Etapa 1 do Provimento 213: o que entregar e o que a correição pede.

A Etapa 1 é a governança da serventia: nove itens, do responsável nomeado à declaração no Justiça Aberta. Para a Classe 3 ela vence junto com a Etapa 2, cerca de 180 dias depois de 22 de agosto de 2026; a Classe 2 tem 240 dias e a Classe 1, 300. A correição confere a evidência de que cada item está em vigor, com data e responsável.

O que a norma chama de Etapa 1 concluída

O Anexo IV descreve o ponto de chegada com estas palavras: "governança formal instituída, responsabilidades claramente atribuídas, política interna vigente e publicizada, controles mínimos de autenticação implementados, inventário de ativos concluído e base documental apta a demonstrar conformidade inicial em eventual fiscalização correicional".

Cada palavra dessa frase vira uma pergunta na correição. "Vigente" pede a data de aprovação e o registro de revisão. "Publicizada" pede a ciência da equipe. "Base documental apta" pede o dossiê, ou o relatório simplificado na Classe 1.

Os nove itens, e a evidência de cada um

• 1.1 Responsáveis. A norma pede um responsável técnico interno pela implementação, o titular como controlador dos dados pessoais e, quando couber, o encarregado. A correição pede a portaria de designação, assinada.
• 1.2 Política de segurança da informação. Elaborada, aprovada e publicada, cobrindo os dez blocos do Anexo III e fixando diretrizes, objetivos, cronograma e responsabilidades do PCN e do PRD da Etapa 2. A correição pede a política assinada pelo titular, a ciência da equipe e o registro da revisão periódica.
• 1.3 Autenticação individual e MFA. Conta individual para cada pessoa, segundo fator obrigatório nos acessos administrativos, credencial compartilhada proibida. A correição pede a configuração e o registro de usuários autorizados.
• 1.4 Registro de tratamento de dados pessoais. O registro das operações de tratamento, na forma do art. 7º, §1º. A correição pede o próprio registro.
• 1.5 e 1.6 Incidentes. Procedimento para comunicar incidente crítico à Corregedoria em até 72 horas, com meta de 24 horas, e registro formal de todo incidente. A correição pede o procedimento e o registro de incidentes.
• 1.7 Inventário de ativos. Ativos, integrações, bases de dados, certificados digitais, softwares, histórico de atualização e contratos; nas Classes 2 e 3, o documento de arquitetura. A correição pede o inventário e o documento de arquitetura.
• 1.8 Licenças e contratos. Licenciamento regularizado e todo contrato de terceiro que toca dados da serventia revisado com sete cláusulas expressas: confidencialidade, reversibilidade, portabilidade integral em formato aberto, documentação de migração, cooperação na transição, gestão de incidentes e conformidade com a LGPD. O art. 15 acrescenta o teste documentado de extração integral dos dados. A correição pede os contratos e as licenças revisados.
• 1.9 Declaração. A conclusão da etapa declarada no Justiça Aberta, assinada pelo titular. A correição pede o registro no sistema e a declaração.

O que um modelo pronto resolve, e o que não resolve

Os modelos existem e são bons. O guia da ON-RCPN traz uma política de dezesseis seções, o registro de usuários, o registro de incidentes e a arquitetura mínima; o guia da ANOREG-RJ traz o inventário, o registro de tratamento, o registro de incidentes e a declaração de conclusão. Com os dois, uma pessoa competente da própria serventia fecha os itens 1.1, 1.3, 1.5, 1.6, 1.7 e 1.9, e produz o texto do item 1.2.

Três itens não saem de modelo.

A política como documento vivo. O item 1.2 pede mais que um texto aprovado: uma política que planeja o PCN e o PRD da etapa seguinte, com escopo e critério de continuidade, e que governa os próprios fornecedores da serventia: avaliação prévia, cláusulas, responsabilidade em incidente e monitoramento do contrato (Anexo III, 4.10). O modelo dá a moldura; o conteúdo depende de conhecer o ambiente e os contratos daquela serventia.

O registro de tratamento. O item 1.4 pede base legal, finalidade, retenção e fluxo de cada ato notarial ou registral. Nada disso é tarefa de TI, e é o item em que muita serventia trava.

A revisão dos contratos. O item 1.8 pede sete cláusulas expressas e exequíveis, negociadas com o fornecedor de sistema da própria serventia, e nenhum guia traz a redação pronta. É trabalho jurídico e comercial, com o teste de extração do art. 15 no fim.

Nas Classes 2 e 3 soma-se a mecânica do dossiê: cada requisito declarado um a um, sem declaração parcial ou condicional, e a lista de hashes assinada digitalmente num repositório com controle de acesso. O detalhe está na resposta sobre o dossiê técnico, nesta mesma série.

O que a correição cruza

O art. 25 diz o que dispara uma inspeção baseada em risco: inconsistência entre o que foi declarado e os dados disponíveis, evidência externa de falha não reportada, documentação mínima ausente. E o art. 8º, §1º, fixa o critério de leitura: prevalece "a realidade técnica e contratual sobre a nomenclatura". Um documento com o nome certo e nenhuma evidência atrás vale o que a inspeção encontrar.

Nesta série

• O que o Provimento 213 exige: classes, prazos e etapas
• Dossiê técnico do Provimento 213: o que é e como montar
• A declaração do Provimento 213 no Justiça Aberta: o que o titular assina
• Comunicação de incidente em 72 horas à Corregedoria: o que o Provimento 213 exige

Perguntas que costumam vir junto

A Implantação com o módulo do Provimento 213 entrega a Etapa 1 com o dossiê por trás da declaração: a política viva, o registro de tratamento, a revisão de segurança dos contratos e a evidência de cada requisito no formato que a correição pede.