TI Inside

O cartório sempre foi o lugar onde a sociedade guarda aquilo que não pode perder: o registro do nascimento, a escritura de um imóvel, a procuração que permite administrar um patrimônio. Esse acervo, antes associado a livros, carimbos e arquivos físicos, está cada vez mais em servidores, bancos de dados e plataformas em nuvem. A transformação ampliou a eficiência dos serviços, mas trouxe uma vulnerabilidade que não pode ser ignorada: documentos que precisam atravessar gerações podem se tornar inacessíveis em poucos minutos de um ataque cibernético.

É nesse contexto que se insere o Provimento CN-CNJ nº 213/2026, que estabelece padrões mínimos de tecnologia da informação e comunicação para os serviços notariais e de registro. Ao substituir o Provimento nº 74/2018, a norma amplia o alcance das exigências de segurança e aproxima a proteção do acervo de uma estrutura de governança, continuidade operacional e gestão de riscos. Para o setor de tecnologia, a mensagem é clara: fornecer sistemas a cartórios passa a exigir capacidade de demonstrar segurança, recuperação e rastreabilidade.

O regime anterior já exigia cuidados com a infraestrutura e com as cópias de segurança. O cenário atual, porém, exige mais do que manter um backup fora da serventia. Ataques de ransomware podem comprometer simultaneamente os sistemas de produção e suas cópias, sobretudo quando compartilham credenciais, permissões ou ambientes de administração. Ter dados duplicados não significa, necessariamente, conseguir recuperá-los.

A nova disciplina enfrenta essa diferença ao exigir segregação dos ambientes, proteção contra criptografia maliciosa e exclusão, além de testes documentados de restauração. O foco deixa de estar apenas na existência da cópia e passa a alcançar sua utilidade diante de uma falha real. Para o titular da serventia, a pergunta relevante já não é somente se o backup foi realizado, mas se o acervo pode ser restaurado, em quanto tempo e com qual perda de informações.

Essa lógica percorre o conjunto das obrigações. A segurança precisa estar formalizada em política interna, acompanhada de planos de continuidade de negócios e de recuperação de desastres. Os acessos devem ser individuais, com autenticação multifator para funções administrativas e funcionalidades críticas. Senhas compartilhadas e contas genéricas comprometem a identificação de responsabilidades e precisam dar lugar a mecanismos que permitam saber quem acessou o sistema e quais operações realizou.

A proteção também alcança a criptografia dos dados em trânsito e em repouso, a gestão das chaves e a manutenção de trilhas de auditoria protegidas contra alteração. Não se trata apenas de impedir uma invasão. É preciso preservar elementos que permitam reconstruir acontecimentos, identificar acessos indevidos e avaliar a extensão de um incidente. Sem registros confiáveis, até a investigação de uma falha pode ficar comprometida.

Outro avanço está na definição de metas de recuperação conforme o porte da serventia. A norma trabalha com limites para a perda de dados e para o tempo necessário à retomada dos serviços. São parâmetros que precisam orientar a arquitetura tecnológica, os contratos e os testes. Uma promessa comercial de disponibilidade, por si só, não demonstra que o cartório conseguirá voltar a atender dentro do prazo exigido.

A resposta a incidentes também passa a exigir organização prévia. O procedimento deve estar documentado e contemplar comunicação de incidentes críticos à Corregedoria, análise de causa e tratamento das vulnerabilidades. Para as serventias de maior porte, há ainda previsão de testes de intrusão periódicos, observadas as condições estabelecidas para determinados modelos de operação. Esses testes ganham relevância quando seus resultados orientam correções e permitem verificar se as fragilidades identificadas foram efetivamente resolvidas.

O Provimento nº 243/2026 ajustou esse processo de adequação ao ampliar as faixas de receita utilizadas para o enquadramento das serventias e redefinir o marco de contagem dos prazos. A Classe 1 passou a abranger receita bruta semestral de até R$ 300 mil; a Classe 2, valores superiores a R$ 300 mil e de até R$ 1,5 milhão; e a Classe 3, receitas acima de R$ 1,5 milhão. A implantação é progressiva, com prazos distintos conforme a classe e cumprimento organizado em cinco etapas cumulativas.

O enquadramento merece atenção porque interfere diretamente no planejamento. Pela nova base de cálculo, entram na receita valores como emolumentos, ressarcimentos por atos gratuitos e complementação de renda mínima, observadas as exclusões previstas na norma. O titular precisa conferir sua situação antes de definir cronograma, orçamento e prioridades. Um diagnóstico baseado em classificação desatualizada pode comprometer toda a estratégia de adequação.

Do ponto de vista jurídico, uma das mudanças mais relevantes é a consolidação de um padrão objetivo de diligência. Controles antes tratados como recomendações técnicas passam a integrar uma referência normativa para a fiscalização e para a avaliação da conduta do responsável. Isso não significa que todo incidente demonstre, automaticamente, culpa do titular. Significa que a ausência injustificada de controles exigidos poderá pesar na apuração das circunstâncias e das responsabilidades.

A contratação de um fornecedor também não encerra o dever de cuidado. A responsabilidade pelo cumprimento das exigências permanece com o responsável pela serventia e alcança a seleção, a contratação e a supervisão dos prestadores de tecnologia. Hospedar o sistema na nuvem ou contratar uma plataforma especializada pode fazer parte da solução, mas exige compreender quais obrigações estão cobertas, quais dependem do cartório e como essa divisão será comprovada.

Por isso, os contratos ganham importância operacional. Confidencialidade, gestão de incidentes, conformidade com a LGPD, reversibilidade e portabilidade do acervo precisam encontrar correspondência nas funcionalidades do serviço. Uma cláusula que assegura a devolução dos dados terá pouca utilidade se a extração for incompleta, depender de formato proprietário ou não tiver sido testada. A capacidade de migrar de fornecedor deve ser verificável antes que uma crise torne a mudança inevitável.

A articulação com a proteção de dados pessoais exige cuidado semelhante. Um mesmo incidente pode demandar comunicação à Corregedoria e à Autoridade Nacional de Proteção de Dados, conforme os critérios aplicáveis a cada regime. O plano de resposta precisa distinguir os destinatários, os prazos e as informações necessárias. Deixar essa avaliação para depois de um ataque aumenta a pressão sobre uma equipe que já estará tentando preservar evidências e restabelecer o atendimento.

A conformidade, portanto, depende de evidências. Políticas aprovadas, contratos revisados, relatórios técnicos, registros de treinamento e atas de testes de restauração devem demonstrar o funcionamento dos controles. A documentação precisa refletir a operação cotidiana. Uma política que proíbe o compartilhamento de senhas perde valor quando o atendimento continua utilizando uma única conta para vários funcionários.

O maior desafio está nas diferenças econômicas e tecnológicas entre as serventias. Um cartório com equipe própria e infraestrutura consolidada não parte das mesmas condições de outro que atende uma pequena localidade e depende de recursos limitados. A progressividade dos prazos, o apoio técnico e as soluções compartilhadas serão decisivos para transformar as exigências em proteção efetiva. A proporcionalidade precisa permitir a adequação sem esvaziar os controles essenciais à preservação do acervo.

Para os fornecedores, esse cenário abre espaço para serviços que combinem tecnologia, suporte e comprovação. Plataformas de gestão, serviços de nuvem e empresas de cibersegurança precisarão explicar como protegem os dados, como respondem a falhas e como permitem a recuperação e a migração das informações. O diferencial estará na capacidade de sustentar essas respostas com contratos claros, testes e evidências.

Para os titulares, o trabalho começa pelo diagnóstico: confirmar o enquadramento, mapear os ativos, identificar lacunas e estabelecer prioridades. Controle de acesso, restauração de backups, continuidade operacional e revisão dos contratos precisam avançar junto com a organização documental. A adequação será mais consistente quando cada investimento estiver associado a um risco identificado e a um requisito verificável.

A fé pública depende da autenticidade, da segurança e da eficácia dos atos. No ambiente digital, esses atributos passam também pela integridade dos sistemas e pela capacidade de recuperar informações quando algo falha. O Provimento nº 213/2026 torna essa relação mais explícita: proteger a infraestrutura tecnológica dos cartórios é proteger a continuidade de um serviço do qual dependem direitos, patrimônio e a memória jurídica da sociedade.

*Walter Calza Neto é Advogado, DPO e Perito Judicial

Fonte: TI Inside