Utilização do Cl@ve por terceiros: o reforço da abordagem restritiva da Administração Pública e o seu impacto nos modelos de intermediação digital
O objetivo da presente Nota Informativa é apresentar as considerações levantadas pela Agência Estatal de Administração Tributária («AEAT») relativamente à natureza pessoal e intransmissível dos sistemas Cl@ve e à necessidade de prevenir práticas de intermediação ou a utilização por terceiros, publicadas em abril passado sob o título «Utilização Pessoal do Cl@ve e Prevenção de Práticas de Intermediação Não Autorizadas».
I. CONTEXTO NORMATIVO
Antes de abordar o conteúdo específico das declarações da AEAT, convém situar a sua publicação no contexto do atual quadro regulamentar.
O Cl@ve é um sistema de identificação, autenticação e assinatura eletrónica criado pela Administração Geral do Estado para facilitar as relações eletrónicas dos cidadãos com as administrações públicas. De acordo com a própria definição do Cl@ve:
Trata-se de uma plataforma comum de identificação, autenticação e assinatura eletrónica, um sistema interoperável e horizontal que poupa às administrações públicas a necessidade de implementar e gerir os seus próprios sistemas de identificação e assinatura, e poupa aos cidadãos a necessidade de utilizar diferentes métodos de identificação para interagir eletronicamente com a administração.
É importante salientar que estes sistemas resultam da entrada em vigor da legislação pertinente, que visa promover a transformação digital e regulamentar os mecanismos de identificação e autenticação eletrónica dos cidadãos nas suas relações com as administrações públicas.
Neste contexto, os artigos 9.º e 10.º da LPACAP estabelecem os diferentes sistemas de identificação e assinatura eletrónicas permitidos para que os cidadãos interajam com as administrações públicas, incluindo o Cl@ve. Por seu lado, o Regulamento eIDAS reconhece expressamente o papel dos prestadores de serviços de confiança, definidos como as pessoas singulares ou coletivas que prestam um ou mais serviços de confiança, quer qualificados, quer não qualificados.
Uma vez esclarecido isto, é importante referir que não é a primeira vez que as autoridades públicas se pronunciam sobre esta matéria. De facto, já em 2022, o Ministério da Economia e da Transformação Digital publicou a «Nota de Esclarecimento sobre a Utilização de Certificados Eletrónicos por Pessoas que Não sejam o Titular ou o Signatário», na qual se afirmava expressamente que:
Em conclusão, reitera-se que os certificados eletrónicos se destinam a uso pessoal e intransmissível, e que a possibilidade de o titular ou signatário de um certificado eletrónico emitido em seu nome transferir a posse e comunicar as suas chaves de acesso a terceiros não está em conformidade com a legislação em vigor relativa aos serviços de confiança eletrónicos. (ênfase acrescentada)
Esta posição é inteiramente coerente com as disposições estabelecidas tanto nas Perguntas Frequentes (FAQ) sobre o Cl@ve PIN como nos documentos informativos publicados pela própria AEAT e pela Administração Geral do Estado, que destacam repetidamente a sua natureza pessoal e intransmissível.
No entanto, dado que a Administração tem defendido este princípio há anos, surge uma questão fundamental: que novo contributo traz a recente declaração da AEAT?
II. CONTEÚDO DAS RECOMENDAÇÕES
A declaração da AEAT deve ser interpretada como um aviso explícito contra determinados modelos de negócio baseados na intermediação no acesso a dados públicos, em particular aqueles que dependem do consentimento do utilizador ou do cliente para operar com as suas credenciais, replicam esquemas de «delegação prática» de autenticação ou permitem que terceiros acedam diretamente a informações pessoais em portais online.
No entanto, atualmente, no contexto da digitalização dos serviços públicos e dos modelos de partilha de informação do «Open Data», têm sido desenvolvidas soluções de intermediação através das quais o prestador de serviços atua como intermediário técnico entre o cidadão e a Administração, realizando efetivamente o processo de autenticação em nome do cidadão.
Embora a grande maioria destes modelos se baseie, em geral, no consentimento do utilizador e tenha como objetivo simplificar a experiência do utilizador, a AEAT é inequívoca nesta matéria.
Embora a comunicação da AEAT não introduza, por si só, proibições legais, considera certas práticas como um uso indevido; estas devem ser interpretadas como recomendações ou orientações administrativas.
Resumimos, a seguir, as práticas referidas:
- O Cl@ve é um mecanismo de identificação, autenticação e assinatura eletrónica para uso pessoal, direto e intransmissível;
- não é permitido que terceiros utilizem os mecanismos de autenticação Cl@ve de um cidadão para aceder a serviços eletrónicos da administração pública em seu nome;
- considera-se uma utilização indevida o acesso a serviços utilizando as credenciais de um cidadão, mesmo que este tenha dado o seu consentimento;
- constitui uma utilização indevida a utilização de sistemas de intermediação técnica que capturem, reutilizem ou automatizem processos de autenticação, ou que apresentem ou gerem códigos QR ou elementos semelhantes através de sistemas intermediários;
- constitui uma utilização indevida o armazenamento, o tratamento ou a reutilização de palavras-passe, palavras-passe de uso único (OTP) e outros elementos destinados à autenticação do cidadão.
Em resumo, a AEAT considera como utilização indevida qualquer utilização do sistema Cl@ve que envolva intermediação, ou seja, que um terceiro aceda às administrações públicas utilizando as credenciais de um cidadão.
Em última análise, embora os critérios da AEAT não introduzam uma proibição legal expressa, representam um claro endurecimento da interpretação administrativa no que diz respeito à utilização de sistemas de identificação eletrónica. De uma perspetiva prática, isto não invalida automaticamente os modelos existentes, mas aumenta significativamente a sua exposição a riscos de conformidade regulamentar, supervisão e continuidade das atividades a médio prazo.
Além disso, a própria AEAT adverte explicitamente que poderá implementar as medidas técnicas e organizacionais que considerar necessárias para proteger os cidadãos e garantir a integridade dos mecanismos de identificação e autenticação, reforçando a ideia de uma abordagem claramente restritiva e prenunciando potenciais limitações futuras, através de desenvolvimentos regulamentares ou técnicos, no que diz respeito aos modelos de intermediação baseados na utilização de credenciais de terceiros.
Por último, convém referir que, nestes sistemas, as ações realizadas através do Cl@ve são inteiramente atribuídas ao titular da conta, mesmo quando está envolvido um terceiro, o que aumenta o risco associado à sua utilização partilhada ou delegada.