Em julgamento realizado em 16 de setembro de 2026, o Tribunal de Contas da União (TCU) determinou ao Instituto Nacional do Seguro Social (INSS) a adoção de medidas concretas de segurança da informação. A decisão decorreu de auditoria com duração superior a um ano, instaurada a partir de denúncias recebidas pela Corte em 2025, referentes a acesso indevido a registros de aposentados, pensionistas e demais beneficiários ocorrido no ano anterior. O ministro Benjamin Zymler atuou como relator do caso.
A auditoria identificou que a exposição indevida dos cadastros dos beneficiários se estendeu por período superior a um ano, atingindo, segundo estimativas, até 1,66 milhão de segurados. Em abril de 2026, nova brecha na plataforma digital resultou em vazamento adicional de dados, comunicado à Agência Nacional de Proteção de Dados (ANPD) e tornado público apenas em julho do mesmo ano. O INSS não informou o número exato de afetados, limitando-se a declarar que 97% dos registros expostos pertenciam a cidadãos já falecidos, com cerca de 50 mil registros referentes a segurados vivos.
As determinações do TCU concentraram-se em três eixos principais:
- Gestão adequada dos riscos de desativação e remoção de usuários com acesso ao Suíbe (Sistema Integrado de Benefícios), com ênfase nos acessos externos de não servidores concursados — falha que já resultou no bloqueio de 2.163 credenciais ativas;
- Revisão periódica dos perfis de acesso internos e externos, com remoção automática em situações de irregularidade ou suspeita;
- Capacidade operacional própria do INSS para controlar o sistema sem depender exclusivamente da Dataprev, cuja estrutura burocrática de ofícios e prazos dificulta respostas rápidas a incidentes.
O relator também registrou que a alta rotatividade na presidência do INSS — seis gestores diferentes entre 2019 e 2026 — prejudica a continuidade das políticas de segurança da informação, pois cada troca de gestão tende a implicar substituições na área de tecnologia. O TCU recomendou ainda a implementação de validação dupla de identidade para acesso aos sistemas do órgão. O INSS, por sua vez, informou que já apresentou plano de ação e editou a Instrução Normativa nº 213, de 17 de agosto de 2026, que regulamenta meio alternativo à biometria nas operações de crédito consignado. Cumpridas todas as determinações, o processo será arquivado.
Para o advogado previdenciarista, o episódio exige atenção em pelo menos dois pontos da triagem de casos. Primeiro, clientes que relatem movimentações não autorizadas em benefícios, contratos de crédito consignado não reconhecidos ou alterações cadastrais suspeitas devem ser avaliados sob o prisma da possível utilização indevida de dados expostos — o que pode embasar tanto pedidos administrativos de revisão quanto ações judiciais de reparação por danos morais, com amparo na Lei Geral de Proteção de Dados (Lei nº 13.709/2018). Segundo, a instabilidade sistêmica documentada pelo TCU reforça a importância de manter provas independentes de vínculos, tempo de contribuição e histórico de benefícios, uma vez que inconsistências nos sistemas do INSS podem prejudicar segurados em processos de concessão ou revisão em curso.
Conteudo informativo produzido com apoio de inteligencia artificial a partir de fontes publicas. Nao constitui consulta juridica nem garante resultado em caso concreto.
Esse cenário aparece em algum caso seu?
Envie o CNIS, a carta de concessão ou o processo administrativo. Em ~6 minutos você vê as teses aplicáveis com estimativa em R$ — e a prévia da leitura é gratuita.
Analisar um documento