PNAJ e LGPD: segurança de dados, autenticação e rastreabilidade

A PNAJ deverá tratar dados pessoais de arrematantes, representantes, partes e profissionais envolvidos nas alienações judiciais, e esse tratamento precisa respeitar a LGPD, a segurança da informação e as regras de publicidade dos atos judiciais. O Provimento CN-CNJ nº 255/2026 exige expressamente que a plataforma observe proteção de dados pessoais, rastreabilidade, auditoria e segurança da informação.

Isso não significa que todo dado existente em um leilão judicial será secreto. A alienação judicial também é regida por princípios de publicidade, transparência e acesso às informações necessárias para que interessados conheçam o bem e participem do certame. O desafio da PNAJ é compatibilizar publicidade do procedimento com proteção de dados que não precisam ser expostos.

Para entender primeiro como funcionará o acesso de usuários, consulte PNAJ login: onde entrar e quais formas de acesso estão confirmadas. Para a visão geral, veja o guia completo da PNAJ.

A LGPD se aplica à PNAJ?

Sim, o tratamento de dados pessoais no contexto da PNAJ deve observar a Lei Geral de Proteção de Dados, em conjunto com as normas próprias do Poder Judiciário e da atividade jurisdicional.

A Lei nº 13.709/2018 disciplina o tratamento de dados pessoais por pessoas naturais e jurídicas de direito público e privado.

No setor público, o tratamento pode ocorrer para atendimento de finalidade pública e execução de competências legais. Por isso, a aplicação da LGPD à PNAJ não pode ser reduzida à lógica de “consentimento do usuário”.

A plataforma existe para cumprir finalidade institucional definida em norma e para viabilizar alienações judiciais.

Quais dados pessoais a PNAJ pode tratar?

A plataforma pode precisar tratar diferentes categorias de informação conforme o usuário e o ato praticado.

A coleta concreta deve respeitar necessidade, finalidade e demais princípios aplicáveis.

A PNAJ precisa pedir consentimento para tratar meus dados?

Não necessariamente. Consentimento é apenas uma das bases jurídicas previstas pela LGPD.

Quando o Poder Público trata dados para cumprir obrigação legal, executar política pública ou desempenhar competência institucional, outras bases podem sustentar o tratamento.

Em uma plataforma judicial, o fundamento precisa ser analisado conforme:

• finalidade pública;
• competência do órgão;
• norma processual;
• ato do CNJ;
• tipo de dado;
• operação realizada.

Por isso, uma caixa “aceito o tratamento” na interface não é, isoladamente, o que torna legítima toda operação de dados da PNAJ.

Como a PNAJ concilia publicidade do leilão com privacidade?

Alienações judiciais exigem publicidade suficiente para atrair interessados e permitir competição.

O Provimento 255/2026 prevê pesquisa nacional dos bens por critérios como:

• tribunal;
• ramo da Justiça;
• localização;
• tipo de bem;
• valor;
• data;
• situação da alienação.

Essas informações possuem função pública evidente.

Já dados como senha, documentos pessoais integrais, códigos de autenticação, contatos privados ou informações excessivas de usuários não precisam ser expostos para dar publicidade ao lote.

Publicidade processual não significa exposição indiscriminada de todo dado pessoal existente no sistema.

O nome do arrematante pode aparecer no processo?

Atos processuais e documentos da arrematação podem identificar o adquirente quando isso for necessário para produzir efeitos jurídicos.

A LGPD não transforma automaticamente toda identificação do arrematante em informação sigilosa.

Por outro lado, a disponibilização pública deve respeitar regras de acesso processual, finalidade, necessidade e eventuais hipóteses de segredo ou restrição.

Quais medidas de segurança a PNAJ deve adotar?

O art. 46 da LGPD determina que agentes de tratamento adotem medidas técnicas e administrativas aptas a proteger dados pessoais contra acesso não autorizado e situações acidentais ou ilícitas.

No Poder Judiciário, a Resolução CNJ nº 396/2021 institui a Estratégia Nacional de Segurança Cibernética do Poder Judiciário.

Em uma plataforma como a PNAJ, medidas relevantes podem envolver:

• gestão de identidade;
• controle de acesso;
• privilégios mínimos;
• autenticação robusta;
• proteção de credenciais;
• registro de eventos;
• monitoramento;
• criptografia quando adequada;
• cópias de segurança;
• gestão de vulnerabilidades;
• resposta a incidentes;
• continuidade operacional;
• auditoria.

Essa lista representa boas práticas e requisitos gerais de segurança, não uma declaração de quais tecnologias específicas a PNAJ utilizará.

O que significa rastreabilidade na PNAJ?

Rastreabilidade é a capacidade de reconstruir eventos relevantes do sistema.

Em um leilão eletrônico, isso pode ser importante para responder perguntas como:

• qual conta praticou o ato;
• em que horário;
• qual lance foi enviado;
• se o lance foi aceito ou rejeitado;
• se houve alteração;
• qual evento técnico ocorreu;
• quem teve acesso administrativo.

Essa característica aumenta a confiabilidade e pode ser essencial em disputas sobre falha, autoria ou sequência de lances.

A PNAJ pode registrar endereço IP, horário e dispositivo?

Registros técnicos podem ser necessários para segurança, prevenção a fraude, auditoria e rastreabilidade.

A coleta, retenção e acesso a esses dados devem possuir finalidade definida e observar a legislação aplicável.

O fato de um dado ser “técnico” não significa que ele nunca seja dado pessoal. Dependendo do contexto, informações como IP e identificadores podem estar associadas a uma pessoa identificada ou identificável.

A PNAJ pode compartilhar dados com tribunais e outros órgãos?

A própria finalidade da plataforma envolve integração com tribunais e sistemas judiciais.

O compartilhamento de dados no Poder Público deve estar vinculado à execução de competências legais, políticas públicas e finalidades institucionais legítimas.

Isso não autoriza transferência indiscriminada para qualquer terceiro.

Leiloeiros, corretores, unidades judiciais e outros participantes devem ter acesso apenas ao que for necessário para desempenhar suas atribuições, conforme a arquitetura e as permissões do sistema.

O que acontece se houver vazamento de dados na PNAJ?

Um incidente de segurança deve ser analisado conforme:

• tipo de dado envolvido;
• quantidade de titulares;
• possibilidade de fraude;
• alcance do acesso indevido;
• medidas de contenção;
• risco ou dano relevante;
• regras da LGPD e de segurança cibernética do Judiciário.

A LGPD prevê comunicação de incidentes à autoridade nacional e aos titulares quando o evento puder acarretar risco ou dano relevante, observados os critérios e regulamentação aplicáveis.

O Poder Judiciário também possui estrutura nacional de segurança cibernética e resposta a incidentes estabelecida por normas do CNJ.

Se eu suspeitar de vazamento, o que devo fazer?

1. troque a senha pelo canal oficial;
2. encerre sessões desconhecidas, se houver essa opção;
3. ative fatores adicionais de autenticação;
4. registre o evento;
5. procure o suporte oficial;
6. verifique se houve ação não reconhecida na conta;
7. não clique em mensagens que aleguem “corrigir vazamento” sem validação;
8. acompanhe comunicações oficiais.

Se houver fraude financeira associada, também podem ser necessárias providências perante banco e autoridades competentes.

Quais direitos o titular de dados possui?

A LGPD prevê direitos como:

• confirmação da existência de tratamento;
• acesso aos dados;
• correção de dados incompletos ou desatualizados;
• informações sobre compartilhamento;
• outros direitos previstos na lei, observadas as particularidades do tratamento pelo Poder Público e da atividade jurisdicional.

Nem todo pedido de exclusão pode ser atendido. Dados relacionados a um processo, obrigação legal, registro de auditoria ou exercício de competência pública podem precisar ser conservados.

Posso pedir para apagar meu histórico de lances?

Não se deve presumir que um histórico ligado a ato judicial possa ser apagado por simples solicitação.

A rastreabilidade do leilão, a prestação jurisdicional, obrigações legais e a necessidade de prova podem justificar conservação dos registros.

O direito do titular precisa ser compatibilizado com a finalidade jurídica do tratamento e os deveres do órgão público.

Como o próprio usuário deve proteger seus dados?

A segurança não depende apenas da plataforma.

O usuário deve:

• confirmar o domínio oficial;
• usar senha exclusiva;
• não compartilhar credenciais;
• não informar código de autenticação;
• evitar computador público;
• manter dispositivo atualizado;
• desconfiar de links enviados por mensagem;
• não instalar aplicativo não confirmado;
• verificar beneficiário antes de pagamentos;
• guardar documentos e comprovantes com segurança.

Para páginas falsas, veja Golpe PNAJ: como identificar site falso e pagamento fraudulento.

LGPD impede que o edital publique informações do executado?

Não existe uma regra simples segundo a qual a LGPD proíbe toda identificação em edital judicial.

O conteúdo necessário à publicidade e validade do ato processual deve ser analisado conforme o CPC, normas judiciais, finalidade, necessidade e eventual regime de sigilo.

A LGPD precisa ser interpretada em conjunto com as obrigações de transparência e publicidade do Poder Judiciário.

A PNAJ será 100% segura?

Nenhum sistema conectado à internet pode ser tratado como absolutamente imune a incidentes.

O objetivo jurídico e técnico é reduzir riscos por meio de governança, prevenção, monitoramento, resposta a incidentes e melhoria contínua.

O CNJ mantém uma Estratégia Nacional de Segurança Cibernética do Poder Judiciário e estruturas de prevenção e resposta a incidentes.

Conclusão

A PNAJ terá de conciliar dois valores essenciais: transparência das alienações judiciais e proteção responsável dos dados pessoais.

A LGPD não impede a existência de uma plataforma pública de leilões, mas exige que o tratamento possua finalidade, necessidade, base jurídica e medidas de segurança adequadas.

Para o arrematante, isso significa utilizar apenas o ambiente oficial, proteger credenciais e compreender que dados necessários ao ato judicial podem ser tratados e conservados, enquanto informações desnecessárias não devem ser expostas sem fundamento.

Fontes jurídicas principais

• CNJ — Provimento CN-CNJ nº 255/2026.
• Lei Geral de Proteção de Dados — Lei nº 13.709/2018.
• CNJ — Resolução nº 396/2021, Estratégia Nacional de Segurança Cibernética do Poder Judiciário.
• CNJ — Portaria nº 162/2021, protocolos e manuais de segurança cibernética.

Este conteúdo possui finalidade informativa. Regras de proteção de dados devem ser interpretadas em conjunto com a legislação processual, a finalidade pública do tratamento, normas do CNJ e eventuais regimes de sigilo.