Enviada a 2026.07.08

Exmo. Senhor. Ministro da Educação, Ciência e Inovação. Professor Doutor Fernando Alexandre.

Com conhecimento a:
EduQA – Instituto de Educação, Qualidade e Avaliação
Gabinete Nacional de Segurança (GNS)
Comissão Nacional de Proteção de Dados (CNPD)

1. Identificação do requerente

A Cidadãos pela Cibersegurança (CpC), organização cívica de escrutínio público em matéria de cibersegurança e direitos digitais, com sítio institucional em cidadaospelaciberseguranca.com, vem, ao abrigo do artigo 5.º da Lei n.º 26/2016, de 22 de agosto (Lei de Acesso aos Documentos Administrativos), solicitar acesso aos documentos e informações administrativas abaixo identificados, relativos às plataformas utilizadas na distribuição, correção e classificação digital dos Exames Nacionais do ensino secundário de 2026. Recorda-se que, nos termos do referido artigo 5.º, o exercício deste direito não depende da invocação de qualquer interesse específico.

2. Enquadramento do pedido

O presente pedido tem origem num conjunto de factos tornados públicos nas últimas semanas: a suspensão, em 6 de julho de 2026, da plataforma de distribuição e classificação de provas na sequência de uma “fragilidade de segurança” identificada e comunicada ao Ministério, alegadamente com recomendação da consultora Deloitte; declarações públicas do Senhor Ministro segundo as quais a segurança informática das plataformas constitui “o maior risco” do processo de correção digital; relatos reiterados de professores classificadores, recolhidos nomeadamente através do movimento metaPROF, descrevendo falhas de atribuição de respostas, ausência de rastreabilidade e de exclusividade na distribuição de itens, e discrepâncias entre o número de itens corrigidos e o número de itens registados no sistema; e a existência de um projeto-piloto do exame nacional de Filosofia em 2025 no qual foram já identificados problemas de natureza idêntica.

Estes factos suscitam questões concretas de cibersegurança, de integridade de dados e de conformidade com o Regulamento Geral sobre a Proteção de Dados (RGPD) que, no entender da CpC, justificam pleno esclarecimento público antes da afixação das pautas da primeira fase, prevista para 17 de julho de 2026.

3. Documentos e informações solicitados

Solicita-se, especificamente, o seguinte:

1) Identificação e caracterização técnica exata da fragilidade de segurança que motivou a suspensão da plataforma de distribuição e classificação em 6 de julho de 2026, incluindo se se tratou de uma falha de controlo de acesso, de autenticação, de exposição indevida de dados, de configuração do sistema ou de outra natureza;

2) Cópia do relatório, parecer ou comunicação da Deloitte que recomendou a suspensão temporária da plataforma, bem como de qualquer relatório técnico posterior sobre a resolução da fragilidade identificada;

3) Cópia do parecer ou pareceres emitidos pelo Gabinete Nacional de Segurança sobre a plataforma de distribuição e classificação e sobre a Plataforma de Classificação e Supervisão (PCS) do EduQA, no âmbito do acompanhamento referido publicamente pelo Senhor Ministro;

4) Confirmação sobre se a fragilidade identificada permitiu, em algum momento, acesso não autorizado a dados pessoais de alunos ou de professores classificadores e, em caso afirmativo, confirmação sobre se foi efetuada a notificação à CNPD nos termos do artigo 33.º do RGPD e, quando aplicável, a comunicação aos titulares dos dados nos termos do artigo 34.º do RGPD;

5) Identificação da empresa responsável pela plataforma de distribuição e classificação, e esclarecimento sobre os fundamentos concretos que justificaram a reserva desta informação, nomeadamente se essa reserva foi determinada por indicação expressa do GNS e com que fundamentação técnica;

6) Confirmação sobre se foi realizada auditoria de segurança ou teste de intrusão (penetration testing) à plataforma de distribuição e classificação e à Plataforma de Classificação e Supervisão do EduQA antes do início da presente época de exames, e, em caso afirmativo, cópia das conclusões respetivas ou, em alternativa, um resumo não confidencial das mesmas;

7) Quantificação do número de provas afetadas por falhas de digitalização, atribuição incorreta, desaparecimento do sistema ou discrepância entre itens corrigidos e itens registados, bem como esclarecimento sobre o destino e tratamento dado a essas provas e às respetivas classificações;

8) Descrição das garantias e mecanismos concretos existentes para assegurar que nenhum aluno recebe uma classificação final baseada numa prova ilegível, incompleta ou incorretamente atribuída, independentemente de vir ou não a solicitar a consulta ou reapreciação da sua prova;

9) Confirmação sobre a existência ou ausência de autenticação multifator (MFA) obrigatória para o acesso de professores classificadores à Plataforma de Classificação e Supervisão e à plataforma de distribuição e classificação, e, caso exista, descrição do respetivo mecanismo;

10) Confirmação sobre a existência ou ausência de controlo geográfico de acesso (geofencing ou restrição por intervalos de IP) a estas plataformas;

11) Esclarecimento sobre a base jurídica que sustenta a utilização das credenciais da Autoridade Tributária e Aduaneira (AT) como mecanismo de autenticação para acesso a plataformas de classificação de exames nacionais, designadamente cópia de eventual protocolo, despacho ou diploma legal que habilite o Ministério da Educação, Ciência e Inovação e o EduQA para esse efeito, e confirmação sobre se essa interoperabilidade foi objeto de avaliação de impacto sobre a proteção de dados (AIPD), nos termos do artigo 35.º do RGPD;

12) Descrição das medidas concretas implementadas entre o projeto-piloto do exame nacional de Filosofia de 2025 e a presente aplicação generalizada do modelo digital de correção, especificamente quanto aos problemas já então identificados (provas desaparecidas do sistema, páginas em branco, respostas trocadas ou cortadas), e esclarecimento sobre os motivos pelos quais os mesmos tipos de problemas voltaram a ocorrer em 2026;

13) Descrição da finalidade específica, base jurídica, dados pessoais recolhidos, período de conservação e medidas de segurança aplicadas à base de dados de monitorização de professores classificadores anunciada publicamente pelo Senhor Ministro, e confirmação sobre se foi realizada avaliação de impacto sobre a proteção de dados relativamente a esta ferramenta.

4. Modo de acesso solicitado

Nos termos do artigo 11.º da LADA, solicita-se que o acesso seja disponibilizado por via eletrónica, através de reprodução em suporte digital, para o endereço de correio eletrónico indicado em rodapé.

5. Prazo

Solicita-se resposta no prazo de 10 dias úteis previsto no artigo 15.º da LADA. Caso o pedido, pela sua extensão ou pelo número de documentos envolvidos, justifique a prorrogação excecional prevista no n.º 3 do artigo 7.º da LADA, solicita-se que tal seja comunicado com a devida fundamentação circunstanciada.

Caso alguma das informações ou documentos solicitados esteja, no todo ou em parte, coberta por reserva legal, solicita-se que tal seja expressamente indicado, com identificação da norma legal aplicável, nos termos do artigo 6.º da LADA, de forma a permitir a apreciação da fundamentação invocada.

A CpC permanece disponível para prestar quaisquer esclarecimentos adicionais que se afigurem necessários à boa instrução do presente pedido.

Com os melhores cumprimentos