Portaria n.º 312-A/2022

Portaria n.º 312-A/2022

de 30 de dezembro

Sumário: Segunda alteração à Portaria n.º 77/2018, de 16 de março, que procede à regulamentação necessária ao desenvolvimento da Chave Móvel Digital (CMD).

A Chave Móvel Digital (CMD) é um meio alternativo e voluntário de autenticação e de assinatura eletrónica que permite aos cidadãos fazer uso de meios digitais para aceder à prestação de serviços eletrónicos públicos e privados.

O incentivo ao uso de um meio de autenticação de acesso universal, através da CMD, é uma medida prevista no Programa do Governo, integrando também o Programa Simplex 2019, no âmbito do qual está prevista a medida «simplificar o processo de autenticação com Chave Móvel Digital (CMD)» e «facilitar a adesão CMD por dispositivo móvel».

A recente alteração à Lei n.º 37/2014, de 26 de junho, pelo Decreto-Lei n.º 88/2021, de 3 de novembro, no uso da autorização legislativa concedida pelo artigo 239.º da Lei n.º 75-B/2020, de 31 de dezembro, com o propósito de desenvolvimento do sistema de autenticação CMD, introduziu novas funcionalidades para facilitar a obtenção da CMD, nomeadamente o recurso a biometria em dispositivo móvel, através da comparação de uma fotografia captada no momento (live) com a fotografia recolhida anteriormente para a emissão de cartão de cidadão, e a videoconferência, mediante prévia confirmação da identidade. O referido decreto-lei prevê ainda que o código numérico de utilização única e temporária possa ser substituído pela utilização das funções de identificação biométrica do dispositivo móvel do cidadão.

A presente portaria procede, assim, à concretização das alterações necessárias à Portaria n.º 77/2018, de 16 de março, no sentido de adequar o respetivo texto à atual redação da Lei n.º 37/2014, de 26 de junho, procedendo, designadamente, à regulamentação da obtenção da CMD por meios eletrónicos, incluindo através de autenticação com cartão de cidadão em aplicação móvel dedicada e noutros locais, aplicações ou terminais eletrónicos. De modo a reforçar a segurança do sistema, é, ainda, expressamente estabelecida a possibilidade de cancelamento da CMD quando se verifique que o número de telemóvel ou o correio eletrónico associado não pertence ao seu titular.

Assim, ao abrigo do disposto no n.º 5, alínea f) do n.º 6, n.º 14 e n.º 16 do artigo 2.º e no n.º 4 do artigo 3.º da Lei n.º 37/2014, de 26 de junho, alterada e republicada pelo Decreto-Lei n.º 88/2021, de 3 de novembro, manda o Governo, pelo Secretário de Estado da Digitalização e da Modernização Administrativa, o seguinte:

Artigo 1.º

Objeto

A presente portaria procede à segunda alteração da Portaria n.º 77/2018, de 16 de março, alterada pela Portaria n.º 190-A/2019, de 21 de junho.

Artigo 2.º

Alteração à Portaria n.º 77/2018, de 16 de março

Os artigos 1.º, 2.º, 3.º, 4.º, 5.º, 6.º, 7.º, 8.º, 9.º, 10.º, 12.º e 15.º da Portaria n.º 77/2018, de 16 de março, na sua redação atual, passam a ter a seguinte redação:

«Artigo 1.º

[...]

A presente portaria procede à regulamentação necessária ao desenvolvimento da Chave Móvel Digital (CMD), enquanto meio alternativo e voluntário de autenticação dos cidadãos em sistemas eletrónicos e sítios na Internet e de assinatura eletrónica qualificada ao abrigo da Lei n.º 37/2014, de 26 de junho, alterada e republicada pelo Decreto-Lei n.º 88/2021, de 3 de novembro.

Artigo 2.º

[...]

1 - O registo constitui a associação voluntária do número de identificação civil ou, no caso de cidadão estrangeiro, não titular de número de identificação civil português, do número de identificação fiscal ou do número de passaporte, a um único número de telemóvel ou a um endereço de correio eletrónico, sendo definida pelo cidadão uma palavra-chave permanente de quatro a oito dígitos.

2 - O registo pode ser solicitado através dos meios previstos nos n.os 6, 7 e 16 do artigo 2.º da Lei n.º 37/2014, de 26 de junho, na sua redação atual, nos termos definidos nos artigos 3.º a 5.º da presente portaria.

3 - Com a CMD o cidadão com idade igual ou superior a 16 anos que não se encontre sujeito a medidas de acompanhamento previstas no Código Civil que exijam a representação para o ato, pode também solicitar a emissão do certificado qualificado para assinatura eletrónica qualificada.

Artigo 3.º

[...]

1 - [...]

2 - O registo presencial requer a confirmação da identidade do cidadão por conferência com o documento de identificação civil, com o título de residência ou outro documento previsto na Lei n.º 23/2007, de 4 de julho, com o cartão de residência concedido nos termos da Lei n.º 37/2006, de 9 de agosto, ou com o seu passaporte.

3 - [...]

4 - [...]

5 - [...]

Artigo 4.º

[...]

1 - O registo pode ser solicitado através da autenticação com cartão de cidadão, no sítio na Internet autenticacao.gov.pt.

2 - O registo pode também ser solicitado, através de autenticação com cartão de cidadão, noutros locais, aplicações ou terminais eletrónicos, mediante acordo celebrado entre a AMA e as entidades interessadas.

Artigo 5.º

[...]

1 - O registo pode ser igualmente solicitado eletronicamente através da autenticação no sítio na Internet do portal das finanças ou de outros sítios, aplicações ou terminais eletrónicos que celebrem protocolo com a AMA, solicitando o envio de carta, com a palavra-chave temporária gerada automaticamente e de forma aleatória, para a morada do titular do cartão de cidadão.

2 - Para conclusão do procedimento de registo por meio eletrónico referido no número anterior, o titular de cartão de cidadão deve introduzir a palavra-chave temporária, recebida nos termos do número anterior, na aplicação móvel disponibilizada para o efeito ou no sítio na Internet autenticacao.gov.pt.

3 - A palavra-chave temporária deve ser alterada pelo titular na primeira autenticação com CMD, de forma a criar uma palavra-chave permanente para autenticação em futuras interações com os sistemas eletrónicos e sítios na Internet.

4 - [...]

Artigo 6.º

[...]

1 - O utilizador da CMD pode autenticar-se, de forma segura, em sistemas eletrónicos e sítios na Internet, através da sua palavra-chave permanente de autenticação e de um código numérico com seis dígitos, de utilização única e temporária.

2 - Mediante opção do cidadão, o código numérico referido no número anterior é enviado, por cada sessão de autenticação, através de:

3 - O código numérico de utilização única e temporária pode ser substituído pela utilização das funcionalidades de identificação segura biométrica do dispositivo móvel do cidadão, através da aplicação móvel referida na alínea c) do número anterior.

4 - [...]

5 - O utilizador da CMD que tenha solicitado a emissão do certificado qualificado para a assinatura eletrónica qualificada pode assinar documentos, de forma segura, introduzindo o código numérico de utilização única e temporária que lhe é enviado, ou fazendo uso das funcionalidades a que se refere o n.º 3, por cada pedido de assinatura.

6 - A autenticação com CMD referida no presente artigo também pode ser utilizada em atendimento presencial, por videoconferência ou telefónico mediado.

Artigo 7.º

[...]

1 - O cidadão pode, a todo o tempo, alterar a sua palavra-chave permanente no sítio na Internet autenticacao.gov.pt ou na aplicação móvel prevista na alínea c) do n.º 2 do artigo anterior.

2 - [...]

3 - O cidadão pode também proceder à alteração do seu número de telemóvel ou endereço de correio eletrónico através dos meios mencionados no n.º 1.

Artigo 8.º

[...]

1 - Por motivos de segurança a palavra-chave permanente pode ser bloqueada após a introdução sucessiva de códigos alfanuméricos errados.

2 - O desbloqueio da CMD é efetuado nos termos previstos para o registo.

3 - [...]

4 - A CMD, incluindo o certificado qualificado para a assinatura eletrónica qualificada, é cancelada quando haja conhecimento de que o documento de registo tenha sido cancelado por motivos associados à fraude de identidade ou quando se verifique que o número de telemóvel ou o endereço de correio eletrónico associado não pertence ao titular.

5 - [...]

6 - A revogação da CMD ou do certificado qualificado para assinatura eletrónica qualificada pode ser solicitada, a todo o tempo, por meio eletrónico ou por chamada para o centro de contacto gerido pela AMA através do número de telemóvel associado à CMD, implicando o respetivo cancelamento.

Artigo 9.º

[...]

1 - [...]

2 - [...]

3 - [...]

Artigo 10.º

[...]

1 - [...]

2 - [...]

3 - [...]

4 - [...]

5 - [...]

6 - [...]

7 - [...]

8 - [...]

9 - [...]

10 - [...]

Artigo 12.º

Segurança dos dados e prazos de conservação

1 - No desenho e operação dos sistemas de informação nos quais se baseia a CMD a AMA, enquanto entidade responsável pelo tratamento de dados pessoais e pela gestão e segurança da infraestrutura tecnológica que suporta a CMD, nos termos e para os efeitos do n.º 8 do artigo 2.º da Lei n.º 37/2014, de 26 de junho, garante o cumprimento do disposto no n.º 9 do artigo 2.º daquele diploma, em especial, a adequada separação entre as diversas bases de dados utilizadas por aqueles sistemas de informação, sendo a informação das interações concretas realizadas entre os cidadãos e os serviços ou organismos da Administração Pública apenas guardada nos sistemas de informação desses serviços ou organismos.

2 - Não são permitidas transferências de dados pessoais para fora do Espaço Económico Europeu, salvo com base numa decisão de adequação da Comissão Europeia nos termos previstos no artigo 45.º do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados.

3 - (Anterior n.º 2.)

4 - O registo das assinaturas efetuadas através da CMD é eliminado no prazo de sete anos após a revogação ou cancelamento da respetiva CMD.

5 - (Anterior n.º 4.)

6 - Os dados relativos ao registo de atribuição da CMD são apagados no prazo de sete anos após a sua revogação ou o seu cancelamento.

7 - Os dados necessários ao registo através da recolha de dados biométricos são eliminados diariamente e com recurso a mecanismos automatizados, após a conclusão do procedimento de obtenção da CMD.

8 - Os dados necessários ao desenvolvimento evolutivo da CMD são eliminados no prazo de 10 dias, nos termos previstos no n.º 19 do artigo 2.º da Lei n.º 37/2014, de 26 de junho, na sua redação atual.

9 - As gravações audiovisuais das sessões de videoconferência previstas no artigo 4.º-B são eliminadas no prazo de sete anos após a revogação ou o cancelamento da respetiva CMD.

10 - (Anterior n.º 6.)

Artigo 15.º

Entrada em vigor

1 - A presente portaria entra em vigor no dia 2 de abril de 2018.

2 - [Revogado.]»

Artigo 3.º

Aditamento à Portaria n.º 77/2018, de 16 de março

São aditados à Portaria n.º 77/2018, de 16 de março, na sua redação atual, os artigos 4.º-A e 4.º-B, com a seguinte redação:

«Artigo 4.º-A

Solicitação eletrónica da CMD através da recolha de dados biométricos

1 - O registo pode ser solicitado por via eletrónica, com recurso a sistema biométrico, através de aplicação móvel disponibilizada para o efeito.

2 - A aplicação móvel referida no número anterior assegura a verificação eletrónica da validade e autenticidade do cartão de cidadão apresentado e que o pedido de registo é efetuado, em tempo real, pelo titular do cartão de cidadão.

3 - No início do ato de registo a aplicação assegura a confirmação do número de telefone do cidadão, mediante envio de código numérico temporário de utilização única para o número por este indicado.

4 - A verificação eletrónica da validade e autenticidade do cartão de cidadão apresentado é efetuada através da recolha da fotografia da frente e verso do documento, captada com a câmara do dispositivo móvel do respetivo titular, cujos dados são lidos automaticamente e comparados com os dados registados no sistema de informação responsável pelo ciclo de vida do cartão de cidadão, através da Plataforma de Interoperabilidade da Administração Pública, e com recurso a algoritmos de aprendizagem profunda para verificação da segurança do cartão de cidadão.

5 - Após confirmação da validade e autenticidade do cartão de cidadão nos termos previstos no número anterior, é solicitada ao cidadão a indicação de um dos dados adicionais de identificação não visíveis no referido documento, para confronto com os dados existentes nas bases de dados do Instituto dos Registos e do Notariado, I. P. (IRN, I. P.).

6 - A verificação de que o pedido de registo é efetuado, em tempo real, pelo titular do cartão de cidadão realiza-se através da recolha, em tempo real e com recurso à câmara do dispositivo móvel, de imagens do seu rosto, incluindo fotogramas, e da extração do modelo biométrico correspondente.

7 - As imagens do rosto recolhidas nos termos do número anterior são tratadas para comparação biométrica com a imagem do rosto constante do sistema de informação responsável pelo ciclo de vida do cartão de cidadão e para deteção de vida através da técnica de digitalização do rosto em três dimensões pelo dispositivo móvel do cidadão, com avaliação de características como a profundidade tridimensional, textura da pele e reflexões oculares.

8 - Os dados pessoais identificados nos números anteriores podem ser comunicados a prestadores de serviços de infraestruturas, alojamento e desenvolvimento da solução tecnológica que permite a verificação da identidade do titular do cartão de cidadão e da validade e autenticidade do cartão de cidadão apresentado.

9 - O tratamento de dados pessoais descrito no presente artigo obedece às finalidades previstas no seu n.º 2.

10 - Sem prejuízo do disposto no número anterior, nos termos e com os limites previstos no n.º 19 do artigo 2.º da Lei n.º 37/2014, de 26 de junho, na sua redação atual, pode haver lugar ao tratamento da fotografia da frente e verso do cartão de cidadão para efeitos de desenvolvimento evolutivo da CMD.

11 - O procedimento de registo é realizado em conformidade com as orientações do Gabinete Nacional de Segurança em matéria de identificação de pessoas físicas através de procedimentos de identificação à distância com recurso a sistemas biométricos automáticos de reconhecimento facial.

Artigo 4.º-B

Solicitação da CMD através de videoconferência

1 - O registo pode ser solicitado por videoconferência junto de Centro de Contacto gerido pela AMA.

2 - O registo previsto no número anterior requer a confirmação da identidade, de acordo com os procedimentos estabelecidos pelo Gabinete Nacional de Segurança para a identificação de pessoas físicas através de procedimentos de identificação à distância com recurso a videoconferência, incluindo:

3 - Para efeitos de identificação do requerente são aceites, enquanto documento de identificação:

4 - No ato de registo deve ser enviado ao requerente um código numérico temporário de utilização única, especialmente produzido para este efeito, gerado centralmente e enviado por SMS para a pessoa a identificar.

5 - O procedimento de identificação é concluído depois de o código numérico referido no número anterior ser comunicado pelo requerente e considerado bem-sucedido pelo sistema.

6 - Concluído o procedimento de identificação, é gerada automaticamente, e de forma aleatória, uma palavra-chave temporária, com quatro dígitos numéricos, que é enviada por SMS ao requerente.

7 - A palavra-chave referida no número anterior deve ser alterada pelo titular na primeira autenticação com CMD, de forma a criar uma palavra-chave permanente, com quatro a oito dígitos numéricos, de autenticação para futuras interações com os sistemas eletrónicos e sítios na Internet e para a utilização da assinatura eletrónica qualificada.

8 - A AMA publica no site autenticacao.gov.pt a lista dos documentos de identificação, previstos nas alíneas b) e c) do presente artigo, que podem ser utilizados no procedimento de registo por videoconferência.»

Artigo 4.º

Norma revogatória

É revogado o n.º 2 do artigo 15.º da Portaria n.º 77/2018, de 16 de março, na sua redação atual.

Artigo 5.º

Republicação

É republicada em anexo à presente portaria, dela constituindo parte integrante, a Portaria n.º 77/2018, de 16 de março, na sua redação atual.

Artigo 6.º

Entrada em vigor

A presente portaria entra em vigor no dia seguinte ao da sua publicação.

Artigo 7.º

Produção de efeitos