Auditece protocola consulta sobre uso de celular particular para acesso aos sistemas da Sefaz
A Auditece protocolizou, junto à Assessoria Jurídica da Secretaria da Fazenda do Estado do Ceará (ASJUR/SEFAZ), consulta sobre a legalidade da exigência de utilização de smartphone particular pelos servidores para viabilizar a autenticação em dois fatores e o acesso aos sistemas corporativos da Secretaria.
A iniciativa busca esclarecer se a Administração pode tornar obrigatório determinado mecanismo tecnológico de segurança e, ao mesmo tempo, transferir ao servidor a responsabilidade de fornecer, às suas próprias expensas, o equipamento necessário ao cumprimento dessa exigência.
No documento, a Auditece ressalta que não questiona a conveniência, a importância ou a legitimidade da autenticação multifator. Ao contrário, reconhece que o mecanismo constitui importante medida de segurança da informação, contribuindo para reduzir riscos de acessos indevidos, comprometimento de credenciais e incidentes envolvendo sistemas e dados institucionais.
A questão submetida à análise da ASJUR é especificamente a utilização obrigatória de um equipamento de propriedade particular do servidor como condição para o exercício de suas atribuições.
Smartphone particular como requisito para o trabalho
Conforme as orientações divulgadas aos servidores, a implantação do novo procedimento pressupõe a configuração de um telefone celular, com a instalação de aplicativo autenticador para geração ou validação do segundo fator necessário ao ingresso nos sistemas corporativos.
Na consulta, a Auditece destaca que, nessas condições, o smartphone deixa de representar apenas uma facilidade eventualmente utilizada pelo servidor e passa, na prática, a constituir instrumento necessário à autenticação e, consequentemente, ao acesso aos sistemas indispensáveis ao desempenho das atividades funcionais.
A questão ganha maior relevância porque, conforme se depreende dos comunicados divulgados, a exigência não estaria restrita ao teletrabalho. O segundo fator seria necessário para acesso aos sistemas corporativos independentemente de o servidor estar trabalhando remotamente ou presencialmente nas instalações da Sefaz.
Auditece questiona fundamento legal e responsabilidade pelos custos
Entre os principais pontos encaminhados à ASJUR, a Auditece solicita esclarecimento sobre a existência de norma legal ou regulamentar específica que autorize a Sefaz a condicionar o acesso aos sistemas institucionais à utilização de equipamento particular.
A entidade questiona ainda se, na ausência de previsão normativa expressa, uma obrigação dessa natureza poderia ser estabelecida exclusivamente por meio de comunicado, orientação administrativa ou procedimento técnico.
Outro aspecto levantado diz respeito aos custos. A consulta busca esclarecer se o servidor pode ser obrigado a possuir e manter smartphone compatível, custeando aquisição, manutenção, substituição, conectividade e atualização do equipamento, além de instalar aplicativo relacionado ao exercício de suas funções e manter o aparelho disponível para autenticação nos sistemas da Administração.
Também são apresentadas situações práticas que podem impedir o uso do aparelho, como perda, furto, dano, manutenção, incompatibilidade tecnológica ou mesmo a opção do servidor por não utilizar patrimônio pessoal para finalidades profissionais.
Alternativa institucional
A Auditece também questiona se, sendo obrigatório o segundo fator de autenticação, cabe à Administração disponibilizar uma alternativa aos servidores que não possuam, não possam ou não desejem utilizar smartphone particular.
Entre as possibilidades mencionadas na consulta estão smartphone institucional, token físico, chave de segurança, dispositivo específico de autenticação ou outra solução tecnológica que dispense a utilização de equipamento pessoal.
A entidade destaca que autenticação multifator não é tecnicamente sinônimo de utilização de smartphone particular e solicita que seja esclarecida qual solução institucional será oferecida caso o servidor legitimamente opte por não disponibilizar seu aparelho.
Possíveis consequências funcionais também são questionadas
Outro conjunto de quesitos encaminhados à Assessoria Jurídica trata das possíveis repercussões para o servidor que fique impossibilitado de acessar os sistemas por não possuir ou não utilizar smartphone particular.
A Auditece questiona se, nessa situação, o acesso poderá ser bloqueado e, principalmente, se poderão ser atribuídas ao servidor consequências relacionadas à frequência, produtividade, avaliação funcional, cumprimento de metas ou responsabilidade disciplinar.
A consulta chama atenção para a possibilidade de um servidor estar presente no local de trabalho, disponível e apto ao exercício de suas atribuições e, ainda assim, ficar tecnicamente impossibilitado de trabalhar por não possuir ou não disponibilizar telefone celular pessoal para utilização institucional.
Com o protocolo da consulta, a Auditece busca obter uma manifestação jurídica que estabeleça com clareza os limites e as responsabilidades envolvidos na implementação do novo mecanismo.
A entidade defende que o fortalecimento da segurança da informação é necessário e deve avançar, mas considera igualmente importante assegurar que sua implementação ocorra com segurança jurídica e com a adequada definição das responsabilidades da Administração e dos servidores.