Tribunal apontou cinco fragilidades na infraestrutura digital que sustenta serviços públicos federais. SERPRO e DATAPREV têm 180 dias para apresentar plano obrigatório de correção
O Tribunal de Contas da União (TCU) concluiu que a Nuvem de Governo apresenta fragilidades que podem comprometer a continuidade dos serviços públicos e a soberania digital do Estado brasileiro. O resultado está no Acórdão nº 1380/2026, aprovado pelo Plenário do TCU em 27 de maio de 2026, sob relatoria do ministro Antônio Anastasia. Com base no acórdão, as duas empresas públicas federais responsáveis pela infraestrutura, SERPRO e DATAPREV, têm 180 dias para apresentar um plano obrigatório de correção.
A fiscalização foi conduzida pela Unidade de Auditoria Especializada em Tecnologia da Informação do TCU. Ela avaliou a implementação da Nuvem de Governo a cargo do SERPRO e da DATAPREV. O investimento previsto pelas duas estatais para o período de 2025 a 2032 é de aproximadamente R$ 1,1 bilhão.
Infraestrutura de R$ 1,1 bilhão sob fiscalização do TCU
A Nuvem de Governo é um ambiente computacional criado para que órgãos federais armazenem e processem dados públicos em infraestrutura controlada pelo Estado. A iniciativa foi regulamentada pela Portaria SGD/MGI nº 5.950/2023 e tem como objetivos aumentar a segurança dos dados dos cidadãos, garantir a autonomia tecnológica nacional e cumprir a Lei Geral de Proteção de Dados.
Na prática, SERPRO e DATAPREV firmaram parcerias com fornecedores internacionais como AWS, Google, Huawei e Oracle. Os equipamentos desses provedores foram instalados diretamente nos data-centers das estatais brasileiras. Os órgãos públicos contratam os serviços do SERPRO e da DATAPREV, que respondem pela operação.
Cinco fragilidades que o TCU quer corrigidas
A auditoria mapeou cinco riscos principais.
O primeiro é a ausência de critérios claros para decidir quais dados e sistemas devem ir para a Nuvem de Governo. Sem essa definição, cada órgão público decide por conta própria. O resultado pode ser o envio de dados sensíveis a ambientes inadequados ou o uso desnecessário da infraestrutura estratégica para dados de baixo risco.
O segundo risco envolve a dependência de contratos sujeitos a jurisdições estrangeiras. A auditoria identificou que a cláusula 3.2 do contrato do Serpro com a Amazon Web Services permite a divulgação de dados para cumprir ordens de “entidade governamental ou regulatória”. O contrato não especifica que essa autoridade deve ser exclusivamente brasileira. O TCU avaliou que essa redação mantém aberta a possibilidade de acesso por autoridades estrangeiras. A preocupação se conecta ao Cloud Act dos Estados Unidos, lei que, segundo especialistas em direito digital, permite ao governo americano requisitar dados de empresas sob sua jurisdição. Isso vale mesmo quando os dados estão fisicamente em outro país.
O terceiro risco é a ausência de redundância geográfica. A maioria das soluções contratadas por SERPRO e DATAPREV está instalada em um único data center por fornecedor. Se esse local ficar indisponível por falha técnica, falta de energia, desastre natural ou ataque cibernético, os serviços públicos que dependem dessa infraestrutura podem ser interrompidos sem alternativa imediata.
O quarto risco são desconformidades nos contratos já firmados. A auditoria analisou cinco contratos das estatais com órgãos como Banco Central, Ministério da Saúde, Ministério da Educação, Ministério da Agricultura e INSS. O índice médio de desconformidade em relação às normas vigentes foi de 44% nos contratos da Dataprev e de 53% nos do Serpro.
O quinto risco é a ausência de definição clara sobre as responsabilidades do Serpro e da Dataprev no compartilhamento de dados entre órgãos. Quando dois órgãos usam infraestruturas operadas por empresas diferentes, a troca de informações pode enfrentar obstáculos técnicos e jurídicos sem previsão normativa de quem resolve o problema.
Determinação e recomendações
O acórdão distingue dois tipos de medida com pesos jurídicos diferentes.
A única determinação, de cumprimento obrigatório, exige que SERPRO e DATAPREV apresentem em até 180 dias um plano detalhado para implementar redundância geográfica. Cada fornecedor deverá ter pelo menos dois data centers geograficamente distintos.
As demais medidas são recomendações. Elas não têm o mesmo grau de coercitividade, mas o TCU as monitorará nas próximas etapas do acompanhamento. Uma delas é a revisão da cláusula contratual com a AWS. Outra é o estabelecimento de metodologia padronizada para alocação de cargas de trabalho com critérios objetivos de soberania. Uma terceira é a publicação de catálogos de serviços que informem o que está disponível na Nuvem de Governo e em quais condições.
O tribunal também recomendou ao Ministério da Gestão e da Inovação que revise o marco normativo da Nuvem de Governo. O objetivo é definir com mais clareza o que são informações críticas ou estratégicas e como devem ser protegidas.
SERPRO contestou; DATAPREV reconheceu ajustes necessários
Durante a fiscalização, o SERPRO contestou parte dos riscos apontados pelo TCU. A empresa argumentou que a cláusula do contrato com a AWS se aplica exclusivamente a autoridades brasileiras, pois os dados estão armazenados em território nacional e sob sua custódia. O TCU rejeitou o argumento. O Tribunal afirmou que o contrato não contém cláusula que explicite a regência integral pela legislação brasileira.
A DATAPREV adotou postura diferente. A Empresa reconheceu a necessidade de ajustes e se comprometeu a negociar com a AWS uma redação que restrinja expressamente a divulgação de dados a autoridades brasileiras.
O SINDADOS/MG enviou perguntas ao SERPRO e à DATAPREV sobre os próximos passos após o acórdão. Contudo, até o momento, permanecemos sem respostas das empresas.
Confiram as perguntas enviadas:
1- O TCU determinou que SERPRO e DATAPREV apresentem, em até 180 dias, um plano detalhado para implementar redundância geográfica na Nuvem de Governo. Qual é o prazo previsto para a apresentação do plano? Há previsão de impacto nos serviços prestados aos órgãos públicos durante a implementação?
2- O acórdão recomenda que o SERPRO altere a cláusula 3.2 do contrato com a AWS para eliminar a possibilidade de acesso a dados por determinação de autoridades estrangeiras. A Empresa já iniciou negociações com a Amazon para esse aditivo? Se sim, em que estágio estão?
