Provimento 134 do CNJ: o que a LGPD exige do cartório

O que o Provimento 134 do CNJ exige do cartório

O Provimento 134 do CNJ, de 24 de agosto de 2022, da Corregedoria Nacional de Justiça, mandou os responsáveis pelas serventias extrajudiciais adequarem o cartório à Lei Geral de Proteção de Dados (Lei 13.709/2018). O titular passou a ser o controlador dos dados tratados no balcão e ficou obrigado a, no mínimo: nomear encarregado, mapear o tratamento e manter o inventário de dados, revisar contratos, ter política de segurança da informação e política interna de privacidade, atender os direitos dos titulares dos dados e treinar os prepostos. O texto original traz um aviso importante: quase todos os artigos do Provimento 134 foram revogados pelo Provimento 149/2023, o Código Nacional de Normas (CNN). O conteúdo não sumiu, foi reproduzido nos arts. 79 a 101 do CNN. É lá que você confere a regra em vigor, e é o que o checklist abaixo faz.

Em resumo:

• Quem cumpre: o titular, o interventor ou o interino da serventia, como controlador (art. 82 do CNN, antigo art. 4º do Provimento 134).
• O quê: nove providências mínimas, listadas no art. 84 do CNN (antigo art. 6º).
• Na medida de quê: conforme o porte da serventia, o volume e a natureza dos dados, e de forma proporcional à capacidade econômica e financeira dela para custear as medidas.
• O que mudou depois: o Provimento 205/2025 dispensou a nomeação de encarregado nas serventias de Classe I (art. 88, § 4º).
• O que ainda vale do 134: a Comissão de Proteção de Dados da Corregedoria Nacional (art. 3º), ratificada no art. 81 do CNN, e o dever das corregedorias estaduais de fiscalizar (art. 58).

O que o titular precisa ter: checklist com o artigo de cada item

Cada item abaixo traz o artigo do Código Nacional de Normas, que é o que está em vigor, e o artigo equivalente do Provimento 134 original, para quem encontra a referência antiga em norma estadual, contrato ou parecer.

1. Classificar a serventia

Antes de tudo, o responsável classifica a serventia em Classe I, II ou III e ajusta o esforço de adequação a essa classe (art. 84 do CNN; art. 6º do Provimento 134). O Provimento 134 remetia essa classificação ao Provimento 74/2018. O texto atual do CNN remete ao Capítulo I do Título I do Livro IV da Parte Geral, e o § 4º do art. 88 cita o art. 16, I, do Provimento 213/2026. Para confirmar a classe da sua serventia, use a tabela vigente na corregedoria do seu estado.

2. Encarregado pelo tratamento de dados

• Designação: deve ser designado o encarregado, conforme o art. 41 da LGPD (art. 88 do CNN; art. 10 do Provimento 134).
• Pode ser de fora: o titular pode terceirizar a função, com prestador pessoa física ou jurídica apto a exercê-la (inciso I).
• Não é o titular: a função do encarregado não se confunde com a do responsável pela delegação (inciso II).
• Contrato escrito: a nomeação é feita por contrato escrito, arquivado em classificador próprio, do qual participam o controlador e o encarregado (inciso III).
• O dever do titular continua: nomear encarregado não afasta o dever do titular de atender o usuário que o procurar diretamente (inciso IV).
• Classes I e II: podem designar encarregado de maneira conjunta (§ 1º). A escolha é livre e pode ser subsidiada ou custeada pelas entidades de classe (§ 2º). O § 3º admite o mesmo encarregado para serventias de qualquer classe, desde que não haja conflito na cumulação de funções e se mantenha a qualidade do serviço.
• Classe I: está dispensada de nomear encarregado (§ 4º, incluído pelo Provimento 205/2025 e reescrito pelo Provimento 214/2026). Veja o post sobre o Provimento 205/2025 e a dispensa do encarregado em cartórios Classe I.

3. Mapeamento e Inventário de Dados Pessoais

O mapeamento identifica o banco de dados da serventia, os dados tratados e o ciclo de vida de cada um: coleta, armazenamento, compartilhamento, descarte (art. 85 do CNN; art. 7º do Provimento 134). O produto final se chama Inventário de Dados Pessoais (§ 1º) e registra, para cada tratamento:

• finalidade;
• categorias de dados pessoais e descrição dos dados usados;
• formas de coleta;
• base legal;
• categoria dos titulares dos dados;
• compartilhamento com terceiros, com eventual transferência internacional;
• categorias de destinatários, se houver;
• prazo de conservação;
• medidas de segurança organizacionais e técnicas.

Além do inventário, o § 1º exige plano de ação, avaliação de vulnerabilidades (gap assessment) e decisão sobre as lacunas achadas. O inventário é atualizado sempre que necessário, sem passar de um ano, e fica arquivado na serventia, à disposição da Corregedoria-Geral da Justiça, da ANPD ou de outro órgão de controle (incisos V e VI). O § 2º autoriza usar formulários e programas das associações de classe.

4. Contratos e fornecedores

O art. 86 do CNN (art. 8º do Provimento 134) manda revisar e adequar todos os contratos que envolvem tratamento de dados pessoais: os de empregados, os modelos de contratos e convênios externos, incluindo o compartilhamento de dados. Também pede "Termos de Tratamento de Dados Pessoais" para assinar com os operadores, cláusulas de descarte de dados, orientações para contratações futuras e auditoria regular de quem recebe dados. O art. 87 (art. 9º do Provimento 134) acrescenta a exigência de que os fornecedores de tecnologia, automação e armazenamento estejam adequados à LGPD.

Operador, nesse contexto, é a pessoa natural ou jurídica externa ao quadro da serventia, contratada para um serviço que envolva dados em nome e por ordem do controlador (art. 83 do CNN; art. 5º do Provimento 134).

5. Relatório de impacto

Quando o tratamento puder gerar risco às liberdades civis e aos direitos fundamentais do titular dos dados, o responsável cuida para que seja feito o relatório de impacto, segundo as orientações da ANPD (art. 89 do CNN; art. 11 do Provimento 134). O documento deve ser feito antes do contrato ou convênio avaliado e antes de novos procedimentos ou tecnologias. Classes I e II podem adotar modelo simplificado, e a Classe III adota o modelo completo (§§ 2º e 3º).

6. Políticas e plano de resposta a incidentes

O art. 84 do CNN pede, nos incisos V e VI, que o titular defina e implemente a Política de Segurança da Informação e a Política Interna de Privacidade e Proteção de Dados. O art. 90 (art. 12 do Provimento 134) detalha a de segurança: ela deve prever medidas técnicas e organizacionais, mecanismos de segurança desde a concepção de novos produtos ou serviços e um plano de resposta a incidentes. O art. 90 pede ainda avaliar os sistemas e bancos com dados pessoais, a segurança das integrações e dos compartilhamentos, e dar ciência dos resultados ao encarregado.

O art. 91 (art. 13 do Provimento 134) fixa o prazo do incidente: quando houver risco ou dano relevante aos titulares, a comunicação vai ao titular dos dados, à ANPD, ao juiz corregedor permanente e à Corregedoria-Geral da Justiça em até 48 horas úteis, contadas do conhecimento do incidente.

7. Eliminação e guarda de documentos

A eliminação de documentos pela tabela de temporalidade deve impedir a identificação dos dados pessoais neles contidos, e os dados que sobram em índices, bancos e arquivos de segurança continuam sob a LGPD (art. 92 do CNN; art. 14 do Provimento 134). Sempre que possível, o responsável digitaliza os documentos físicos ainda usados e guarda os que têm dados pessoais em salas com controle de acesso (art. 93; art. 15 do Provimento 134).

8. Treinamento

O art. 94 do CNN (art. 16 do Provimento 134) exige treinar todos os trabalhadores e os novos, manter treinamentos regulares, organizar um programa de conscientização pelo encarregado e guardar os comprovantes de participação, com o conteúdo transmitido. O responsável pode pedir apoio à entidade de classe.

9. Transparência e atendimento ao titular dos dados

• Canal e fluxo (art. 95; art. 17 do Provimento 134): canal eletrônico específico para as requisições e reclamações, e fluxo de atendimento da entrada até a resposta.
• Informação à vista (art. 96; art. 18): em local de fácil visualização, as informações básicas sobre o tratamento, os direitos dos titulares, o canal de atendimento e os dados do encarregado (nome, endereço e meios de contato).
• Avisos (art. 97; art. 19): aviso de privacidade e proteção de dados, aviso de cookies e aviso de privacidade do site, se a serventia tiver portal.
• Acesso gratuito com limite (art. 98; art. 20): a gratuidade do acesso do titular vale para os dados dos sistemas administrativos da serventia, não para o acervo registral, e não alcança atos com fé pública. O documento entregue leva no cabeçalho a frase prevista no § 1º, dizendo que não tem fé pública nem substitui certidão.

Quem responde pelo quê

O titular é o controlador e decide sobre o tratamento (art. 82 do CNN). Os administradores dos operadores nacionais de registros públicos e das centrais de serviços compartilhados também são controladores, para a legislação de proteção de dados. Já o prestador contratado para tratar dados por conta do cartório é operador (art. 83). Na prática, o titular responde pela conformidade e precisa saber quais terceiros tocam nos dados do cartório, o que o inventário e a revisão de contratos dos itens 3 e 4 deixam documentado.

O que o Provimento 134 criou e ainda aparece no texto

O art. 3º do Provimento 134 criou a Comissão de Proteção de Dados (CPD/CN/CNJ), de caráter consultivo, ligada à Corregedoria Nacional de Justiça. Ela propõe diretrizes sobre aplicação, interpretação e adequação das serventias à LGPD, por iniciativa própria ou provocada pelas associações. Esse artigo não consta como revogado, e o art. 81 do CNN ratifica a criação da comissão. O art. 58 manda as corregedorias estaduais fiscalizarem o cumprimento e adaptarem as normas locais, e o art. 59 deu 180 dias, a partir da publicação, para as serventias se adequarem.

Onde conferir o texto e o que vem depois

O texto oficial do Provimento 134, com a marcação de cada artigo revogado, está em atos.cnj.jus.br. O texto em vigor das mesmas regras está no Provimento 149/2023, que instituiu o Código Nacional de Normas do foro extrajudicial, no Título VI. Os demais atos que organizam a rotina da serventia estão no acervo de provimentos. Em caso de dúvida sobre procedimento local, a corregedoria do seu estado é quem responde.

Perguntas frequentes

O Provimento 134 ainda está em vigor? Em parte. O ato consta como "alterado" no portal do CNJ: quase todos os artigos foram revogados pelo Provimento 149/2023, que reproduziu as regras nos arts. 79 a 101 do Código Nacional de Normas. O art. 3º (Comissão de Proteção de Dados), o art. 58 e o art. 59 não aparecem como revogados.

Todo cartório precisa nomear encarregado de dados? Não mais. Pelo art. 88, § 4º, do CNN, as serventias de Classe I estão dispensadas. Nas demais classes, a nomeação segue obrigatória, e Classe I e II podem designar encarregado em conjunto.

O encarregado pode ser o próprio titular do cartório? O texto diz que a função do encarregado não se confunde com a do responsável pela delegação (art. 88, II). O encarregado pode ser contratado de fora, pessoa física ou jurídica.

Com que frequência o inventário de dados é atualizado? Sempre que necessário, sem ultrapassar um ano (art. 85, § 1º, V).

Em quanto tempo um incidente de segurança deve ser comunicado? Em até 48 horas úteis do conhecimento, quando puder causar risco ou dano relevante aos titulares, ao titular, à ANPD, ao juiz corregedor permanente e à Corregedoria-Geral da Justiça (art. 91).

O titular pode cobrar para dar acesso aos dados pessoais? O acesso a dados dos sistemas administrativos da serventia é gratuito. Certidões e atos com fé pública seguem a legislação específica e a tabela de emolumentos (art. 98, § 2º).