Deliberação (extrato) n.º 640/2026, de 3 de junho

Deliberação (extrato) n.º 640/2026

Por deliberação do Conselho Superior dos Tribunais Administrativos e Fiscais de 26 de maio de 2026:

Considerando que o Conselho Superior dos Tribunais Administrativos e Fiscais (CSTAF), pela Deliberação n.º 18/2026, de 17 de dezembro de 2025, publicada no Diário da República, 2.ª série, de 6 de janeiro de 2026, aprovou o Regulamento das Obrigações Declarativas dos Magistrados Judiciais da Jurisdição Administrativa e Fiscal, em concretização do regime previsto na Lei n.º 52/2019, de 31 de julho;

Considerando que o artigo 3.º, n.º 1, do referido Regulamento determina que a declaração única de rendimentos, património e registo de interesses seja apresentada por via eletrónica, através da plataforma «SIGTAF», estando, para o efeito, concluído e tecnicamente validado, pelo Gabinete Técnico-Jurídico do CSTAF, o módulo «SIGTAF - Obrigações Declarativas»;

Considerando que o módulo opera o tratamento, em larga escala, de dados pessoais sensíveis dos Magistrados Judiciais e, em determinadas hipóteses, dos respetivos cônjuges ou unidos de facto, sujeitando-se à disciplina do Regulamento (UE) 2016/679, de 27 de abril (RGPD), da Lei n.º 58/2019, de 8 de agosto, e da Lei n.º 52/2019, de 31 de julho;

Considerando que, ao abrigo do artigo 10.º, n.º 3, do Regulamento, foi solicitada a emissão de parecer ao Encarregado de Proteção de Dados do CSTAF, o qual veio a ser proferido como Parecer n.º 1/2026, concluindo pela conformidade do módulo «SIGTAF - Obrigações Declarativas» com o regime regulamentar aplicável e pela inexistência de obstáculo à sua disponibilização aos Magistrados Judiciais, no pressuposto da cifragem das informações e da adequação da segurança do sistema, tendo a Equipa de Informática do CSTAF prestado os seguintes esclarecimentos:

1 - Será elaborado um formulário de preenchimento de dados dos Juízes para “alimentar” a base do SIGTAF (nome completo, data de nascimento, naturalidade, morada atual, NIF, email, n.º de telemóvel, categoria, etc.), que, uma vez preenchidos, passarão a constituir dados prévia e automaticamente preenchidos e, deste modo, evitarão gralhas, incompletudes e incorreções.

2 - No âmbito de incompletudes de preenchimento, é possível observar que o preenchimento incompleto de uma declaração leva à impossibilidade da sua submissão, sendo levantados alertas visuais para que campos não foram preenchidos e são obrigatórios.

3 - Quanto à questão de ligar informações entre diferentes declarações, esse tipo de funcionalidade ainda não foi desenvolvido, estando planeada para uma versão posterior do módulo, sendo nessa altura necessário o seu desenvolvimento

4 - Os mecanismos de segurança não foram implementados “neste módulo”, pelo que a sua implementação, por desenho, afeta todo o SIGTAF. Tanto por eficiência como por razões de segurança.

Temos um modelo de segurança de três níveis:

O primeiro nível passa pelo Middleware de Autenticação, não servindo este apenas para “fazer login”, mas sim para validar rigorosamente a identidade do utilizador que está a aceder à aplicação, garantindo assim o princípio de Não-Repúdio. Além disso é também responsável por garantir que as sessões são cifradas e protegidas contra roubo ou interceção, garantindo desta forma que nenhum agente externo ao sistema consegue interagir com a utilização da aplicação.

O segundo nível, garantido pelo nosso Middleware de Permissão, que permite a grupos de utilizadores autorizados possam aceder a todo um módulo, ou a funcionalidades dentro de um módulo, aplicando assim uma macro segregação de acesso aos dados. É possível a um utilizador pertencer a vários grupos de utilizadores.

Por último, o terceiro nível é controlado pelo Middleware de Autorização, sendo este o mecanismo mais rigoroso na validação do Princípio da Minimização de Dados (Need-to-Know). Mesmo que no segundo nível um utilizador tenha acesso a uma funcionalidade, é possível especificar mais controlo de acesso.

Usando o módulo de Obrigações Declarativas como exemplo, quando um juiz tenta ver uma declaração já submetida, sendo que um juiz tem acesso a todo módulo de Obrigações Declarativas (Nível 2), o Nível 3 pergunta, “Mas tem permissões para ver esta declaração que pertence a este juiz?” Se a resposta for não, o acesso ao dado é negado.

Além destas medidas implementadas a nível aplicacional, é também importante apontar as medidas de segurança a nível de sistemas, encontrando-se o sistema protegido pelo protocolo HTTPS (Hypertext Transfer Protocol Secure) sendo esta validada por um certificado digital, medida que garante a idoneidade nas comunicações entre cliente e servidor.

Foi já desenvolvido e colocado em funcionamento juntamente com o resto do projeto um sistema de registo de acessos, fortemente acoplado com os níveis de segurança descritos no ponto anterior. Qualquer ação crítica gera um registo automático (Log de Auditoria), atualmente, estes registos são armazenados de forma segura e inalterável na nossa infraestrutura. Isto garante a rastreabilidade das operações, permitindo-nos extrair e fornecer um histórico detalhado (Quem fez, O que fez, e a Que horas) sempre que exista a necessidade de auditar um acesso ou investigar uma fuga de informação. Para aceder a estes dados será necessário requisitar o mesmo à unidade informática.

Considerando, portanto, estarem esclarecidos todos os pontos referidos pelo Encarregado de Proteção de Dados;

Considerando que o n.º 12 do Parecer n.º 1/2026 admite expressamente a prorrogação dos prazos legalmente estabelecidos para apresentação da declaração única, caso se verifiquem constrangimentos de ordem técnica à normal utilização da plataforma informática;

Foi deliberado pelo Conselho Superior dos Tribunais Administrativos e Fiscais:

I - Tomar conhecimento do Parecer n.º 1/2026 do Encarregado de Proteção de Dados do CSTAF, Senhor Conselheiro Pedro Marchão Marques, acolhendo, no mais, as observações nele formuladas, que se consideram, para todos os efeitos, integradas no presente ato e esclarecidas;

II - Determinar ao Gabinete Técnico-Jurídico do CSTAF juntamente com a Equipa TIC do CSTAF que possam:

a) Avaliar a viabilidade técnica de instituir um regime de autenticação reforçada para acesso ao módulo, assente em dois fatores cumulativos: (i) primeiro fator, constituído por credenciais de utilizador e palavra-passe; (ii) segundo fator, constituído por código de verificação remetido, por mensagem SMS, para o número de contacto pessoal previamente registado pelo Magistrado Judicial, sendo o acesso apenas viabilizado mediante introdução desse código (meramente sugestivo);

b) Procedam à criação do endereço de email protecao.dados@cstaf.pt conforme artigo 10.º, n.º 7, alínea a) do Regulamento das Obrigações Declarativas.

III - Para efeitos do artigo 3.º, n.º 4 do Regulamento das Obrigações Declarativas, quando for publicada, no Diário da República, a presente deliberação, os Magistrados da Jurisdição Administrativa e Fiscal ficam obrigados à apresentação da declaração única dentro do prazo de 60 dias;

IV - Determinar a elaboração, pelo Gabinete Técnico-Jurídico do CSTAF, de documento de execução ou complementar do Regulamento das Obrigações Declarativas, que identifique nominativamente os profissionais do CSTAF que, para além do titular dos dados, dispõem de acesso ao módulo «SIGTAF - Obrigações Declarativas», mediante despacho do Presidente do CSTAF, sob proposta do Juiz-Secretário, com indicação das funções desempenhadas e do título habilitante de tal acesso, em estrita aplicação do princípio da minimização e do princípio do need-to-know.

V - Determinar, nesta fase inicial de utilização do módulo, a monitorização intensa da sua utilização, com realização periódica de testes de segurança destinados à verificação de erros, anomalias e tentativas de intrusão, devendo o resultado de tais testes ser tempestivamente comunicado ao Encarregado de Proteção de Dados do CSTAF.

VI - Aprovar, ao abrigo dos pressupostos enunciados no Parecer n.º 1/2026, a disponibilização do módulo «SIGTAF - Obrigações Declarativas» aos Magistrados Judiciais da Jurisdição Administrativa e Fiscal, respeitando os prazos previstos no artigo 3.º, n.^os 3 e 4, e no artigo 4.º, n.^os 4 e 5, do Regulamento das Obrigações Declarativas, podendo ser estes prorrogados, mediante deliberação fundamentada deste Conselho Superior.

VII - Notificar da presente deliberação o Encarregado de Proteção de Dados do CSTAF, o Gabinete Técnico-Jurídico, o Gabinete de Apoio ao Juiz Presidente, Juiz-Secretário e Encarregado de Proteção de Dados Pessoais, e o Núcleo de Acompanhamento à Gestão dos Tribunais, para que exerçam as suas competências para os efeitos previstos pelo Regulamento das Obrigações Declarativas dos Magistrados Judiciais da Jurisdição Administrativa e Fiscal.

27 de maio de 2026. - O Presidente do Conselho Superior dos Tribunais Administrativos e Fiscais, Jorge Miguel Barroso de Aragão Seia.

320006869