do documento. Na ausência de metodologia simplificada, adotar-se-á o Relatório completo.

§ 3º Serventias Classe III adotarão o modelo completo de Relatório de Impacto, conforme instruções metodológicas da CPD/CN/CNJ.

CAPÍTULO VII

DAS MEDIDAS DE SEGURANÇA, TÉCNICAS E ADMINISTRATIVAS

Art. 12. Cabe ao responsável pelas serventias implementar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito, nos termos dos arts. 46 e seguintes da LGPD, por meio de:

I – elaboração de política de segurança da informação que contenha:

a) medidas de segurança técnicas e organizacionais;

b) previsão de adoção de mecanismos de segurança, desde a concepção de novos produtos ou serviços (securityby design) (art. 46, § 1º, da LGPD); e

c) plano de resposta a incidentes (art. 48 da LGPD).

II – avaliação do sistemas e bancos de dados em que houver tratamento de dados pessoais e/ou tratamento de dados sensíveis, submetendo tais resultados à ciência do Encarregado pelo tratamento de dados pessoais da serventia;

III – avaliação da segurança de integrações de sistemas;

IV – análise da segurança das hipóteses de compartilhamento de dados pessoais com terceiros; e

V – realização de treinamentos.

Art. 13. O plano de resposta a incidentes de segurança envolvendo dados pessoais deverá prever a comunicação, pelos responsáveis por serventias extrajudiciais, ao titular, à Autoridade Nacional de Proteção de Dados, ao Juiz Corregedor Permanente e à Corregedoria Geral da Justiça, no prazo máximo de 48 horas úteis, contados a partir do seu conhecimento, de incidente que possa acarretar risco ou dano relevante aos titulares, com esclarecimento da natureza do incidente e das medidas adotadas para a apuração das suas causas e a mitigação de novos riscos e dos impactos causados aos titulares dos dados.

Art. 14. A inutilização e eliminação de documentos em conformidade com a Tabela de Temporalidade de Documentos prevista no Provimento n. 50/2015, da Corregedoria Nacional de Justiça, será promovida de forma a impedir a identificação dos dados pessoais neles contidos.

Parágrafo único. A inutilização e eliminação de documentos não afasta os deveres previstos na Lei n. 13.709, de 14 de agosto de 2018, em relação aos dados pessoais que remanescerem em índices, classificadores, indicadores, banco de dados, arquivos de segurança ou qualquer outro modo de conservação adotado na unidade dos serviços extrajudiciais de notas e de registro.

Art. 15. O responsável pela serventia extrajudicial, sempre que possível:

I – digitalizará os documentos físicos ainda utilizados; e

II – armazenará os documentos físicos que contenham dados pessoais e dados pessoais sensíveis em salas ou compartimentos com controle de acesso.

Parágrafo único. Após a digitalização, o documento físico poderá ser eliminado, respeitados as disposições e os prazos definidos no Provimento n. 50, de 28 de setembro de 2015, da Corregedoria Nacional de Justiça.

CAPÍTULO VIII

DO TREINAMENTO

Art. 16. As serventias deverão realizar treinamentos para implementação da cultura de privacidade e proteção de dados pessoais, bem como para a capacitação de todos os envolvidos no tratamento dos dados pessoais sobre os novos controles, processos e procedimentos, observando o seguinte:

I – capacitar todos os trabalhadores da serventia a respeito dos procedimentos de tratamento de dados pessoais;

II – realizar treinamentos com todos os novos trabalhadores;

III – manter treinamentos regulares, de forma a reciclar o conhecimento sobre o assunto e atualizar os procedimentos adotados, sempre que necessário;

IV – organizar, por meio do Encarregado e eventual equipe de apoio, programa de conscientização a respeito dos procedimentos de tratamento de dados, que deverá atingir todos os trabalhadores; e

V – manter os comprovantes da participação em cursos, conferências, seminários ou qualquer modo de treinamento proporcionado pelo controlador aos operadores e Encarregado, com indicação do conteúdo das orientações transmitidas.

Parágrafo único: O responsável pela serventia extrajudicial poderá solicitar apoio à entidade de classe para capacitação de seus prepostos.

CAPÍTULO IX

DAS MEDIDAS DE TRANSPARÊNCIA E ATENDIMENTO A DIREITOS DE TITULARES

Art. 17. Como medida de transparência e prezando pelos Direitos dos Titulares de dados, deverá o responsável pela serventia elaborar, por meio do canal do próprio Encarregado, se terceirizado, e/ou em parceria com as respectivas entidades de classe:

I – canal eletrônico específico para atendimento das requisições e/ou reclamações apresentadas pelos titulares dos dados pessoais; e

II – fluxo para atendimento aos direitos dos titulares de dados pessoais, requisições e/ou reclamações apresentadas, desde o seu ingresso até o fornecimento da resposta.

Art. 18. Deverão ser divulgadas em local de fácil visualização e consulta pelo público as informações básicas a respeito dos dados pessoais e procedimentos de tratamento, os direitos dos titulares dos dados, o canal de atendimento disponibilizado aos titulares de dados para que exerçam seus direitos e os dados de qualificação do encarregado, com nome, endereço, e meios de contato.

Art. 19. Deverão ser disponibilizadas pelos responsáveis pelas serventias informações adequadas a respeito dos procedimentos de tratamento de dados pessoais, nos termos do art. 9º da LGPD, por meio de:

I – aviso de privacidade e proteção de dados;

II – avisos de cookies no portal de cada serventia, se houver; e

III – aviso de privacidade para navegação no website da serventia, se houver.

Art. 20. A gratuidade do livre acesso dos titulares de dados (art. 6º, IV, da LGPD) será restrita aos dados pessoais constantes nos sistemas administrativos da serventia, não abrangendo os dados próprios do acervo registral e não podendo, em qualquer hipótese, alcançar ou implicar a prática de atos inerentes à prestação dos serviços notariais e registrais dotados de fé-pública.

§ 1º Todo documento obtido por força do exercício do direito de acesso deverá conter em seu cabeçalho os seguintes dizeres: “Este não é um documento dotado de fé pública, não se confunde com atos inerentes à prestação do serviço notarial e registral nem substitui quaisquer certidões, destinando-se exclusivamente a atender aos direitos do titular solicitante quanto ao acesso a seus dados pessoais”.

§ 2º A expedição de certidões deverá ser exercida conforme legislação específica registral e notarial e taxas e emolumentos cobrados conforme regulamentação própria.

§ 3º Mantém-se o disposto quanto aos titulares beneficiários da isenção de emolumentos, na forma da lei específica.

§ 4º O notário e/ou registrador coletarão as informações necessárias para identificação segura do solicitante, com o objetivo de garantir a confidencialidade.

CAPÍTULO X

DAS CERTIDÕES E COMPARTILHAMENTO DE DADOS COM CENTRAIS E ÓRGÃOS PÚBLICOS

Art. 21. Na emissão de certidão o Notário ou o Registrador deverá observar o conteúdo obrigatório estabelecido em legislação específica, adequado e proporcional à finalidade de comprovação de fato, ato ou relação jurídica.

Parágrafo único. Cabe ao Registrador ou Notário, na emissão de certidões, apurar a adequação, necessidade e proporcionalidade de particular conteúdo em relação à finalidade da certidão, quando este não for explicitamente exigido ou quando for apenas autorizado pela legislação específica.

Art. 22. Em caso de requerimento de certidões por via telemática, havendo necessidade de justificação do interesse na certidão, o solicitante será identificado por meio idôneo, reconhecido pela entidade responsável pela tramitação do serviço eletrônico compartilhado da respectiva especialidade cartorial.

Art. 23. O compartilhamento de dados com centrais de serviços eletrônicos compartilhados é compatível com a proteção de dados pessoais, devendo as centrais observar a adequação, necessidade e persecução da finalidade dos dados a serem compartilhados, bem como a maior eficiência e conveniência dos serviços registrais ou notariais ao cidadão.

Parágrafo único. Deverá ser dada preferência e envidados esforços no sentido de adotar a modalidade de descentralização das bases de dados entre a central de serviços eletrônicos compartilhados e as serventias, por meio do acesso pelas centrais às informações necessárias para a finalidade perseguida, evitando-se a transferência de bases de dados, a não ser quando necessária para atingir a finalidade das centrais ou quando o volume de requisições ou outro aspecto técnico prejudicar a eficiência da prestação do serviço.

Art. 24. O compartilhamento de dados com órgãos públicos pressupõe lei ou ato normativo do órgão solicitante, ou convênio ou outro instrumento formal com objeto compatível com as atribuições e competências legais da atividade notarial e registral.

§ 1º O compartilhamento deverá ser oferecido na modalidade de fornecimento de acesso a informações específicas adequadas, necessárias e proporcionais ao atendimento das finalidades presentes na política pública perseguida pelo órgão, observando-se os protocolos de segurança da informação e evitando-se a transferência de bancos de dados, a não ser quando estritamente necessária para a persecução do interesse público.

§ 2º Caso o registrador ou notário entenda haver desproporcionalidade na solicitação de compartilhamento de dados pelo órgão público, deverá consultar a Corregedoria Nacional de Justiça, no prazo de 24 horas, oferecendo suas razões, à luz do disposto neste artigo.

Art. 25. O responsável pela serventia extrajudicial efetuará, sempre que possível, aplicável e compatível com a finalidade perseguida e o tipo de tratamento, a criptografia ou a pseudonimização de dados pessoais para o acesso a informações ou transferência dos dados para terceiros, inclusive centrais de serviços eletrônicos compartilhados e órgãos públicos.

Art. 26. Os registradores e notários remeterão dados com a finalidade da formação de indicadores estatísticos às entidades previstas em lei ou regulamento, garantindo que sejam anonimizados na origem, nos termos da Lei Geral de Proteção de Dados Pessoais.

Art. 27. Na correição anual será verificada pelo corregedor permanente a adaptação de suas práticas de tratamento de dados pessoais à Lei Geral de Proteção de Dados Pessoais (LGPD) e a este Provimento.

CAPÍTULO XI

DO TABELIONATO DE NOTAS

Art. 28. A emissão e o fornecimento de certidão de ficha de firma e dos documentos depositados por ocasião de sua abertura somente poderão ser realizados a pedido do titular referido nos documentos, seus representantes legais e mandatários com poderes especiais ou mediante decisão judicial.

Art. 29. O fornecimento de certidões para os solicitantes legitimados pode ocorrer por meio de cópia reprográfica.

Art. 30. O pedido de lavratura de ata notarial, realizado por um dos pais, ou pelo responsável legal, envolvendo dados pessoais de sujeito menor de 12 (doze) anos de idade será considerado como consentimento específico e em destaque para o tratamento dos dados da criança.

Art. 31. Nos atos protocolares e nas escrituras públicas, não haverá necessidade de inserção da condição de pessoa exposta politicamente.

Art. 32. A certidão de testamento somente poderá ser fornecida ao próprio testador ou mediante ordem judicial.

Parágrafo único. Após o falecimento, a certidão de testamento poderá ser fornecida ao solicitante que apresentar a certidão de óbito.

Art. 33. No ato notarial, serão inseridos na qualificação dos sujeitos: o nome completo de todas as partes; o documento de identificação, ou, na sua falta, a filiação; o número de CPF; a nacionalidade; o estado civil; a existência de união estável; a profissão e o domicílio, sendo dispensada a inserção de endereço eletrônico e número de telefone.

CAPÍTULO XII

DO REGISTRO DE TÍTULOS E DOCUMENTOS E CIVIL DE PESSOAS JURÍDICAS

Art. 34. As notificações que contenham dados pessoais tratados devem ser feitas preferencialmente pelo Registro de Títulos e Documentos da circunscrição do destinatário. Quando assim não ocorrer, a notificação deverá ser enviada juntamente com folha adicional informativa com os dados tratados do notificado.

CAPÍTULO XIII

DO REGISTRO CIVIL DE PESSOAS NATURAIS

Art. 35. É livre o acesso às informações constantes nos livros de Registro Civil das Pessoas Naturais, por meio de certidões de breve relato, com as informações regulamentadas pelo Provimento n. 63/2017, da Corregedoria Nacional de Justiça, independentemente de requerimento ou de identificação do requerente.

Art. 36. As certidões de registro civil em geral, inclusive as de inteiro teor, requeridas pelos próprios interessados, seus representantes legais, mandatários com poderes especiais, serão expedidas independentemente de autorização do Juiz Corregedor Permanente.

§ 1º Nas hipóteses em que a emissão da certidão for requerida por terceiros e a certidão contiver dados sensíveis, somente será feita a expedição mediante a autorização do juízo competente.

§ 2º Após o falecimento do titular do dado sensível, as certidões de que trata o caput deste artigo poderão ser fornecidas aos parentes em linha reta, independentemente de autorização judicial.

Art. 37. Nas certidões de breve relato deverão constar somente as informações previstas no Provimento CN n. 63/2017, sendo que qualquer outra informação solicitada pela parte constante do registro ou anotações e averbações posteriores somente poderá ser fornecida por meio de certidão por quesitos ou por inteiro teor, de acordo com as disposições previstas neste Provimento.

Parágrafo único. Sempre deverão constar do campo destinado às observações a existência de adoção simples realizada por meio escritura pública; as alterações de nome indígena; a declaração do registrado como indígena; a etnia ou a inclusão de etnia; e a alteração de nome em razão da cultura ou do costume indígena.

Art. 38. As solicitações de certidões por quesitos, ou informações solicitadas independentemente da expedição de certidões, receberão o mesmo tratamento destinado às certidões solicitadas em inteiro teor quando os dados solicitados forem restritos, sensíveis ou sigilosos.

§ 1º São considerados elementos sensíveis os elencados no inciso II do art. 5º da Lei n. 13.709/2018, ou outros, desde que previstos em legislação específica.

§ 2º São considerados elementos restritos os previstos nos artigos 45 e 95 da Lei n. 6.015/1973, no artigo 6º e seus parágrafos, da Lei n. 8.560/1992, e no artigo 5º do Provimento n. 73/ 2018, da Corregedoria Nacional de Justiça, ou outros, desde que previstos em legislação específica.

§ 3º São considerados elementos sigilosos os previstos no parágrafo 7º do artigo 57 da Lei n. 6.015/1973, ou outros, desde que previstos em legislação específica.

Art. 39. A emissão de certidão em inteiro teor sempre depende de requerimento escrito com firma reconhecida do requerente ou com assinatura digital nos padrões ICP-Brasil, no padrão do sistema gov.br ou com assinatura confrontada com o documento de identidade original.

§ 1º O reconhecimento de firma será dispensado quando o requerimento for firmado na presença do Oficial ou de preposto.

§ 2º Os requerimentos poderão ser recepcionados por e-mail ou por meio da Central de Informações do Registro Civil – CRC, desde que assinados digitalmente, nos padrões da ICP-Brasil, cuja autenticidade e integridade serão conferidas no verificador de conformidade do ITI – Instituto Nacional de Tecnologia da Informação, por meio do sistema de assinatura gov.br ou com assinatura confrontada com o documento de identidade original.

§ 3º O requerimento de certidão em inteiro teor deverá conter a identificação do requerente, o motivo em virtude do qual se requer a certidão sob a forma de inteiro teor e o grau de parentesco com o registrado, caso exista, bem como o fato de ser este falecido ou não.

§ 4º A certidão com referência à circunstância de ser legítima a filiação poderá ser fornecida, inclusive a terceiros, independentemente de autorização judicial.

Art. 40. Não é necessário requerimento ou autorização judicial para emissão de certidão de óbito em nenhuma de suas modalidades.

Art. 41. As restrições relativas aos dados sensíveis elencados pelo inciso II do art. 5º da Lei n. 13.709/2018 não se aplicam ao caso de pessoa falecida.

Art. 42. A emissão e o fornecimento de certidão sobre procedimentos preparatórios ou documentos apresentados para a realização de atos no Registro Civil das Pessoas Naturais somente poderão ser realizados a pedido do próprio interessado ou do titular do documento, seus representantes legais e mandatários com poderes especiais ou mediante autorização judicial ou, ainda, quando o documento solicitado for público com publicidade geral e irrestrita.

Parágrafo único. Após o falecimento do titular, a certidão de que trata o caput deste artigo poderá ser fornecida ao solicitante que apresentar a certidão de óbito.

Art. 43. É facultado a qualquer interessado, independentemente de justificação ou de requerimento, realizar buscas nos índices dos Registros Civis das Pessoas Naturais, respeitados os emolumentos estabelecidos pelas legislações estaduais.

Parágrafo único. A realização de buscas baseadas em outras fontes, além dos índices de registros dos livros do cartório, somente será autorizada mediante requerimento escrito fundamentado, sujeito à análise de finalidade pelo Oficial do Registro Civil das Pessoas Naturais, de cuja decisão, em caso de indeferimento, caberá revisão pelo juiz competente.

Art. 44. O edital de proclamas conterá tão somente o nome, o estado civil, a filiação, a cidade e circunscrição do domicílio dos noivos.

Parágrafo único. Quando os nubentes residirem em circunscrições diferentes, constará do edital o endereço dos nubentes para a comprovação deste fato, nos termos do art. 67, § 4º, da Lei n. 6.015/1973.

CAPÍTULO XIV

DO REGISTRO DE IMÓVEIS

Art. 45. Dependem de identificação do requerente e independem de indicação da finalidade os pedidos de certidão de registros em sentido estrito, averbações, matrículas, transcrições ou inscrições específicas, expedidas em qualquer modalidade.

§ 1º Também dependem de identificação do requerente e independem de indicação da finalidade os pedidos de certidão de documentos arquivados no cartório, desde que haja previsão legal ou normativa específica de seu arquivamento no registro.

§ 2º Pedidos de certidão de documentos arquivados em cartório para a qual não haja previsão legal específica de expedição dependem de identificação do requerente e indicação da finalidade, aplicando-se a regra do § 4º deste artigo.

§ 3º Pedidos de certidão, busca e informações apresentados em bloco, ainda que instruídos com a numeração dos atos a serem certificados, dependem de identificação do requerente e indicação da finalidade.

§ 4º Na hipótese do parágrafo anterior, caracterizada tentativa de tratamento de dados em desacordo com as finalidades do Registro de Imóveis e com os princípios da Lei Geral de Proteção de Dados Pessoais, poderá o oficial recusar o fornecimento em nota fundamentada, do que caberá revisão pelo juízo competente.

Art. 46. Ressalvadas as hipóteses que tenham previsão legal ou normativa expressa, como as certidões de filiação de imóveis, ou de propriedade com negativa de ônus e alienações, ou outras compatíveis com as finalidades dos registros de imóveis e com os princípios da Lei Geral de Proteção de Dados, não serão expedidas certidões cujo conteúdo envolva informações sobre dados pessoais extraídos de mais de uma matrícula, assentamento do registro auxiliar, transcrição ou inscrição.

Art. 47. As certidões dos imóveis que já forem objeto de matrícula eletrônica, após a “primeira qualificação eletrônica”, serão expedidas, independentemente de indicação de finalidade, em formato nato-digital estruturado, contendo a situação jurídica atual do imóvel, ou seja, sua descrição, titularidade e os ônus reais não cancelados.

Parágrafo único. A expedição de certidão de atos anteriores da cadeia filiatória do imóvel depende de identificação segura do requerente e de indicação da finalidade.

Art. 48. O atendimento a requisições de buscas fundadas exclusivamente no indicador pessoal ou real pressupõe a identificação segura do solicitante, bem como a indicação da finalidade, de tudo mantendo-se o registro em meio físico ou virtual.

Art. 49. O fornecimento, pelo registrador, por qualquer meio, de informações sobre o registro não veiculadas por certidão dependerá da segura identificação do solicitante, e da indicação da sua finalidade, exceto nos casos em que o solicitante figure no registro em questão.

Art. 50. Serão formados prontuários físicos ou digitais contendo os dados de identificação e indicação de finalidade em todas as hipóteses em que estas tenham sido exigidas.

Parágrafo único. O titular dos dados pessoais solicitados terá direito a requisitar as informações contidas nos prontuários formados em virtude de buscas ou pedidos de informações e certidões para os quais foi exigida a identificação do solicitante e a indicação de finalidade.

CAPÍTULO XV

DO PROTESTO DE TÍTULOS E OUTROS DOCUMENTOS DE DÍVIDA

Art. 51. Das certidões individuais de protesto deverão constar, sempre que disponíveis, os dados enumerados no art. 17, parágrafo único, do Provimento 87, da Corregedoria Nacional de Justiça, excetuados endereço completo, endereço eletrônico e telefone do devedor.

Art. 52. As certidões em forma de relação sobre inadimplementos por pessoas naturais serão elaboradas pelo nome e CPF dos devedores, devidamente identificados, devendo abranger protestos por falta de pagamento, de aceite ou de devolução, vedada exclusão ou omissão, espécie do título ou documento de dívida, data do vencimento da dívida, data do protesto da dívida e valor protestado.

Art. 53. Nas informações complementares requeridas em lote ou em grande volume poderão constar CPF dos devedores, espécie do título ou documento de dívida, número do título ou documento de dívida, data da emissão e data do vencimento da dívida, valor protestado, protocolo e data do protocolo, livro e folha do registro de protesto, data do protesto, nome e endereço do cartório.

Art. 54. O fornecimento de cópias ou certidões de documentos arquivados na serventia se limita ao documento protestado propriamente dito, nos termos do art. 22 da Lei n. 9.492/1997, enquanto perdurar o protesto, e dentro do prazo máximo de 10 (dez) anos, nos termos do art. 30 Lei n. 9.492/1997, não devendo ser fornecidas cópias dos demais documentos, salvo para as partes ou com autorização judicial.

Parágrafo único. Tratando-se de documento de identificação pessoal, a cópia arquivada somente deve ser fornecida ao próprio titular.

Art. 55. O tabelião de protesto poderá devolver ou eliminar documentos apresentados para protesto ou para cancelamento que forem considerados desnecessários à prática do ato almejado, após adequada qualificação.

§ 1º O documento cujo original não precise ser guardado por imposição legal deve ser eliminado de maneira segura quando for digitalizado, evitando-se a duplicidade (art. 35, § 2º, Lei n. 9.492/1997).

§ 2º Fica o tabelião de protesto autorizado a eliminar o documento após o término do prazo da tabela de temporalidade prevista no Provimento 50, da Corregedoria Nacional de Justiça, ou superada a necessidade de sua guarda por outras circunstâncias, tais como prescrição civil, tributária e penal.

Art. 56. Antes da expedição do edital para intimação do devedor, o tabelião poderá buscar outros endereços em sua base de dados, endereços em que outros tabeliães realizaram a intimação, desde que na mesma base da sua competência territorial, ou endereços eletrônicos, a serem compartilhados por meio da CENPROT, bem como endereços constantes de bases de natureza jurídica pública e de acesso livre e disponível ao tabelião.

Parágrafo único. A CENPROT deverá compartilhar entre os tabeliães os endereços em que foi possível a realização da intimação de devedores, acompanhado do CNPJ ou CPF do intimado, bem como da data de efetivação.

Art. 57. A declaração eletrônica de anuência para fins de cancelamento de protesto, recebida na forma prevista no art. 17, inciso V, do Provimento 87, da Corregedoria Nacional de Justiça, poderá ser comunicada ao interessado por meio dos Correios, empresas especializadas, portador do próprio tabelião ou correspondência eletrônica, via internet ou qualquer outro aplicativo de mensagem, ficando autorizado o encaminhamento de boleto bancário, outro meio de pagamento ou instruções para pagamento dos emolumentos e despesas relativos ao cancelamento do protesto.

CAPÍTULO XVI

DAS DISPOSIÇÕES FINAIS

Art  58. As Corregedorias Gerais da Justiça dos Estados e do Distrito Federal fiscalizarão a efetiva observância das normas previstas neste Provimento pelas unidades do serviço extrajudicial, expedindo as normas complementares que se fizerem necessárias, bem como promoverão, no prazo estabelecido no art. 59, a adequação das normas locais que contrariarem as regras e diretrizes constantes do presente provimento.

Art. 59. Este provimento entra em vigor na data de sua publicação, observado o prazo de 180 (cento e oitenta) dias para adequação das serventias extrajudiciais às disposições contidas neste documento.

Ministra MARIA THEREZA DE ASSIS MOURA

Este texto não substitui o publicado no D.J.E-CNJ de 24.08.2022.

Clique aqui e conheça os serviços ITware para serventias extrajudiciais se adequarem à LGPD.

Clique aqui para fazer download diretamente do site do Conselho Nacional de Justiça – CNJ.

O post Provimento nº 134, de 24 de agosto de 2022 apareceu primeiro em ITware.

Muito disso se deu pelo fato do escopo da lei trazer apenas um conceito amplo de sua aplicação, uma vez que, logo em seu art. 1º é tido que esta recairia “sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado”. Por isso, esperava-se que com a criação da Autoridade Nacional de Proteção de Dados (ANPD), esta situação fosse regulamentada, o que veio a acontecer através da Resolução CD/ANPD nº 2, publicada em 28 de janeiro de 2022, instrumento este que trouxe certa flexibilização e exoneração das obrigações dos agentes de tratamentos de pequeno porte.

Para tanto, a referida resolução trouxe um rol taxativo nos incisos de seu art. 2º de definições importantes para a aplicação da mesma, entre elas: foram considerados como agentes de tratamento de pequeno porte as microempresas, empresas de pequeno porte, startups, pessoas jurídicas de direito privado, inclusive sem fins lucrativos, bem como pessoas naturais e entes privados despersonalizados que realizam tratamento de dados pessoais, que assumam obrigações típicas de controlador ou de operador.

A resolução tratou de limitar algumas situações em que, mesmo que seja um agente de tratamento de pequeno porte, este regulamento não os beneficiaria, dentre eles: aqueles que realizarem tratamento de alto risco para os titulares de dados; aufiram receita bruta anual superior a R$ 360 mil reais para empresas de pequeno porte e R$ 16 milhões para startups; ou que pertençam a grupos econômicos (de fato ou de direito), que tenham receita global que ultrapasse os limites já mencionados.

Para elucidação do tratamento de alto risco, a referida resolução positivou os seus critérios, dividindo-os em gerais, que pode ser caracterizado pelo tratamento de dados pessoais em larga escala ou que possa impactar significativamente os interesses e direitos fundamentais dos titulares, e em específicos, identificados pelo uso de tecnologias emergentes ou inovadoras, pela vigilância ou pelo controle de zonas acessíveis ao público, que sejam utilizadas para definição de perfil pessoal ou que utilizem dados pessoais sensíveis ou dados pessoais de crianças, adolescentes e idosos.

Além destas definições, é mencionado que só será considerado como tal se a operação atender cumulativamente a pelos menos um critério de cada espécie, valendo ressaltar que os dados pessoais sensíveis são todos aqueles dados pessoais que possam ser utilizados para fins de discriminação do titular (religiosidade, orientação sexual, tons de pele, espectro político, entre outros).

Deste regulamento, destacamos as seguintes dispensas e flexibilizações das obrigações dos agentes de tratamento de pequeno porte, que sejam:

• A elaboração e a manutenção de forma simplificada do Registro de Operações de Tratamento, seguindo o padrão que será disponibilizado pela própria ANPD;
• Simplificação ou flexibilização do procedimento de comunicação de incidente de segurança, de acordo com nova regulamentação que haverá por parte da ANPD;
• Dispensada a indicação do Data Protection Officer (DPO – ou encarregado de dados em português), contudo, para isso ser possível, deverá o agente de tratamento de dados dispor de canal de comunicação com o titular de dados. Ainda, se o agente decidir pela indicação do DPO, tal prática será considerada política de boas práticas e governanças pela ANPD;
• Possibilidade de simplificação no estabelecimento da Política de Segurança da Informação, desde que contenha requisitos essenciais e necessários para o tratamento de dados pessoais com o fito de proteção destes contra acessos não autorizados, situações acidentais ou ilícitas de destruição, perda, alteração ou qualquer outra maneira inadequada ou ilícita; e
• Prazo diferenciado (em dobro) para atendimento das solicitações dos titulares referentes ao tratamento de seus dados pessoais e para a comunicação à ANPD e ao titular quando da ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.

A todo instante, o dispositivo legal trata de abordar de que estes agentes de tratamento de pequeno porte deverão, ainda assim, cumprir com as demais disposições trazidas na LGPD, tanto em suas bases legais como em seus princípios, além de observar sempre outras disposições legais, regulamentações que tenham relação com à proteção à privacidade dos dados pessoais.

Por fim, a ANPD trouxe a possibilidade de determinação de que estes agentes cumpram com as obrigações as quais foram dispensadas e/ou flexibilizadas, tendo em vista as circunstâncias relevantes de cada situação, assim como pela natureza do tratamento ou o volume de operações, até mesmo o potencial risco aos titulares dos dados. Se você é um agente de tratamento de pequeno porte e quer saber como podemos contribuir para a segurança dos titulares de dados que estão envolvidos em suas operações, entre em contato conosco.

O post Entenda o que muda para você que possui uma micro ou pequena empresa com a nova Resolução publicada pela ANPD apareceu primeiro em ITware.

Frequentemente ouço a seguinte pergunta sobre o DPO Center: qual o momento adequado para se adotar a Solução? Aí que está o seu grande diferencial, você pode adotar em qualquer fase que se encontre. Assim, para exemplificar, demonstrarei como o DPO Center apoia o projeto de adequação à LGPD em 3 (três) fases da jornada de privacidade:

1. Elaboração do Plano de Adequação
2. Implantação das medidas de adequação
3. Operação do tratamento dos dados pessoais.

Para que os artigos não fiquem longos, já que incluirei as telas do DPO Center, tratarei cada fase em um texto separado. Vamos ao primeiro:

Elaboração do Plano de Adequação

Nesta fase o objetivo é realizar o levantamento dos dados pessoais, seus respectivos tratamentos, leis e regulamentos que a empresa deve observar. De posse dessas informações é realizada a avaliação da situação atual. Então, pode-se elaborar um plano de ações necessárias para adequação.

Com o uso do DPO Center podemos:

1- Registrar as áreas e processos de negócio

É importante saber quais áreas tratam dados pessoais e para quais finalidades. Dessa maneira é essencial o levantamento de departamentos e processos de negócio, para permitir a análise de gap nos tratamentos realizados e a elaboração de um plano de adequação.

Também é necessário compreender que a adequação à LGPD não é realizada por bases de dados e sim pelo tipo de tratamento que se realiza nelas. Isso porque uma mesma base de dados pode ser apoio para diferentes processos de negócio, com finalidades distintas e que necessitarão de embasamentos legais diferentes.

Você pode me perguntar: mas quando isso ocorre? Um exemplo é uma base de dados de funcionários da empresa. A mesma base pode ser utilizada para fins de cumprir as obrigações trabalhistas, para plano de saúde, para registro de ausências e para treinamentos internos. Mesmo sendo o mesmo banco de dados, temos que avaliar cada tipo de tratamento de forma independente.

Dessa forma, no Visum DPO Center você irá cadastrar todas as áreas de negócio, além dos processos de negócio de cada área, tudo em uma única interface que conecta essas partes do processo:

2- Aplicar questionários e entrevistas

Os questionários e entrevistas são úteis para a identificação das áreas da empresa, processos de negócio, avaliações de compliance e proteção de dados. Logo depois da aplicação dos questionários, você contará com informações importantes sobre a empresa, o que ajudará na revisão e elaboração dos processos de proteção e governança dos dados pessoais.

Com o DPO Center você cria questionários de mapeamento e pode agrupá-los e enviá-los diretamente pela interface WEB aos responsáveis pelo preenchimento. As respostas serão fornecidas na mesma interface e os envolvidos no projeto de adequação poderão avaliar tudo de forma centralizada!

3- Realizar a descoberta dos dados pessoais

A descoberta de dados pessoais de forma automatizada é um importante recurso para garantir que nenhum dado ficará de fora dos processos de governança. Ainda mais lembrando que existem dados pessoais em diversos locais, tais como: bancos de dados, servidores de arquivos, dispositivos de armazenamento, nuvem, e-mail, etc. e muitas vezes localizá-los pode ser uma tarefa árdua.

Com DPO Center é possível realizar um discovery dos dados pessoais existentes em bancos de dados e diretórios de arquivos em storages e servidores, analisando documentos PDF, Word e imagens e vídeo. Isso facilita o entendimento de quais dados pessoais devem ser protegidos e quais departamentos utilizam esses dados.

Além disso, é importante citar que o DPO Center não cópia esses dados descobertos para sua base de dados. Ele faz apenas um apontamento indicando onde há dados pessoais armazenados e quais são eles.

4- Elaborar o Plano de Adequação

Continuando, de posse de todas as informações levantadas é hora de colocar a mão na massa e elaborar o plano de ação, com todas as atividades necessárias para adequação dos tratamentos de dados pessoais com a LGPD.

Semelhante a qualquer projeto, deve-se registar todas as atividades do Plano de Adequação, indicando as datas de início e fim planejadas (cronograma de execução), bem como agrupá-las de modo a facilitar a gestão das fases do projeto.

Nesse sentido, o DPO Center é a ferramenta ideal para o registro do Plano de Adequação. Ele centraliza em uma única interface todo o necessário para o sucesso dos projeto de adequação à LGPD!

5- Dashboard executivo

Certamente, uma das grandes vantagens do DPO Center é centralizar tudo o que é necessário, tanto para a adequação à lei, quanto também para manter a proteção e a governança dos dados pessoais. Como resultado, não é necessário trabalhar com várias planilhas e documentos espalhados em diferentes repositórios, sem possibilidade de colaboração e visualização centralizada do andamento do projeto. Todo o acompanhamento realizado por meio de um único dashboard.

Finalizo este artigo com a tela inicial do DPO Center, onde é possível em uma batida de olho, verificar todos os itens que fazem parte de um projeto de adequação à LGPD e a quantidade de cada item. Além disso tudo, com apenas um clique você pode detalhar cada um deles.

Quer saber mais sobre outras funcionalidades e indicadores?

Então, fique ligado nos próximos artigos.

Veja também:
Entenda a relação entre LGPD, GDPR e Privacy by Design

[simple-author-box]

O post Visum DPO Center, o centro de controle da LGPD | Artigo 1 apareceu primeiro em ITware.

Nunca antes na história da humanidade foi tão fácil falar diretamente com um público segmentado e em escala de milhões de indivíduos, a qualquer hora e em qualquer lugar (nossos celulares são esses receptores).

A preocupação com a privacidade

Anteriormente ao boom do uso de dados pessoais, o Privacy by Design nasceu no início dos anos 90, com a dra. Ann Cavoukian. Ela idealizou uma abordagem à engenharia de sistemas, que foi formalizada em 1995 em um relatório sobre aprimoramento da privacidade, por uma equipe que juntou o Comissário de Informações e Privacidade de Ontário (Canadá), a Autoridade Holandesa de Proteção de Dados e a Organização Holandesa para Pesquisa Científica Aplicada.

Posteriormente, em 2010, o Privacy by Design foi adotado pela Assembleia Internacional de Comissários de Privacidade e Autoridades de Proteção de Dados, tendo seus conceitos incorporados em leis e regulamentações ao redor do mundo, incluindo a LGPD e GDPR.

Veja o documento oficial sobre os conceitos do Privacy by Design no site da Information and Privacy Commissioner of Ontario (em inglês)

A importância do Privacy by Design para a LGPD e GDPR

Definitivamente, o Privacy by Design indica que a privacidade deve ser levada em consideração durante todo o processo de engenharia de um sistema ou serviço. O conceito define o titular (ou dono dos dados) como centro da atenção com respeito à privacidade, o que é justamente a preocupação de leis como a Lei Geral de Proteção de Dados Pessoais (LGPD) e General Data Protection Regulation (GDPR).

Os 7 princípios do Privacy by Design

O Privacy by Design é formado por 7 princípios fundamentais:

1- Proativo e não reativo; Prevenir e não remediar

Os riscos devem ser avaliados e mitigados antes que causem algum evento que comprometa a privacidade. Para isso é necessário desenhar produtos e serviços de forma a assegurar os direitos dos titulares, além de implementar um sistema de gestão dos dados pessoais tratados.

2- Privacidade como configuração padrão

A ideia aqui é oferecer o nível máximo de privacidade, garantindo que os dados pessoais sejam protegidos automaticamente, em processos, serviços ou sistemas. O titular não precisa tomar nenhuma ação adicional para garantir sua privacidade, ela é padrão em todos os processos.

3- Privacidade incorporada ao design

A privacidade é parte integrante do desenho e arquitetura dos processos, serviços e sistemas e não um complemento desenvolvido posteriormente. O resultado é que ela se torna parte essencial, sem prejudicar ou diminuir a funcionalidade ou objetivo do sistema.

4- Funcionalidade completa – soma positiva, não soma zero

Soma positiva é o famoso ganha-ganha da teoria dos jogos. A ideia é alcançar os interesses e objetivos legítimos do controlador, garantindo os direitos dos titulares de forma que todos saiam ganhando. Com isso evita-se falsas dicotomias, como: privacidade versus segurança, demonstrando que é possível ter as duas.

5- Segurança de ponta a ponta – proteção em todo o ciclo de vida

Deve-se pensar na privacidade antes mesmo do primeiro dado pessoal ser coletado até que ocorra o seu devido descarte. Para isso é necessário tomar as medidas de segurança organizacional, segurança física e segurança lógica necessárias para garantir a proteção dos dados e com isso a privacidade durante todo o ciclo de vida de tratamento.

6- Visibilidade e Transparência

É primordial que os objetivos para o tratamento de dados pessoais sejam conhecidos e respeitados durante todo seu ciclo de vida. Adicionalmente, as operações devem ser transparentes aos titulares e passíveis de verificação independente.

7- Respeito pela privacidade – centrado no titular

Acima de tudo, os envolvidos no tratamento de dados pessoais devem ter os interesses do indivíduo (titular) em primeiro lugar. Para isso é necessário trabalhar com padrões de privacidade de alto-nível, além de facilitar o exercício dos direitos dos titulares.

Conclusão

Assim, ao adotar o conceito de Privacy by Design e seguir os desdobramentos necessários com respeito aos processos de negócio, engenharia de sistemas e segurança da informação, a organização atuará de acordo com elevados padrões de privacidade.

Por último, caso queira saber mais sobre projeto de adequação à LGPD ou GDPR, soluções de gestão de identidades e acessos e soluções de segurança cibernética entre em contato conosco.

[simple-author-box]

O post Entenda a relação entre LGPD, GDPR e Privacy by Design apareceu primeiro em ITware.

Em primeiro lugar, é necessário entender que o dispositivo usado para adiar a LGPD (a MP 959) para maio de 2021 foi uma Medida Provisória. Esse dispositivo tem como finalidade criar ou alterar leis em caráter de urgência e, para não perder o efeito, deve ser aprovada pelo congresso, em até 120 dias.

E o PL 1.179?

Ao passo que o Projeto de Lei nº 1.179, de 2020, aprovado no Senado Federal em 03 de abril (veja outro artigo sobre o PL), tratava sobre diversas medidas de enfrentamento ao coronavírus, inclusive o adiamento da vigência da LGPD para 1º de janeiro de 2021, com sanções a serem aplicadas somente a partir de 1º de agosto de 2021. Como ainda não foi aprovado pela Câmara dos Deputados e sancionado pelo Presidente, o PL ainda não virou lei.

Interessante é que o Congresso Nacional aprovou a votação em caráter de urgência do PL 1.179, pois trata justamente de medidas importantes para este momento. Logo, deve ser votado com brevidade e, se aprovado e sancionado pelo Presidente, vira lei e passa a vigorar imediatamente.

Simultaneamente, algumas instituições de peso estão contra qualquer adiamento da LGPD. O MPF enviou ao Congresso, no último dia 14, Nota Técnica com o seguinte entendimento:

(a) que a Lei Geral de Proteção de Dados deve entrar em vigor no prazo já previsto em lei, ou seja, 20 de agosto de 2020, e as sanções administrativas previstas no artigo 52, da referida Lei, em 21 de agosto de 2021; e

(b) que sejam instalados, o mais breve possível, a Autoridade Nacional de Proteção de Dados – ANPD e o Conselho Nacional de Proteção de Dados e da Privacidade

Diante de tudo isso, a LGPD foi definitivamente adiada? Foi adiada, mas definitivamente ainda não é possível sabermos.

Concluindo: vamos aguardar os próximos capítulos.

[simple-author-box]

O post A LGPD foi definitivamente adiada? apareceu primeiro em ITware.

Você deve estar se perguntando? E o adiamento da LGPD?

No CAPÍTULO XII, último capítulo, nas Disposições Finais, temos:

Art. 21. O art. 65 da Lei nº 13.709, de 14 de agosto de 2018, passa a vigorar com a seguinte redação:
“Art. 65. …………………………………..
…………………………………………………
II – 1º de agosto de 2021, quanto aos arts. 52 ao 54”;
III – 1º de janeiro de 2021, quanto aos demais artigos.”

Quais são as implicações práticas do adiamento e a que se referem as novas datas? Vamos lá:

Os artigos de 52 ao 54, fazem parte da Sessão I do CAPÍTULO 8 da LGPD (LEI Nº 13.709, DE 14 DE AGOSTO DE 2018), que tratam única e exclusivamente das Sanções Administrativas. Ou seja, as sanções começarão a ser aplicadas a partir de 1º de agosto de 2021, enquanto a Lei entra em vigor em 1º de janeiro de 2021.

Apesar da fama de ser ruim aos empresários, é importante salientar que a LGPD traz segurança jurídica para todos aqueles que necessitam tratar dados pessoais. Sem ela, qualquer indivíduo que se sinta lesado pode mover uma ação contra a empresa que de alguma forma necessita do uso de seus dados pessoais. Na falta de uma legislação clara, a empresa não tem parâmetros legais para se defender, demonstrando que utiliza esses dados seguindo critérios regulamentados.

Para se tornar oficial o PL deve ser aprovado pela Câmara dos Deputados e sancionado pelo Presidente Jair Bolsonaro. Tudo indica que isso ocorrerá em curto prazo, devido a urgência da situação.

Caso queira saber um pouco dos serviços da ITware para proteção e gestão de dados pessoais visite nosso site (www.itware.com.br/adequacao-a-lgpd).

Links úteis:
LGPD – LEI Nº 13.709, DE 14 DE AGOSTO DE 2018
Parecer 18 sobre o PL nº 1179 de 2020

[simple-author-box]

O post Entenda o adiamento da LGPD e quais são as novas datas apareceu primeiro em ITware.