PORTARIA NORMATIVA SE/CGU nº 249, DE 20 DE MARÇO DE 2026

PORTARIA NORMATIVA SE/CGU nº 249, DE 20 DE MARÇO DE 2026

Dispõe sobre a certificação da cadeia de custódia de evidências digitais em procedimentos administrativos no âmbito da Controladoria-Geral da União.

A SECRETÁRIA EXECUTIVA DA CONTROLADORIA GERAL DA UNIÃO, no exercício das atribuições que lhe conferem o art. 8º, caput, inciso V, e o art. 35, caput, inciso IV, ambos do Anexo I ao Decreto nº 11.330, de 1º de janeiro de 2023, e o art. 6º, caput, inciso II, da Portaria Normativa CGU nº 164, de 30 de agosto de 2024, e com base no que consta no Processo nº 00190.110470/2025-57, resolve:

Art. 1º Esta Portaria Normativa dispõe sobre a utilização de ferramentas de certificação da cadeia de custódia de evidências digitais no âmbito da Controladoria-Geral da União a fim de garantir a integridade e a autenticidade dos arquivos eletrônicos relevantes coletados na execução dos trabalhos institucionais.

Art. 2º Para os fins desta Portaria Normativa, considera-se:

I - evidência digital - arquivo armazenado em formato eletrônico, utilizado em procedimentos administrativos ou judiciais para demonstrar a ocorrência de ação, omissão, fato, condição ou outro aspecto relevante para o trabalho;

II - cadeia de custódia - conjunto de procedimentos utilizados para manter e documentar a história cronológica da evidência digital, de modo a preservar sua autenticidade e integridade e a permitir o rastreamento de sua origem, posse e manuseio, desde a coleta até o descarte;

III - aplicativo de certificação - programa de computador destinado a atestar e documentar a integridade e a autenticidade das evidências digitais coletadas durante os procedimentos, por meio de algoritmo confiável e de registro seguro e auditável das certificações realizadas;

IV - relatório de certificação - documento produzido pelo aplicativo de certificação para formalizar o resultado da asseguração da integridade e da autenticidade de evidências digitais, com menção ao algoritmo utilizado e identificação de cada arquivo eletrônico registrado, acompanhado de seus dados relevantes e do respectivo código hash que lhe foi atribuído;

V - código hash - cadeia de bits resultante da aplicação de uma função hash sobre dados de uma evidência digital, gerando valor alfanumérico único, responsável por assegurar a integridade e a autenticidade do arquivo eletrônico;

VI - função hash - algoritmo matemático que recebe uma entrada de dados de arquivos digitais de qualquer natureza e produz uma saída de comprimento fixo e valor único, denominada código hash;

VII - mecanismos de segurança - barreiras lógicas do aplicativo de certificação que criam ambiente seguro para coleta da evidência digital, evitando a contaminação entre diferentes programas de computador ou sítios eletrônicos da internet;

VIII - código-fonte do aplicativo - conjunto de instruções e declarações escritas em linguagem de programação, compreensível por humanos, que define a lógica de funcionamento de um programa de computador; e

IX - risco de irrepetibilidade da evidência - possibilidade de que uma evidência digital não possa ser reproduzida ou substituída no futuro, caso venha a ser danificada, eliminada ou invalidada processualmente, acarretando risco de não mais se poder comprovar a ocorrência de ação, omissão, fato, condição ou outro aspecto relevante para o respectivo trabalho.

Art. 3º A certificação de cadeia de custódia referida no art. 1º desta Portaria Normativa será:

I - obrigatória, nos trabalhos da Controladoria-Geral da União que possam levar, direta ou indiretamente, à responsabilização administrativa, civil ou criminal de pessoas naturais ou jurídicas pelos fatos apurados, a exemplo de auditorias, investigações, procedimentos disciplinares investigativos ou acusatórios, procedimentos administrativos de responsabilização e análise de habilitação de manifestações à ouvidoria; ou

II - facultativa, nos demais procedimentos administrativos realizados na Controladoria-Geral da União.

Art. 4º Os aplicativos de certificação de evidências digitais destinados a atender ao disposto nesta Portaria Normativa deverão passar por prévia validação técnica das unidades competentes da Controladoria-Geral da União.

Parágrafo único. A validação dos aplicativos de certificação de evidências digitais é condicionada à presença das seguintes funcionalidades mínimas, dentre outras:

I - certificação da integridade e da autenticidade de capturas de tela, gravações de tela e arquivos baixados, coletados por intermédio da própria ferramenta;

II - certificação da integridade de arquivos pré-existentes, obtidos sem a utilização do aplicativo;

III - relatório de certificação confiável e auditável elaborado automaticamente pela ferramenta;

IV - mecanismos de segurança que garantam a confiabilidade das certificações realizadas pelo aplicativo; e

V - disponibilidade do código-fonte do aplicativo de certificação, para prévio exame técnico de seu funcionamento e eventual auditoria do sistema, quando necessário.

Art. 5º Para assegurar conjuntamente a integridade e a autenticidade do arquivo obtido, sobretudo nos casos de evidências sujeitas ao risco de irrepetibilidade, o servidor da Controladoria-Geral da União deverá priorizar a coleta de evidências por intermédio do próprio aplicativo de certificação disponível, reservando a certificação de integridade para situações em que o arquivo seja oriundo de portais eletrônicos, sistemas ou repositórios de dados gerenciados pela própria administração pública federal.

§ 1º Na hipótese de indisponibilidade temporária do aplicativo de certificação, o servidor deverá:

I - realizar a coleta da evidência digital por meio alternativo idôneo, registrando a data, a hora, o método utilizado e a justificativa para a não utilização do aplicativo;

II - providenciar a certificação de integridade do arquivo coletado tão logo o aplicativo esteja disponível; e

III - consignar nos autos do procedimento o registro de que a coleta foi realizada em caráter excepcional, com a descrição das circunstâncias que impediram o uso do aplicativo.

§ 2º O disposto no § 1º não dispensa a observância das demais cautelas necessárias à preservação da autenticidade e da integridade da evidência digital coletada.

Art. 6º Todos os relatórios de certificação de evidências digitais gerados pelo aplicativo de certificação ao longo do procedimento deverão ser devidamente armazenados pela unidade responsável, observando-se as regras aplicáveis à integridade dos autos processuais, aos papéis de trabalho de cada processo e às especificidades normativas de cada área de competência.

Art. 7º Esta Portaria Normativa entra em vigor quarenta e cinco dias após a data de sua publicação.

EVELINE MARTINS BRITO