Mal a AR Eletrônica foi aprovada pelo Comitê Gestor da ICP-Brasil em 24 de abril de 2026, e já apareceu o primeiro grande inimigo institucional capaz de colocar o serviço em risco antes mesmo de ele entrar em operação comercial. O nome desse inimigo é Resolução 139/2025 do Senatran, e o coração do problema é uma sigla que vem ganhando peso nos bastidores: GCC, ou Gerenciamento de Consentimento e Ciência.
Este artigo destrincha o que está em jogo. Por que a ICP-Brasil pediu para ser excepcionada de uma norma do Conselho Nacional de Trânsito? Por que essa norma importa para certificação digital? E o que pode acontecer se o GCC for aplicado tal como está hoje à AR Eletrônica?
O que é a Resolução 139/2025 do Senatran?
A Resolução 139/2025 foi publicada pelo Senatran (Secretaria Nacional de Trânsito) com o objetivo legítimo de regulamentar o consumo das bases de dados do Senatran e do Renach (Registro Nacional de Condutores Habilitados) por terceiros. A intenção é boa: garantir que ninguém consulte dados pessoais sensíveis do cidadão sem governança adequada, sem consentimento explícito e sem rastreabilidade.
O problema é que a forma escolhida para implementar essa governança cria uma camada obrigatória de intermediação para qualquer requisição feita às bases do Senatran. Essa camada é o GCC. Toda Autoridade Certificadora, toda Autoridade de Registro, todo serviço público ou privado que precise validar uma identidade contra a base do Renach passa a ter que se submeter à arquitetura do GCC.
Essa exigência não foi desenhada pensando especificamente nas consultas que a ICP-Brasil precisa fazer para emitir certificado digital — e é justamente aí que mora a colisão. A AR Eletrônica, aprovada pela Pauta 3, depende centralmente do consumo da base do Senatran/Renach através do serviço DataValid do Serpro. Sem acesso fluido a essa base, a AR Eletrônica perde sua principal fonte de identificação biométrica.
O que é o GCC (Gerenciamento de Consentimento e Ciência)?
O GCC é, conceitualmente, uma camada de governança que registra, intermedia e fiscaliza cada consulta feita às bases do Senatran. Funciona como um "pedágio digital": a Autoridade Certificadora (ou qualquer outro consumidor da base) precisa enviar a requisição para o GCC, que verifica o consentimento do titular dos dados e só então repassa a consulta à base de destino.
A NCD/ANCD apresentou, durante a reunião do Comitê Gestor da ICP-Brasil, três preocupações concretas sobre o desenho atual do GCC:
- Latência fora do controle do operador. Nas palavras de Leonardo Gonçalves, "a gente não sabe qual é o tempo de resposta desse terceiro, e isso pode impactar, isso vai impactar, não pode impactar, impactará diretamente a experiência do usuário". A frase é importante pela construção: ele evolui de "pode" para "vai" para "impactará". Não é hipótese, é prognóstico.
- Custo adicional por consulta. Ainda segundo Leonardo Gonçalves, "a própria portaria traz um custo adicional por cada consulta a esse GCC". Cada emissão de certificado digital pela AR Eletrônica passaria a embutir um custo unitário adicional, que precisa ser absorvido por alguém da cadeia — a Autoridade Certificadora, a AR ou, em última instância, o cidadão.
- Risco de inviabilizar o auto-atendimento. Leonardo Gonçalves resumiu o ponto crítico: "A R eletrônica é um teste para a indústria provar mesmo de fato essa experiência de uso. E o usuário quer fazer um processo automatizado sem um tempo de resposta de um terceiro que a gente não controla". Em outras palavras: a promessa central da AR Eletrônica é justamente o controle do tempo e a previsibilidade da jornada. Inserir um terceiro fora desse controle quebra a promessa.
Por que a ICP-Brasil pede para ser excepcionada dessa norma?
O argumento da NCD/ANCD não é "remover o GCC do mundo". É: criar uma exceção específica para a ICP-Brasil. A justificativa tem três pilares:
- Consentimento já presente na jornada. Quando o cidadão escolhe abrir um app de uma AR Eletrônica para emitir um certificado digital, ele já está consentindo explicitamente que sua identidade seja verificada contra bases governamentais. O termo de uso, a tela de aceite e o próprio ato de iniciar a emissão configuram consentimento informado e específico, atendendo aos requisitos da LGPD.
- Rastreabilidade já existente na ICP-Brasil. Toda emissão de certificado digital ICP-Brasil é registrada, auditada e rastreável. O ITI tem auditoria contínua sobre as Autoridades Certificadoras. Adicionar uma camada de governança extra (o GCC) duplica o controle sem trazer benefício marginal proporcional ao custo.
- Natureza do serviço. Diferente de uma consulta comercial qualquer à base do Renach, a consulta feita por uma AR Eletrônica tem propósito claro, escopo restrito (validar identidade do solicitante de certificado), volume previsível e finalidade pública (emissão de identidade digital). A Resolução 139 mistura todos os tipos de consulta em uma única arquitetura, o que tecnicamente é discutível.
O presidente do ITI, Nilson Camolesi, sinalizou disposição para abordar o tema, observando durante a reunião que essa "gestão de consentimento" "vai além do mundo da certificação". A frase é diplomática, mas o significado é importante: o ITI reconhece que o problema é mais amplo, não cabe a ele resolver sozinho a Resolução 139, mas pode pleitear a exceção específica para a ICP-Brasil junto ao Senatran.
Qual o impacto financeiro e na experiência do usuário?
O impacto pode ser estimado em três dimensões:
Dimensão financeira. Cada consulta ao GCC tem custo unitário. Se a AR Eletrônica fizer várias consultas por emissão (validação biométrica, validação cadastral, validação de elegibilidade), o custo total agregado por certificado emitido cresce. Em escala — e a AR Eletrônica é projetada para escalar a centenas de milhares de emissões — esse custo unitário multiplica-se em montantes significativos. Quem absorve? A AR pode repassar ao cidadão, o que encarece o certificado. Pode absorver internamente, o que aperta margem. Pode pressionar o ITI por reembolso público, o que politicamente é improvável.
Dimensão de experiência. A AR Eletrônica vende uma promessa específica: emissão em poucos minutos, a qualquer hora, sem agendamento e sem dependência de terceiros. Cada segundo adicional de latência introduzido pelo GCC degrada essa promessa. Pior: como o tempo de resposta do GCC é variável e desconhecido, a previsibilidade desaparece. Um cidadão pode emitir em 2 minutos hoje e em 12 minutos amanhã, sem entender o motivo. Isso destrói confiança no canal.
Dimensão competitiva. A Pauta 3 buscou colocar o Brasil no clube global do certificado digital 100% remoto. Países europeus operam serviços auto-assistidos sem intermediação obrigatória de gestão de consentimento sobre bases públicas, porque a arquitetura jurídica deles foi pensada de forma integrada. Se a ICP-Brasil tiver que operar com GCC enquanto a Europa não tem equivalente, o Brasil sai da paridade competitiva no mesmo dia em que tenta entrar nela.
Como o ITI vai abordar o tema?
A reunião do Comitê Gestor não fechou uma deliberação formal sobre o GCC, mas estabeleceu três movimentos importantes:
- Reconhecimento do problema. O ITI reconheceu o pleito da NCD/ANCD e Nilson Camolesi sinalizou intenção de abordar o tema com o Senatran. O reconhecimento institucional é o primeiro passo para qualquer negociação inter-órgãos.
- Cronograma apertado. A indústria mencionou um prazo de 60 dias para se ajustar caso a Resolução 139 não seja flexibilizada para a ICP-Brasil. Esse cronograma é o limite operacional para que a AR Eletrônica entre em operação sem o gargalo do GCC.
- Articulação ampliada. Por reconhecer que a gestão de consentimento "vai além do mundo da certificação", o ITI sinaliza que precisará envolver outros atores — provavelmente MGI/SGD, Receita Federal, ANPD — para construir uma posição governamental coesa sobre o tema.
Para Leandro Albertini, fundador do Selo Eletrônico e que atua com certificação digital ICP-Brasil desde 2016, o caso do GCC é um lembrete de que regulação digital no Brasil é um xadrez de múltiplos tabuleiros. Ele defende que empresas que dependem de identidade digital precisam acompanhar não só o ITI, mas também atos do Senatran, da Receita, da ANPD e do MGI — porque uma única norma de outro órgão pode redesenhar o que parecia consolidado. Foi exatamente o que aconteceu aqui: a AR Eletrônica nasceu aprovada e, no mesmo dia, ganhou um obstáculo regulatório fora de casa.
Perguntas frequentes (FAQ)
O que é a Resolução 139/2025 do Senatran?
É uma resolução do Conselho Nacional de Trânsito que regulamenta o consumo das bases do Senatran e do Renach por terceiros, criando uma camada obrigatória chamada GCC (Gerenciamento de Consentimento e Ciência) para qualquer consulta às bases — incluindo aquelas usadas pelo serviço DataValid do Serpro, fonte biométrica central da AR Eletrônica.
O que é o GCC (Gerenciamento de Consentimento e Ciência)?
O GCC é uma camada de governança operada por um terceiro responsável por gerir o consentimento do cidadão a cada consulta feita às bases do Senatran. Toda requisição precisa passar por esse intermediário, que cobra um custo adicional por consulta e introduz um tempo de resposta extra fora do controle da Autoridade Certificadora ou Autoridade de Registro.
Por que a ICP-Brasil pediu para ser excepcionada?
Porque a AR Eletrônica é um serviço auto-assistido em que o usuário já consente explicitamente em ser identificado biometricamente. Inserir um intermediário entre a AR Eletrônica e a base biométrica eleva o custo do serviço, introduz latência fora do controle do operador e degrada a experiência do usuário — comprometendo justamente o atributo central que justifica o serviço.
Qual o impacto na experiência do usuário?
O usuário da AR Eletrônica espera um processo automatizado, em poucos minutos, sem dependência de terceiros. Se o GCC introduzir tempo de resposta variável, alertas adicionais de consentimento ou indisponibilidade momentânea, o serviço deixa de cumprir a promessa de auto-assistência. A NCD/ANCD argumentou que esse impacto não pode ser apenas previsto — ele será real e direto.
Conclusão
Quem só comemorou a aprovação da AR Eletrônica em 24 de abril de 2026 sem prestar atenção ao pleito da NCD/ANCD sobre a Resolução 139/2025 do Senatran corre o risco de descobrir, daqui a alguns meses, que o serviço entrou em operação caro, lento e imprevisível — exatamente o oposto do que foi prometido. A regulamentação digital brasileira anda em múltiplos tabuleiros simultâneos, e basta uma norma de outro órgão para neutralizar uma conquista de outro.
Empresas que dependem de identidade digital — sejam contabilidades, escritórios de advocacia, fintechs ou e-commerces — precisam acompanhar a evolução desse tema com tanta atenção quanto deram à própria aprovação da Pauta 3. O custo unitário do certificado digital, o tempo de emissão e a estabilidade do canal podem mudar dramaticamente dependendo de como o impasse do GCC for resolvido nos próximos meses. Perder esse capítulo significa perder controle sobre a previsibilidade do seu próprio negócio. Acompanhe a evolução pelo noticiário do Comitê Gestor e veja também quem pode e quem não pode usar a AR Eletrônica antes de planejar sua estratégia de identidade digital.
Perguntas frequentes
O que é a Resolução 139/2025 do Senatran?
É uma resolução do Conselho Nacional de Trânsito que regulamenta o consumo das bases do Senatran e do Renach por terceiros, criando uma camada obrigatória chamada GCC (Gerenciamento de Consentimento e Ciência) para qualquer consulta às bases — incluindo aquelas usadas pelo serviço DataValid do Serpro, fonte biométrica central da AR Eletrônica.
O que é o GCC (Gerenciamento de Consentimento e Ciência)?
O GCC é uma camada de governança operada por um terceiro responsável por gerir o consentimento do cidadão a cada consulta feita às bases do Senatran. Toda requisição precisa passar por esse intermediário, que cobra um custo adicional por consulta e introduz um tempo de resposta extra fora do controle da Autoridade Certificadora ou Autoridade de Registro.
Por que a ICP-Brasil pediu para ser excepcionada?
Porque a AR Eletrônica é um serviço auto-assistido em que o usuário já consente explicitamente em ser identificado biometricamente. Inserir um intermediário entre a AR Eletrônica e a base biométrica eleva o custo do serviço, introduz latência fora do controle do operador e degrada a experiência do usuário — comprometendo justamente o atributo central que justifica o serviço.
Qual o impacto na experiência do usuário?
O usuário da AR Eletrônica espera um processo automatizado, em poucos minutos, sem dependência de terceiros. Se o GCC introduzir tempo de resposta variável, alertas adicionais de consentimento ou indisponibilidade momentânea, o serviço deixa de cumprir a promessa de auto-assistência. A NCD/ANCD argumentou que esse impacto não pode ser apenas previsto — ele será real e direto.
