Portaria TCU n° 97/2022
Assunto: Regulamenta, no âmbito do Tribunal de Contas da União, o modelo de gestão da segurança da informação, voltado especificamente a solicitação, transporte, recebimento, manuseio, tratamento, armazenamento, utilização e descarte de dados e informações protegidos por sigilo fiscal provenientes da Secretaria Especial da Receita Federal do Brasil (RFB).
Origem: [TCU]
Início de vigência: 27/06/2022
Situação: Vigente
Normas relacionadas: [Alterada por Portaria TCU n° 97/2025]

Regulamenta, no âmbito do Tribunal de Contas da União, o modelo de gestão da segurança da informação, voltado especificamente a solicitação, transporte, recebimento, manuseio, tratamento, armazenamento, utilização e descarte de dados e informações protegidos por sigilo fiscal provenientes da Secretaria Especial da Receita Federal do Brasil (RFB).

A PRESIDENTE DO TRIBUNAL DE CONTAS DA UNIÃO (TCU), no uso de suas competências legais e regimentais,

considerando o disposto na Resolução-TCU nº 294, de 18 de abril de 2018, que versa sobre a classificação da informação quanto à confidencialidade no âmbito do Tribunal, notadamente no que se refere ao parágrafo único do art. 18;

considerando o princípio da proteção dos dados pessoais previsto no inciso LXXIX do art. 5º da Constituição Federal;

considerando o disposto na Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais);

considerando o disposto no inciso III do art. 6º e no inciso IV do art. 32 da Lei nº 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação);

considerando a Resolução-TCU nº 297, de 26 de junho de 2018, que disciplina o armazenamento, a concessão de acesso e o compartilhamento de bases de dados obtidas de pessoa física ou jurídica, órgão ou entidade, no exercício do controle externo, classificadas com restrição de acesso;

considerando a Portaria-TCU nº 329, de 1º de dezembro de 2014, que aborda os procedimentos de segurança e controles administrativos e tecnológicos afetos à classificação quanto à confidencialidade das informações produzidas ou custodiadas pelo Tribunal;

considerando o Decreto nº 10.209, de 22 de janeiro de 2020, que dispõe sobre a requisição de informações e documentos e sobre o compartilhamento de informações protegidas pelo sigilo fiscal;

considerando a Portaria RFB nº 4, de 22 de janeiro de 2021, que dispõe sobre o Protocolo de Auditabilidade da Administração Tributária e Aduaneira, utilizado para viabilizar o compartilhamento de dados e informações protegidos pelo sigilo fiscal;

considerando os estudos e pareceres constantes do Processo AGU nº 00400.000843/2019-11, que trata do acesso a informações protegidas por sigilo fiscal por órgãos de controle;

considerando o Convênio Não Oneroso celebrado entre a Secretaria Especial da Receita Federal do Brasil e o TCU, em 23 de novembro de 2020 (TC-021.056/2020-0), para o compartilhamento de informações protegidas por sigilo fiscal;

considerando que a Política Corporativa de Segurança da Informação do TCU (PCSI/TCU) prevê que o acesso às informações custodiadas pelo Tribunal seja franqueado exclusivamente a pessoas autorizadas, com base nos requisitos de negócio e de segurança da informação;

considerando a necessidade de especificar procedimentos e controles administrativos e tecnológicos para prevenir e reparar os danos à imagem ou ao negócio do TCU decorrentes do uso ou do acesso não autorizado à informação custodiada pelo Tribunal e protegida por sigilo; e

considerando que os procedimentos e controles administrativos aplicados às informações protegidas por sigilo fiscal devem ser compatíveis com aqueles aplicados no órgão de origem das informações; e

considerando as informações constantes do processo nº TC-007.070/2022-5, resolve:

CAPÍTULO I

DISPOSIÇÕES PRELIMINARES

Art. 1º A solicitação, o transporte, o recebimento, o manuseio, o tratamento, o armazenamento, a utilização e o descarte de dados e informações protegidos por sigilo fiscal provenientes da Secretaria Especial da Receita Federal do Brasil (RFB), recebidos e custodiados pelo Tribunal de Contas da União (TCU), no exercício das atividades de controle externo, obedecem ao disposto nesta Portaria.

Parágrafo único. As disposições desta Portaria não se aplicam aos dados e informações das declarações de imposto de renda fornecidas pela RFB em cumprimento ao disposto na Lei nº 8.730, de 10 de novembro de 1993, e na Instrução Normativa TCU nº 87, de 12 agosto de 2020. (AC) (Portaria-TCU nº 97, de 18/06/2025, BTCU Administrativo nº 112, de 18/06/2025)

CAPÍTULO II

DISPOSIÇÕES GERAIS

Art. 2º Para os fins desta Portaria, entende-se por:

I - Ambiente Seguro Interno: ambiente de infraestrutura de Tecnologia da Informação, de acesso restrito, construído no TCU de acordo com as especificações estabelecidas em convênio firmado com a RFB, onde serão tratados os documentos e bases de dados recebidos e protegidos por sigilo fiscal;

II - código hash: algoritmo baseado em função de condensação utilizado para garantir a integridade de uma informação;

III - confidencialidade: propriedade que garante que a informação seja acessada somente pelas pessoas ou processos que tenham autorização para tal;

IV - dado anonimizado: dado relativo a contribuinte que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião do respectivo tratamento;

V - integridade: propriedade que garante a não violação das informações com intuito de protegê-las contra alteração, gravação ou exclusão indevida, acidental ou proposital;

VI - Sala de Auditoria: espaço físico fornecido pela RFB para que os auditores do TCU possam acessar as bases de dados da referida Secretaria em Ambiente Seguro e Controlado; e

VII - senha: chave simétrica usada para proteger os dados em arquivos criptografados.

CAPÍTULO III

DA SALA DE AUDITORIA

Art. 3º Os dados e informações protegidos por sigilo fiscal provenientes da RFB deverão ser consumidos, preferencialmente, na Sala de Auditoria da referida Secretaria, podendo ser transportados para o Ambiente Seguro Interno do TCU apenas quando estritamente necessário.

Art. 4º Para acessar a Sala de Auditoria, é necessário que:

I - a unidade técnica do TCU interessada informe à RFB, para cada processo de controle externo instaurado, sobre a necessidade e indispensabilidade do ingresso, com a indicação dos auditores que poderão acessá-la;

II - o ingresso ocorra de forma presencial na Sala localizada em Brasília/DF; e

III - os auditores cumpram os procedimentos de habilitação junto à RFB, conforme regulamentação da referida Secretaria.

Parágrafo único. A unidade técnica responsável pelo controle externo da RFB supervisionará os trâmites de acesso à Sala de Auditoria, orientando as unidades técnicas e auxiliando-as nos contatos com a RFB, observando o disposto em regulamentação da Secretaria-Geral de Controle Externo (Segecex).

CAPÍTULO IV

DA SOLICITAÇÃO

Art. 5º A extração de dados e informações acessados no âmbito da Sala de Auditoria, quando necessária, deve ser solicitada ao Coordenador-Geral de Auditoria Interna da RFB, mediante ofício, por qualquer um dos auditores do TCU designados para o acesso à Sala.

Parágrafo único. A extração de dados e informações sigilosos será feita com a geração de arquivo criptografado mediante senha, inclusive quando a extração ocorrer na Sala de Auditoria.

CAPÍTULO V

DO TRANSPORTE E RECEBIMENTO

Art. 6º O arquivo criptografado a que se refere o parágrafo único do art. 5º desta Portaria será recebido por meio eletrônico.

§ 1º A senha para acesso ao arquivo será disponibilizada à pessoa autorizada pelo TCU e que tenha autenticação garantida por certificado digital, nos termos da Portaria-TCU nº 188, de 12 de agosto de 2010.

§ 2º Caso não seja possível receber as informações na forma prevista no caput e no § 1º deste artigo, as partes devem acordar procedimento alternativo seguro.

Art. 7º O arquivo recebido pelo TCU deverá ter sua integridade verificada, de modo a homologar as respectivas informações, devendo a RFB ser informada acerca da correta transmissão do arquivo.

§ 1º O arquivo, quando gerado pela RFB, deverá estar acompanhado do código hash para verificação.

§ 2º Quando o arquivo for gerado na Sala de Auditoria por auditor do TCU, cabe a ele gerar o código hash para verificação.

§ 3º Caso ocorra problemas na integridade do arquivo, o fato deverá ser informado ao titular responsável pela unidade de infraestrutura de Tecnologia da Informação do TCU, ao titular da unidade técnica requisitante dos dados e à RFB.

CAPÍTULO VI

DO ARMAZENAMENTO, MANUSEIO E TRATAMENTO

Art. 8º O arquivo criptografado com dados e informações protegidos por sigilo fiscal provenientes da RFB, recebido pelo TCU, ficará armazenado no Ambiente Seguro Interno de que trata o Capítulo IX desta Portaria.

Art. 9º A unidade técnica requisitante receberá o arquivo criptografado no Ambiente Seguro Interno e ficará responsável pela manutenção, manuseio e tratamento do arquivo.

CAPÍTULO VII

DA UTILIZAÇÃO

Art. 10. Qualquer servidor que tenha acesso a dados e informações no Ambiente Seguro Interno deverá, obrigatoriamente, cumprir todas as restrições estabelecidas no Convênio Não Oneroso celebrado entre a RFB e o TCU, em 23 de novembro de 2020, na Portaria RFB nº 4, de 22 de janeiro de 2021, no Decreto nº 10.209, de 22 de janeiro de 2020, e na legislação correlata, além de assinar termo de confidencialidade, preferencialmente eletrônico, na ocasião do acesso.

Parágrafo único: A cada ação de controle externo que demande acesso a dados e informações protegidos por sigilo fiscal será exigida assinatura de novo termo de confidencialidade.

Art. 11. A utilização de dados e informações protegidos por sigilo fiscal como evidência de auditoria não pode identificar contribuinte ou terceiro, nem permitir sua reidentificação a partir dos dados publicados.

§ 1º São considerados não identificáveis os dados consolidados de contribuintes ou terceiros.

§ 2º Caso seja necessária, no âmbito de processo no TCU, a utilização de dados ou informações protegidos por sigilo fiscal, deve-se incluir, nos respectivos autos, uma peça com o dado anonimizado, fazendo referência ao dado real sigiloso que, nos termos do art. 8º desta Portaria, está armazenado no Ambiente Seguro Interno.

§ 3º Toda solicitação de acesso a dados ou informações referenciados em processo, protegidos por sigilo fiscal e armazenados no Ambiente Seguro Interno, será submetida ao respectivo relator, que a avaliará à luz da legislação referida no art. 10 desta Portaria.

CAPÍTULO VIII

DO DESCARTE

Art. 12. Há dois tipos de documentos no Ambiente Seguro Interno:

I - os referenciados em processo; e

II - os papéis de trabalho.

§ 1º Os documentos referenciados em processo devem observar, no que se refere ao prazo de guarda, as normas de gestão documental do TCU.

§ 2º Os documentos do tipo papéis de trabalho deverão ser guardados por cinco anos depois do trânsito em julgado da decisão proferida no processo em que forem juntados e descartados após esse período.

Art. 13. Os procedimentos para descarte dos documentos armazenados no Ambiente Seguro Interno devem obedecer às regras de tratamento de informações classificadas como sigilosas descritas na Portaria-TCU 329, de 1º de dezembro de 2014, ou na norma que a suceder, de modo a tornar improvável a sua recuperação por quaisquer meios lógicos ou físicos.

CAPÍTULO IX

DO AMBIENTE SEGURO INTERNO

Art. 14. A gestão do Ambiente Seguro Interno ficará a cargo da secretaria responsável pela infraestrutura de Tecnologia da Informação do TCU, à qual compete manter a segurança do ambiente, conforme os requisitos de segurança exigidos, e fornecer aos curadores de cada conjunto de dados as informações sobre logs, perfis e demais aspectos tecnológicos necessários à manutenção da segurança dos dados.

Art. 15. Aplicam-se ao Ambiente Seguro Interno, em consonância com os requisitos estabelecidos pela RFB, os seguintes controles:

I - acesso por meio de certificado digital;

II - uso de protocolos criptografados para tráfego e armazenamento de dados;

III - registro de todos os eventos de logs que envolvam documentos protegidos por sigilo fiscal, de forma a permitir a identificação individual da operação efetuada, do usuário, da origem do acesso e da data/hora das transações realizadas;

IV - adoção dos meios necessários para promover criptografia dos backups operacionais; e

V - estabelecimento de perfis de acesso com definição de atribuições e responsabilidades dos usuários nele habilitados.

§ 1º Para cada processo de controle externo, deve ser implementada divisão, para fins de acesso, entre documentos referenciados em processo e papéis de trabalho.

§ 2º Cada equipe de auditoria terá acesso, durante a ação de controle, aos papéis de trabalho da auditoria a que está designada.

§ 3º Após o trânsito em julgado, a concessão de acesso aos papéis de trabalho no Ambiente Seguro Interno será excepcional e autorizada mediante despacho do dirigente da respectiva unidade técnica, proferido no processo ao qual foram juntados tais documentos.

§ 4º Para os documentos referenciados em processo, o acesso será dado nos termos do art. 10 e art. 11 desta Portaria.

§ 5º É vedado o acesso ao Ambiente Seguro Interno por pessoa externa ao TCU, mesmo que componha a equipe de auditoria, exceto para limpeza, manutenção predial ou de equipamentos, situação na qual o acesso se dará em companhia de servidor especificamente designado para esse fim.

Art. 16. Em caso de pedido de cópia de processo que contenha documentos com sigilo fiscal, por força de lei os dados e informações armazenados no Ambiente Seguro Interno não podem ser fornecidos, em razão da titularidade dessa documentação ser da RFB.

CAPÍTULO X

DAS RESPONSABILIDADES NO AMBIENTE SEGURO INTERNO

Art. 17. Quando um processo contiver dados ou informações protegidos por sigilo fiscal no Ambiente Seguro Interno, será concedido automaticamente perfil específico de acesso ao secretário da unidade técnica responsável pelos respectivos autos.

Art. 18. É responsabilidade do auditor (inclusive o supervisor e o coordenador) que faz parte de equipe de fiscalização:

I - acessar apenas os dados e informações que tenha necessidade de conhecer e que tenha autorização de acesso; e

II - zelar pela confidencialidade dos dados e informações acessados.

Art. 19. O secretário da unidade técnica é o titular do acesso aos dados e informações do Ambiente Seguro Interno relacionados à respectiva auditoria, durante e após a fiscalização, cabendo-lhe conceder e revogar o acesso à equipe de auditoria.

§ 1º Os perfis de acesso serão revogados automaticamente quando:

I - o prazo concedido expirar;

II - o auditor autorizado deixar a equipe;

III - o processo tiver decisão transitada em julgado; ou

IV - o tempo da portaria de fiscalização for concluído.

§ 2º A unidade técnica responsável pelo processo de fiscalização é a curadora dos dados e informações sigilosos custodiados.

Art. 20. É responsabilidade das unidades provedoras de Tecnologia da Informação:

I - prover solução automatizada para conceder e revogar os acessos dos secretários ao Ambiente Seguro Interno; e

II - manter os logs individuais de acesso, carga, extração e credenciamento relacionados aos dados e informações do Ambiente Seguro Interno pelo maior prazo, considerando cinco anos depois do trânsito em julgado ou oito anos após o recebimento dos dados e informações.

Parágrafo único. Em caso de necessidade de acesso aos logs, as unidades provedoras fornecerão extrato das devidas informações.

CAPÍTULO XI

CONSIDERAÇÕES FINAIS

Art. 21. Os casos omissos serão submetidos, pela secretaria demandante, à secretaria responsável pela coordenação da segurança da informação no TCU.

Art. 22. Em caso de rescisão do Convênio mencionado no art. 10 desta Portaria, a Presidência do TCU definirá a destinação dos dados e informações que estão sob a guarda do Tribunal.

Art. 23. Esta Portaria entra em vigor na data de sua publicação.

ANA ARRAES