OFÍCIO DP - 021204/2020

Brasília, 16 de outubro de 2020.

À Sua Senhoria a Senhora

Luciana Barbosa Pires
Bierrenbach & Pires Advogados
Rua do Ouvidor, 60 - Centro.
Rio de Janeiro – RJ

Assunto: Resposta do Serpro ao requerimento datado de 22/09/2020.

Senhora advogada,

Cumprimentando-a, cordialmente, VS.ª nos solicita, com fulcro nos arts. 3º, 4º e 5º da Lei
nº 12.527/2011, em caráter de máxima urgência, seja informado sobre a demanda realizada pela
Receita Federal do Brasil em nome do portador do CPF 087.011.227-97 e dos seus familiares.

Especificamente, que fora requerido junto à RFB que fosse realizada Apuração Especial
do SERPRO, com o fim de averiguar todos os acessos de pesquisas realizados em relação (i) ao
requerente e sua esposa, (ii) a partir dos anos de 2015 a 2018, (iii) bem como identificação dos
servidores que teriam acesso a esses dados.

Nesse sentido requer seja dado conhecimento se a demanda enviada a essa empresa, o
fora recebida tal como o fora pelo órgão retromencionado.

Cumpre-nos esclarecer inicialmente, a inserção do Serpro, empresa de Direito Privado,

cujo único acionista é a União, no contexto público, para ao final apresentarmos nossa
conclusão.

Resumidamente, a Lei nº 5.615/70, Lei de criação da empresa, estabelece que:

Art 8º Os administradores em empregados do SERPRO, bem como os servidores públicos com

exercício na Emprêsa, são obrigados a guardar sigilo quanto aos elementos manipulados.

Parágrafo único. Sem prejuízo ao que determina a lei civil ou criminal, a violação do sigilo
continuará:

SERPRO - SEDE
SGAN Quadra 601 - Módulo V - CEP 70836900 – Brasília-DF-Brasil
CNPJ:33.683.111/0001-07
1/7
 a) falta grave para os efeitos da legislação do trabalho;
b) fato que sujeitará o servidor publico às penas do Estatuto dos Funcionários Públicos Civis da
União;
c) motivo para destituição de ocupantes de cargos de direção, chefia ou de membro do Conselho-
Diretor. (sic)

Nesse diapasão, o contrato nº 19/2018 (Processo nº 10166.722358/2019-76) firmado

entre o Serpro e a Receita Federal do Brasil impõe outras obrigações, mais específicas, no
sentido de que:

“12. CLÁUSULA DÉCIMA SEGUNDA – OBRIGAÇÕES DA CONTRATANTE E DA

CONTRATADA

(...)
12.2. São obrigações da CONTRATANTE:

(...)

n) não divulgar informações, dados, projetos, serviços e soluções de TI de propriedade da outra parte,
nem falar em seu nome, em nenhum tipo de mídia, sem sua prévia autorização;
o) tomar todas as medidas para evitar que as informações de propriedade da outra parte sejam
divulgadas ou distribuídas por seus empregados ou agentes.

(...)

s) cientificar o órgão de representação judicial da Advocacia-Geral da União para adoção das medidas
cabíveis quando do descumprimento das obrigações pela CONTRATADA;
12.3. São obrigações da CONTRATADA:

(...)

c) prover a segurança necessária para assegurar a disponibilidade, confidencialidade e integridade dos

dados, informações e sistemas informatizados, inclusive de todas as suas alterações, manuais, códigos-
fonte e objeto, bases de dados ou outros recursos, pertencentes à CONTRATANTE, armazenados ou
residentes na CONTRATADA;

d) cumprir as obrigações relacionadas com sigilo e segurança dos dados, informações e sistemas
relacionados com o objeto deste Contrato, para que se façam protegidos contra ações ou omissões
intencionais ou acidentais que impliquem perda, destruição, inserção, cópia, acesso ou alteração
indevidos. O mesmo nível de proteção deve ser mantido, independentemente dos meios nos quais os
dados trafeguem, estejam armazenados ou nos ambientes em que sejam processados;

e) adotar normas e procedimentos de segurança de informação que atendam aos requisitos de sigilo e
segurança definidos pela CONTRATANTE, em conformidade com o disposto na Portaria SRF nº
1.098, de 07/07/2000, ou a ato que vier a substituí-la, e normas complementares,

SERPRO - SEDE
SGAN Quadra 601 - Módulo V - CEP 70836900 – Brasília-DF-Brasil
CNPJ:33.683.111/0001-07
2/7
 f) não divulgar ou distribuir informações, dados, projetos, serviços e soluções de TI de propriedade da
CONTRATANTE, nem falar em seu nome, em nenhum tipo de mídia, sem sua prévia autorização,
tomando todas as medidas para evitar que as informações de propriedade da CONTRATANTE sejam
divulgadas ou distribuídas por seus empregados ou agentes;

(...)

ae) realizar a análise contratual das demandas no Sistema de Gestão de Demandas em até 15 (quinze)
dias úteis.”

Dessa feita, por imposição contratual, informações no âmbito da Lei de Acesso à

Informação são de responsabilidade da mesma Receita Federal do Brasil, eis que o Serpro está
impedido por lei e por contrato a provê-las, exceto por determinação judicial.

A reforçar tal imposição, a RFB, por meio da Portaria nº 1.098 retromencionada (Doc 01)
estabelece que:

“considerando que o art. 2o da Lei No 5.615, de 13 de outubro de 1970, atribui ao SERPRO, com
exclusividade, a execução de todos os serviços necessários aos órgãos do Ministério da Fazenda,
relacionados com tratamento de informações e processamento de dados;
considerando que o art. 24, XVI, da Lei No 8.666, de 21 de junho de 1993, dispensa licitação para
prestação de serviços de informática pelo SERPRO à Secretaria da Receita Federal;
considerando que o art. 198 da Lei No 5.172, de 25 de outubro de 1966 - Código Tributário Nacional,
veda à Fazenda Pública e seus funcionários a divulgação de informações protegidas por sigilo fiscal;
considerando que o art. 8o da Lei No 5.615, de 1970, obriga os administradores e empregados do
SERPRO a guardar sigilo quanto aos elementos manipulados, impondo-lhes sanções trabalhistas e
administrativas por infração, sem prejuízo do que determina a lei civil ou criminal;
considerando que o art. 325 do Decreto-Lei No 2.848, de 7 de dezembro de 1940 - Código Penal,
estabelece pena de detenção ou multa para quem revelar fato de que tem ciência em razão do cargo e
que deva permanecer em segredo, ou facilitar-lhe a revelação;
considerando que o art. 327, § 1o, do Código Penal equipara a funcionário público, para fins
criminais, quem exerce cargo, emprego ou função em entidade paraestatal, resolve:
Art. 1o Os contratos de prestação de serviços de informática, firmados entre a Secretaria da Receita
Federal - SRF e o Serviço Federal de Processamento de Dados - SERPRO, observado o disposto
nesta Portaria, devem conter cláusulas específicas visando a assegurar a disponibilidade,
confidencialidade e integridade dos dados, informações e sistemas informatizados pertencentes à
SRF, armazenados no SERPRO.
(...)
Art. 4o O acesso pelo SERPRO e seus funcionários a dados, informações ou sistemas pertencentes à
SRF deve ser realizado somente por necessidade de serviço e de forma controlada, ficando limitado
às pessoas formalmente autorizadas, segundo critérios definidos pela SRF”.

O Anexo II do referido contrato e a Portaria nº 58 da Coordenação de Tecnologia da RFB

estabelecem o modus operandi relacionado ao atendimento de demandas da RFB, no caso, onde
se incluem as apurações especiais, tal como mencionado por V.Exa:

SERPRO - SEDE
SGAN Quadra 601 - Módulo V - CEP 70836900 – Brasília-DF-Brasil
CNPJ:33.683.111/0001-07
3/7
 O fluxo de solicitações de serviços de TI é citado em vários trechos do anexo II do
contrato da RFB que trata do desenvolvimento e manutenção de sistemas, conforme abaixo.
3.1 Requisitos Gerais

Metodologia de trabalho, normas e padrões aplicáveis – O Desenvolvimento e Manutenção de

Sistemas deverão ser elaborados e documentados conforme os padrões estabelecidos pela RFB e
acordado entre as partes.
O SERPRO deverá garantir e se responsabilizar por:
…
3.1.3 Disponibilizar, ao final de cada grupo de atividade do Fluxo de Solicitação de TI, quando da
entrega dos Produtos, a documentação do Projeto e artefatos exigidos na metodologia de
desenvolvimento de sistemas da RFB, em comum acordo entre as partes, na forma definida pela
COTEC, devendo considerar a metodologia adotada;

3.1.4 Disponibilizar, ao final de cada fase do Fluxo de Solicitação de TI, quando solicitado pela RFB,
evidências de que os procedimentos de qualidade previstos no processo SERPRO de desenvolvimento
de soluções correspondentes à respectiva fase tenham sido executados e de que todas as
desconformidades e defeitos identificados tenham sido sanados ou justificados;
…
3.1.13 Registrar no Termo de Homologação de Serviços, no sistema informatizado de controle de
demandas, caso haja variação em relação à contagem de referência, a memória de cálculo do esforço
detalhado efetivo na construção da demanda;

3.1.14 Somente iniciar a execução do serviço quando a demanda for aprovada pela Coordenação-
Geral de Tecnologia da Informação (COTEC);

6.2. Forma de Execução dos Serviços

6.2.1 A solicitação de execução do serviço será formalizada por meio de Demanda que deverá conter
pelo menos a descrição do serviço, a categoria e seus responsáveis na RFB.
….
6.2.8 Para início do atendimento da demanda, é executada a fase de avaliação na qual a COTEC,
após análise e parecer da área técnica, solicita ao SERPRO estimativa inicial de tamanho a partir do
Termo de Solicitação de Serviços, que deverá descrever de forma clara e detalhada as necessidades,
funcionalidades, usuários, interação com outros sistemas e requisitos não-funcionais. Poderão
também ser informados recursos computacionais, impactos e riscos para execução da Demanda.
Durante essa atividade, será definida, em comum acordo entre as partes, a metodologia a ser adotada
no atendimento da demanda: Tradicional ou Ágil.

6.2.9 Caso não existam informações suficientes para a avaliação da demanda, o SERPRO poderá
devolvê-la à RFB para inclusão de informações complementares no Termo de Solicitação de Serviços.

6.2.15 Metodologia Tradicional

6.2.15.1 Além da fase de avaliação, o Fluxo de Solicitação de Serviços de TI demandado ao SERPRO

obedece às seguintes fases:

SERPRO - SEDE
SGAN Quadra 601 - Módulo V - CEP 70836900 – Brasília-DF-Brasil
CNPJ:33.683.111/0001-07
4/7
 6.2.15.1.1 Especificação – fase em que os processos necessários para o detalhamento dos requisitos
para o atendimento à Demanda são executados. Inicia-se com a aprovação do Termo de Solicitação
de Serviços pela COTEC e encerra-se com a entrega da Especificação do Sistema e assinatura do
Termo de Aprovação da Especificação de Serviços pelo prestador de serviços, pelo usuário
especificador e pelo analista de negócios;

6.2.15.1.2 Construção – fase em que os requisitos são materializados em serviços através do

desenvolvimento de produtos de TI; etapa de responsabilidade do SERPRO, que se inicia após a
assinatura do Termo de Aprovação da Especificação de Serviços e encerra-se com a liberação do
sistema, já construído e devidamente testado pelo SERPRO, para homologação e assinatura do Termo
de Liberação de Serviços para Homologação pelo SERPRO e pelo analista de negócios. Deverá ser
incluído nesta fase, se houver necessidade e desde que solicitado na fase de especificação, o
desenvolvimento da funcionalidade para carga de dados para os ambientes de homologação e
produção sem necessidade de demanda específica;

6.2.15.1.3 Homologação – fase em que o Solicitante avalia os produtos entregues e os aprova em

termo específico, caso atendam aos requisitos especificados; etapa de responsabilidade da RFB, com
o suporte do SERPRO, que se inicia após a assinatura do Termo de Liberação de Serviços para
Homologação e encerra-se após a homologação e aceitação do sistema e assinatura do Termo de
Homologação de Serviços contendo o tamanho efetivamente realizado, pelo usuário especificador,
pelo prestador de serviços e pelo analista de negócios;

6.2.15.1.4 Implantação – fase em que o produto desenvolvido é disponibilizado para uso, quando o
Analista de Negócios deve concluir a Demanda; etapa de responsabilidade conjunta do SERPRO e da
RFB, que se inicia após a aceitação do serviço e assinatura do Termo de Homologação de Serviço.

6.2.16 Metodologia Ágil

(...)

6.2.16.2.1 Uma release corresponderá a uma demanda somente;

Finalmente, a Portaria COTEC nº 58 (Doc 02), permite a conclusão de que a

formalização da solicitação de serviços de Tecnologia da Informação (TI) através do Sistema de
Controle de Demandas (SCD), bem como a definição das atividades necessárias para a abertura,
o andamento e o encerramento das demandas, são sempre de responsabilidade de servidores da
RFB (art. 3º - agentes intervenientes), e que é permitido ao Titular de Unidade Administrativa da
RFB estabelecer uma demanda como confidencial, e que demandas confidenciais somente
poderão ser visualizadas pelo Titular da Unidade Administrativa, pelo Solicitante, pelo Usuário
Especificador, pela Cotec e pela gerência do Prestador de Serviço e sua equipe técnica
diretamente ligada ao desenvolvimento do serviço solicitado.

SERPRO - SEDE
SGAN Quadra 601 - Módulo V - CEP 70836900 – Brasília-DF-Brasil
CNPJ:33.683.111/0001-07
5/7
 Nesse contexto, quanto aos questionamentos (i) e (ii) retro, informo que recebemos a
demanda COTEC 0175/2020 para a realização de apurações especiais com objetivo de
identificar os acessos aos sistemas, relativos aos seguintes contribuintes, cujo resultado foi
separado em dois lotes:

Lote 01:
 087.011.227-97
 055.371.707-36
 844.531.417-34

Lote 02:
 453.178.287-91
 711.378.401-10
 575.026.096-87
 071.503.027-26
 087.011.227-97
 106.553.657-70
 096.792.087-61

A demanda foi recepcionada no Serpro para análise contratual. Inicialmente no dia

28/08/2020, mas a pedido da RFB, para ajustes no Termo de Solicitação de Serviços, a demanda
foi devolvida e a recebemos novamente no dia 03/09/2020 com execução aprovada no dia
04/09/2020.

O período solicitado na demanda para o seu atendimento foi de "01/01/2015 até o

presente momento", o que, de acordo com o momento da execução da apuração em cada sistema,
encerrou-se em 28/9/2020. Assim, todos os sistemas abaixo mencionados foram verificados
dentro desse período.

Os sistemas onde foram executadas as apurações para identificação de acesso foram:

 CPF
 API CPF Light
 DECRED
 Decweb
 DIMOF
 DIRF
 DMED

SERPRO - SEDE
SGAN Quadra 601 - Módulo V - CEP 70836900 – Brasília-DF-Brasil
CNPJ:33.683.111/0001-07
6/7
  DOI
 Dossiê Integrado
 DW
 eCAC
 Infoconv
 IRPF
 Midas
 NFE
 OPJud
 Portal de Cadastros
 ReceitaData (Datalake)
 SEC
 Senha-Rede
 SIC – Pré Cadin
 Trata Decisões

Diante do exposto, em conclusão, informo as especificações da demanda recebida pelo

Serpro, exclusivamente no seu âmbito de atuação. Conforme a legislação e os atos de regência,
os resultados foram disponibilizados para acesso exclusivo pela Receita Federal do Brasil, que
no momento é única entidade que tem acesso às informações solicitadas no item (iii).

Permanecemos à v. inteira disposição para esclarecimentos adicionais porventura

julgados necessários,

Atenciosamente,

Gileno Gurjão Barreto

Diretor-Presidente

SERPRO - SEDE
SGAN Quadra 601 - Módulo V - CEP 70836900 – Brasília-DF-Brasil
CNPJ:33.683.111/0001-07
7/7