LGPD em cartórios: como adequar serventias extrajudiciais à proteção de dados

Poucos ambientes concentram dados pessoais tão variados e sensíveis quanto um cartório. Do registro de nascimento ao inventário, da escritura pública à procuração, passando por protestos, reconhecimento de firmas e registros de imóveis, as serventias extrajudiciais processam informações que acompanham o cidadão ao longo de toda a vida — e, muitas vezes, depois dela.

Esse volume massivo de dados pessoais coloca cartórios em posição de destaque no ecossistema de proteção de dados brasileiro. A Lei Geral de Proteção de Dados (Lei n. 13.709/2018) aplica-se integralmente às serventias, e o Conselho Nacional de Justiça (CNJ) reforçou essa obrigação com regulamentações específicas — em particular o Provimento n. 134/2022 e o Código Nacional de Normas do Foro Extrajudicial (Provimento n. 149/2023).

Este guia apresenta os principais aspectos da adequação à LGPD para cartórios, desde as bases legais até um checklist prático de conformidade.

Quais dados pessoais os cartórios tratam e por que são tão sensíveis?

A amplitude de dados tratados por serventias extrajudiciais é extraordinária. Para dimensionar a questão, considere os principais tipos de cartório e seus acervos:

Registro Civil das Pessoas Naturais: certidões de nascimento, casamento e óbito. Contêm nome completo, filiação, naturalidade, data de nascimento, estado civil e, em muitos casos, informações sobre regime de bens, causa mortis e dados de testemunhas.

Tabelionato de Notas: escrituras públicas, procurações, testamentos, atas notariais. Envolvem dados patrimoniais detalhados, informações sobre capacidade civil, dados de cônjuges, herdeiros e representantes legais.

Registro de Imóveis: matrículas, averbações, registros de compra e venda, hipotecas, penhoras. Concentram dados patrimoniais que revelam a situação financeira dos titulares.

Tabelionato de Protesto: títulos protestados, intimações, cancelamentos. Dados que impactam diretamente a vida financeira e creditícia dos cidadãos.

Registro de Títulos e Documentos: contratos, notificações extrajudiciais, documentos diversos. Podem conter dados de natureza contratual variada.

Registro Civil das Pessoas Jurídicas: atos constitutivos, estatutos, atas de assembleias. Dados de sócios, diretores e representantes.

Vários desses registros envolvem dados sensíveis, nos termos do Art. 5, II da LGPD — informações sobre saúde (causa mortis em certidão de óbito, interdição por incapacidade), dados biométricos (impressão digital em reconhecimento de firma), dados de menores de idade (registro de nascimento) e até convicções religiosas (casamento religioso com efeito civil).

Qual é a base legal para o tratamento de dados em cartórios?

A atividade notarial e registral é, por natureza, exercida por delegação do poder público (Art. 236 da Constituição Federal). Os cartórios não escolhem quais dados coletar — as leis definem o conteúdo obrigatório dos atos.

A base legal predominante é o cumprimento de obrigação legal ou regulatória pelo controlador, prevista no Art. 7, II da LGPD para dados pessoais comuns e no Art. 11, II, "a" para dados pessoais sensíveis. Essa base legal é particularmente robusta para cartórios porque:

A Lei n. 6.015/1973 (Lei de Registros Públicos) define os dados que devem constar em cada tipo de registro
A Lei n. 8.935/1994 (Lei dos Notários e Registradores) regulamenta a atividade
Normas das Corregedorias estaduais detalham procedimentos específicos
O Código Nacional de Normas do CNJ (Provimento n. 149/2023) consolida as regras nacionais

Outras bases legais aplicáveis em situações específicas incluem a execução de políticas públicas (Art. 7, III) — por exemplo, quando o cartório compartilha dados com o SIRC (Sistema Nacional de Informações de Registro Civil) — e o exercício regular de direitos (Art. 7, VI) em procedimentos de dúvida registral.

É fundamental que o cartório documente, no seu inventário de dados pessoais, qual base legal justifica cada atividade de tratamento. Mesmo quando a obrigação legal é clara, o princípio da necessidade (Art. 6, III da LGPD) exige que o tratamento se limite ao mínimo necessário para a finalidade pretendida.

O que dizem o Provimento CNJ 134/2022 e o Provimento CNJ 149/2023?

O CNJ é o principal regulador setorial da atividade extrajudicial no Brasil e emitiu duas normas centrais sobre proteção de dados em cartórios.

Provimento CNJ n. 134/2022

Publicado em 24 de agosto de 2022, o Provimento n. 134 foi o primeiro normativo do CNJ dedicado especificamente à adequação das serventias extrajudiciais à LGPD. Seus principais pontos são:

Classificação do controlador: os responsáveis pelas delegações (titulares, interventores ou interinos) são controladores no exercício da atividade típica registral ou notarial (Art. 4). As decisões sobre tratamento de dados pessoais competem a eles.

Obrigações mínimas: o Provimento exige que as serventias adotem, no mínimo, as seguintes medidas: (i) nomeação de encarregado de proteção de dados (DPO); (ii) mapeamento das atividades de tratamento e seu registro; (iii) elaboração de relatório de impacto à proteção de dados (RIPD) quando necessário; (iv) adoção de medidas de transparência; e (v) definição e implementação de políticas de segurança da informação.

Classificação por porte: as serventias devem se classificar conforme seu porte (Classes I, II ou III) e observar as regulamentações da ANPD — o que é relevante para a aplicação de regras simplificadas previstas na Resolução ANPD n. 2/2022 para agentes de pequeno porte.

Comissão de Proteção de Dados: o Provimento ratificou a criação, no âmbito da Corregedoria Nacional de Justiça, da Comissão de Proteção de Dados (CPD/CN), de caráter consultivo, responsável por propor diretrizes sobre a aplicação e interpretação da LGPD nas serventias.

Provimento CNJ n. 149/2023

Publicado em 30 de agosto de 2023, o Provimento n. 149 instituiu o Código Nacional de Normas da Corregedoria Nacional de Justiça — Foro Extrajudicial (CNN/CN/CNJ-Extra). Esse código consolidou e atualizou diversas normas anteriores, incluindo disposições sobre LGPD.

O CNN reafirma que os responsáveis pelas serventias extrajudiciais devem atender às disposições da LGPD independentemente do meio ou do país onde os dados estejam localizados, obedecendo aos fundamentos, princípios e obrigações da lei. Também mantém a definição dos delegatários como controladores e reforça as obrigações de transparência, segurança e governança.

Quem pode solicitar certidões e com qual fundamento legal?

A publicidade dos atos é um princípio fundamental do sistema registral brasileiro. O Art. 17 da Lei n. 6.015/1973 estabelece que qualquer pessoa pode requerer certidão do registro sem informar o motivo ou interesse. Essa publicidade ampla, contudo, não é absoluta e precisa ser harmonizada com a proteção de dados.

O Art. 18 da mesma lei prevê exceções à publicidade irrestrita, e o próprio Provimento CNJ n. 149/2023 reconhece que a publicidade registral deve observar os princípios da LGPD. Na prática, isso significa:

Certidões de inteiro teor continuam sendo fornecidas a qualquer interessado para registros públicos por natureza
Dados sensíveis exigem cautela adicional — por exemplo, a causa mortis em certidão de óbito ou informações sobre interdição
Buscas em lote ou mineração de dados em acervos cartorários devem ser avaliadas quanto à finalidade e à proporcionalidade
Dados de menores merecem proteção reforçada conforme o Art. 14 da LGPD

O desafio para o registrador é equilibrar o princípio da publicidade registral com a proteção de dados — não se trata de negar certidões, mas de assegurar que o acesso seja exercido conforme a finalidade legal e sem exposição desnecessária de dados pessoais.

Como funciona o compartilhamento de dados de cartórios com o poder público?

Cartórios são nós fundamentais na rede de informações do Estado brasileiro. Diversos sistemas governamentais dependem de dados originados nas serventias extrajudiciais, como explicamos no guia sobre LGPD no setor público.

SIRC — Sistema Nacional de Informações de Registro Civil

Instituído pelo Decreto n. 9.929/2019 e gerido pela Secretaria Especial de Desburocratização, Gestão e Governo Digital, o SIRC é a base de dados nacional que consolida informações sobre nascimentos, casamentos, óbitos e natimortos. Os cartórios de Registro Civil são obrigados a alimentar esse sistema.

O fluxo de dados para o SIRC ocorre por meio da infraestrutura do Serp (Sistema Eletrônico dos Registros Públicos) e da CRC Nacional (Central de Informações do Registro Civil). O compartilhamento de dados do SIRC com órgãos públicos é regulado pela Resolução n. 4 do Comitê Gestor do SIRC (CGSirc).

SINTER — Sistema Nacional de Gestão de Informações Territoriais

O SINTER, instituído pelo Decreto n. 8.764/2016 e gerido pela Receita Federal, visa integrar informações sobre imóveis de todo o país. Os cartórios de Registro de Imóveis devem transmitir eletronicamente informações sobre operações imobiliárias e registros de propriedade imediatamente após a prática de cada ato.

CRC Nacional — Central de Informações do Registro Civil

A CRC Nacional é a plataforma que centraliza informações dos Registros Civis de Pessoas Naturais de todo o Brasil, servindo como intermediária entre as serventias e os sistemas governamentais (SIRC, INSS, TSE, entre outros).

Base legal para o compartilhamento: em todos esses casos, a base legal é o cumprimento de obrigação legal (Art. 7, II) combinada com a execução de políticas públicas (Art. 7, III). No entanto, o cartório deve manter registro dessas transferências de dados em seu inventário e estar atento aos limites — os dados compartilhados devem se restringir ao que cada normativo determina.

Documentos de cartório têm guarda permanente? Como conciliar com a LGPD?

Uma das questões mais peculiares da proteção de dados em cartórios é a retenção documental. O Art. 26 da Lei n. 6.015/1973 é categórico: os livros e papéis pertencentes ao arquivo do cartório ali permanecerão indefinidamente. O Art. 24 complementa que os oficiais devem manter em segurança, permanentemente, os livros e documentos.

Isso cria uma aparente tensão com o princípio da necessidade e o direito à eliminação de dados previstos na LGPD. Contudo, não há conflito real:

A guarda permanente é uma obrigação legal. A base legal do Art. 7, II (cumprimento de obrigação legal) autoriza o tratamento — inclusive a conservação — pelo tempo que a lei determinar. Como a Lei de Registros Públicos impõe guarda indefinida, o cartório não apenas pode como deve manter os dados.

O direito à eliminação tem exceções expressas. O Art. 16 da LGPD permite a conservação de dados para cumprimento de obrigação legal ou regulatória pelo controlador (inciso I). Portanto, o titular não pode exigir a eliminação de dados constantes em livros de registro.

A Tabela de Temporalidade se aplica a documentos administrativos. Enquanto os livros e registros propriamente ditos têm guarda permanente, documentos administrativos da serventia (como fichas de atendimento, cópias de documentos apresentados para conferência, dados de acesso a sistemas) podem seguir tabela de temporalidade, sendo descartados após cumprido o prazo.

O cartório deve, portanto, distinguir claramente entre dados registrais (guarda permanente por força de lei) e dados administrativos (sujeitos a retenção limitada e posterior descarte seguro).

É obrigatório ter DPO em cartório? Como estruturar essa função?

Sim. O Provimento CNJ n. 134/2022 exige expressamente que as serventias nomeiem um encarregado de proteção de dados pessoais (DPO). Essa obrigação independe do porte da serventia.

Quem pode ser DPO de cartório?

O Provimento traz regras específicas:

O próprio titular, interventor ou interino pode acumular a função, embora isso não seja recomendável por questões de conflito de interesse
Escrivães e auxiliares podem ser designados como encarregados
Substitutos estão expressamente proibidos de exercer a função (Art. 10, II do Provimento n. 134/2022)
DPO externo (DPO as a service) é expressamente permitido — pessoa física ou jurídica pode ser contratada para exercer a função

Como estruturar a função na prática?

Para serventias de pequeno porte (Classe I), a contratação de um DPO externo compartilhado entre várias serventias é a solução mais viável. O Provimento permite que serventias designem encarregado conjuntamente, reduzindo custos.

Para serventias de médio e grande porte (Classes II e III), recomenda-se:

Designar formalmente o encarregado, por ato do titular
Publicar os dados de contato do encarregado em local visível na serventia e no site (quando houver)
Garantir autonomia técnica para o exercício da função
Estabelecer canal de comunicação com titulares de dados e com a ANPD
Capacitar o encarregado em proteção de dados e atividade registral/notarial

A identidade e as informações de contato do encarregado devem ser divulgadas publicamente, de preferência no sítio eletrônico da serventia (Art. 41, § 1 da LGPD).

Como garantir a segurança da informação em sistemas de cartório?

As serventias extrajudiciais modernas operam com diversos sistemas eletrônicos, tanto internos quanto compartilhados. A segurança da informação é uma obrigação expressa da LGPD (Art. 46) e do Provimento CNJ n. 134/2022.

Principais sistemas e plataformas

e-Notariado: plataforma do Colégio Notarial do Brasil para prática de atos notariais eletrônicos (escrituras, procurações, atas notariais). Utiliza certificado digital ICP-Brasil e videoconferência notarial. A segurança da plataforma é centralizada, mas o tabelião responde pelo uso adequado.

ARISP (Associação dos Registradores Imobiliários de São Paulo): opera o Centro de Serviços Eletrônicos Compartilhados, com módulos integrados para os registradores imobiliários. A plataforma atende requisitos de autenticidade, integridade e validade jurídica conforme a ICP-Brasil.

Centrais estaduais de serviços eletrônicos: cada estado possui ou está implantando centrais que concentram pedidos de certidões, registros eletrônicos e comunicações entre serventias.

Medidas mínimas de segurança

O Provimento CNJ n. 134/2022 exige que as serventias implementem, no mínimo:

Política de segurança da informação documentada e atualizada
Controle de acesso aos sistemas e acervos, com autenticação individual por usuário
Backup regular dos acervos digitais, com teste periódico de restauração
Registro de operações (logs) que permitam rastreamento de acessos e modificações
Criptografia para transmissão de dados sensíveis
Plano de resposta a incidentes de segurança, incluindo comunicação à ANPD e aos titulares quando necessário
Treinamento dos prepostos em segurança da informação e proteção de dados

Para serventias que operam com acervos físicos (livros, fichas, documentos), a segurança inclui controle de acesso ao arquivo, proteção contra sinistros (incêndio, inundação) e procedimentos para manuseio seguro de documentos que contenham dados sensíveis.

Quais direitos dos titulares podem ser exercidos em cartórios?

Os direitos dos titulares previstos no Art. 18 da LGPD aplicam-se aos cartórios, mas com adaptações importantes ditadas pela natureza da atividade registral.

Direitos plenamente exercíveis

Confirmação de tratamento (Art. 18, I): o titular pode confirmar se o cartório trata seus dados pessoais
Acesso aos dados (Art. 18, II): o titular tem direito a acessar seus dados — na prática, isso já é assegurado pelo direito a certidões
Informação sobre compartilhamento (Art. 18, VII): o titular pode saber com quais entidades seus dados foram compartilhados (SIRC, SINTER, órgãos públicos)
Informação sobre a possibilidade de não consentir (Art. 18, VIII): o cartório deve informar que o tratamento independe de consentimento quando baseado em obrigação legal

Direitos com exercício limitado

Correção de dados (Art. 18, III): possível mediante procedimento de retificação de registro (Art. 109 da Lei n. 6.015/1973), que pode exigir ordem judicial dependendo do caso
Anonimização, bloqueio ou eliminação de dados excessivos (Art. 18, IV): aplicável apenas a dados que extrapolem a exigência legal — dados registrais obrigatórios não podem ser anonimizados ou eliminados
Portabilidade (Art. 18, V): limitada na prática, pois os dados registrais não são transferíveis para outro controlador — o registro permanece na serventia competente

Direitos inaplicáveis

Eliminação de dados (Art. 18, VI): não se aplica a dados registrais, pois a guarda é obrigação legal permanente (Art. 16, I da LGPD c/c Art. 26 da Lei n. 6.015/1973)
Revogação de consentimento (Art. 18, IX): não se aplica porque a base legal predominante não é o consentimento

O cartório deve estruturar um canal para receber e responder às solicitações dos titulares, conforme exigido pelo Art. 18, § 1 da LGPD, explicando claramente quais direitos podem e quais não podem ser exercidos no contexto registral.

Como adequar um cartório à LGPD? Checklist prático

A adequação à LGPD em cartórios é um processo contínuo, não um evento pontual. O checklist abaixo consolida as principais ações, organizadas por prioridade.

Fase 1 — Governança e organização (prioridade alta)

Classificar a serventia por porte conforme critérios da ANPD (Classes I, II ou III)
Nomear formalmente o encarregado de proteção de dados (DPO)
Publicar dados de contato do encarregado em local visível e no site
Comunicar à Corregedoria estadual a nomeação do encarregado
Definir e documentar a política de proteção de dados da serventia

Fase 2 — Mapeamento e inventário (prioridade alta)

Realizar o inventário de todas as atividades de tratamento de dados pessoais
Identificar e classificar os dados pessoais tratados (comuns e sensíveis)
Documentar a base legal para cada atividade de tratamento
Mapear o fluxo de dados com sistemas externos (SIRC, SINTER, CRC Nacional, centrais estaduais)
Identificar dados compartilhados com terceiros e respectivas bases legais

Fase 3 — Transparência e direitos (prioridade alta)

Elaborar aviso de privacidade específico para a serventia
Afixar informações sobre tratamento de dados em local visível ao público
Estruturar canal de atendimento a titulares de dados
Definir procedimentos para resposta a solicitações de titulares
Treinar a equipe sobre quais direitos podem e não podem ser exercidos

Fase 4 — Segurança da informação (prioridade alta)

Elaborar e implementar política de segurança da informação
Implementar controle de acesso individual aos sistemas
Configurar backup regular dos acervos digitais com teste de restauração
Ativar logs de acesso e operações em todos os sistemas
Elaborar plano de resposta a incidentes de segurança
Implementar criptografia na transmissão de dados sensíveis

Fase 5 — Contratos e terceiros (prioridade média)

Revisar contratos com fornecedores de sistemas (operadores de dados)
Incluir cláusulas de proteção de dados em novos contratos
Avaliar a conformidade dos sistemas utilizados (e-Notariado, centrais estaduais, sistemas de gestão)
Verificar adequação de prestadores de serviços que acessam dados (TI, contabilidade)

Fase 6 — Documentação e melhoria contínua (prioridade média)

Elaborar RIPD (Relatório de Impacto à Proteção de Dados) para atividades de alto risco
Documentar procedimentos de retenção e descarte de dados administrativos
Estabelecer programa de treinamento periódico para a equipe
Definir cronograma de revisão da conformidade (no mínimo anual)
Manter registros de todas as ações de adequação como evidência de conformidade

Conclusão: a adequação é obrigatória e urgente

Cartórios ocupam uma posição singular na proteção de dados no Brasil: tratam dados pessoais e sensíveis de milhões de cidadãos, com guarda permanente e publicidade ampla. Essa combinação exige um programa de conformidade robusto, que concilie os princípios da LGPD com as obrigações legais da atividade registral e notarial.

O Provimento CNJ n. 134/2022 e o Código Nacional de Normas (Provimento n. 149/2023) não deixam margem para dúvidas: a adequação é obrigatória. As Corregedorias estaduais estão fiscalizando, e a ANPD tem demonstrado interesse crescente no tratamento de dados pelo poder público e seus delegatários.

A boa notícia é que cartórios já possuem uma cultura de formalidade, segurança e responsabilidade que facilita a adequação. O desafio é traduzir essa cultura em processos documentados, políticas escritas e controles verificáveis.

Se a sua serventia precisa estruturar a adequação à LGPD de forma organizada e eficiente, o Confidata oferece ferramentas para inventário de dados, gestão de riscos, atendimento a titulares e documentação de conformidade — tudo em uma plataforma pensada para as particularidades da proteção de dados no Brasil. Conheça o Confidata e simplifique o caminho da sua serventia rumo à conformidade.