Como estruturar o acesso de servidor e de cidadão no protocolo eletrônico

Estruturar o acesso de servidor e de cidadão no protocolo eletrônico significa tratar os dois como perfis de conta distintos desde a origem: o cidadão faz um autocadastro simples, que só permite abrir e acompanhar pedidos, enquanto o servidor recebe acesso por convite formal da própria instituição, com permissão para tramitar, analisar e emitir documentos. Misturar essas duas portas de entrada — ou deixar o servidor criar sua própria conta como se fosse um usuário externo — é a origem mais comum de processo tramitando sem responsável definido dentro do sistema.

Este guia explica a diferença entre os dois tipos de acesso, por que a distinção importa para a segurança e a rastreabilidade do processo, e como estruturar o convite de servidor sem depender de cadastro manual feito um a um.

O que é o acesso interno e o acesso externo no protocolo eletrônico

Acesso externo é a conta criada pelo próprio requerente — cidadão, empresa ou responsável técnico — que se autocadastra no sistema para protocolar um pedido e acompanhar sua tramitação. Esse perfil tem escopo limitado: abre processo, anexa documento, responde a uma exigência e consulta o andamento do que é dele, sem visibilidade sobre processos de terceiros nem capacidade de tramitar, analisar ou emitir documento em nome da instituição.

Acesso interno é a conta do servidor, criada a partir de um convite formal enviado pela administração do sistema, nunca por autocadastro livre. É esse perfil que recebe, analisa, tramita, emite documento e assina dentro do processo — e que herda permissão conforme o setor e o papel que ocupa na instituição.

A diferença não é de interface, é de governança: o acesso externo pressupõe que qualquer pessoa pode pedir para entrar; o acesso interno pressupõe que só quem a instituição autorizou formalmente deve poder agir sobre um processo em nome dela.

Por que separar esses dois acessos importa

Quando essa separação não é aplicada com rigor, três problemas recorrentes aparecem na operação:

• Servidor com conta de cidadão. Se um servidor cria a própria conta como se fosse um usuário externo — para “testar” ou por não esperar o convite —, ele fica com um perfil que não tramita nem assina, e a instituição perde tempo corrigindo esse cadastro depois.
• Processo sem responsável rastreável. Sem convite formal vinculado a setor e papel, um servidor pode acabar com acesso genérico demais, dificultando saber quem de fato era responsável por um processo em determinado momento — o tipo de lacuna que aparece em auditoria e em pedido de vista.
• Superexposição de dado de terceiro. Um acesso interno mal configurado pode dar a um servidor visibilidade sobre processos de setores aos quais ele não pertence, expondo dado pessoal de requerentes sem necessidade — o oposto do que a instituição deveria garantir na proteção de dados que trata.

Passo a passo para estruturar o acesso interno e externo

1. Defina o que cada perfil pode fazer antes de configurar qualquer conta

Antes de convidar o primeiro servidor, mapeie por setor: quem protocola em nome da instituição (acesso interno criador de processo), quem analisa e tramita, quem só acompanha, e quem tem permissão para emitir o documento final. Esse mapeamento é o que evita ter que corrigir permissão depois que o sistema já está em uso.

2. Configure o convite como único caminho de entrada para servidor

O servidor nunca deve acessar o sistema pelo mesmo botão de autocadastro do cidadão. O convite parte da administração — geralmente da equipe de TI ou de um responsável por setor —, já vinculado ao e-mail institucional, ao setor e ao papel daquele servidor, e só depois disso a conta existe.

3. Mantenha o autocadastro externo simples e sem etapa desnecessária

O cidadão ou a empresa que vai protocolar um pedido precisa de um cadastro rápido — nome, CPF ou CNPJ, e-mail — sem exigir dados que só fazem sentido para quem vai tramitar processo internamente. Cada campo a mais no autocadastro externo é fricção que aumenta o abandono antes mesmo do primeiro protocolo.

4. Vincule a permissão do servidor ao setor, não à pessoa

Em vez de liberar acesso específico para cada servidor individualmente, associe a permissão ao setor e ao papel dentro dele. Isso permite que, quando um servidor for remanejado ou desligado, a permissão siga a função — não fique presa a um nome que já não está mais naquele lugar.

5. Trate a saída do servidor como parte do fluxo, não como exceção

Defina, desde o início, o procedimento para desativar o acesso interno quando um servidor deixa o cargo ou muda de setor. Um acesso interno que continua ativo depois da saída do servidor é uma falha de controle que qualquer auditoria de segurança da informação vai apontar.

6. Documente quem pode convidar novos servidores

Nem todo servidor com acesso interno deveria poder convidar outros. Restrinja essa ação a um perfil de administração, evitando que a concessão de acesso se torne uma prática informal, sem registro de quem autorizou a entrada de quem.

O que a legislação exige

A Lei nº 14.129/2021 (Lei do Governo Digital), em seu art. 15, trata da identificação eletrônica do usuário de serviço público como parte da simplificação do atendimento digital — o que reforça a necessidade de distinguir com clareza quem é o requerente (acesso externo) e quem é o agente público que atua em nome da instituição (acesso interno). A Lei nº 13.709/2018 (LGPD) exige que o acesso a dado pessoal dentro do sistema seja proporcional à finalidade de cada perfil, o que sustenta diretamente a regra de vincular permissão de servidor ao setor e ao papel, e não conceder acesso amplo por padrão.

Como o Aprova resolve isso

• O cadastro externo do cidadão é autosserviço, limitado a abrir e acompanhar processo, sem exigir dado que só o servidor precisa preencher.
• O acesso interno do servidor é sempre criado por convite da administração do sistema, vinculado a setor e papel desde a primeira entrada.
• A permissão herda do setor, então remanejamento e desligamento de servidor não exigem reconfiguração manual de cada processo.
• O histórico do sistema registra quem convidou cada servidor e quando o acesso foi concedido ou revogado, sustentando resposta a auditoria.
• A autenticação do cidadão pode ser integrada ao login via gov.br, sem que isso altere o escopo limitado do acesso externo.

Indicadores para medir o acesso interno e externo

• Número de servidores com acesso interno ativo, comparado ao organograma vigente.
• Tempo médio entre a saída de um servidor e a revogação do acesso interno correspondente.
• Percentual de contas externas que completam o primeiro protocolo após o autocadastro.
• Quantidade de convites de acesso interno emitidos por mês e por quem os emitiu.

FAQ sobre acesso interno e externo no protocolo eletrônico

O cidadão precisa criar conta para protocolar um pedido?

Sim, mas o cadastro externo é simples — geralmente nome, CPF ou CNPJ e e-mail — e serve só para abrir e acompanhar o próprio processo, sem exigir a mesma verificação usada para o acesso interno de servidor.

Um servidor pode usar a mesma conta que criou como cidadão em outro momento?

Não deveria. O acesso interno precisa ser criado por convite formal da instituição, vinculado ao setor e ao papel do servidor — mesmo que a pessoa já tenha uma conta externa cadastrada anteriormente com o mesmo CPF.

O que acontece se o convite de acesso interno for enviado ao e-mail errado?

O convite pode ser revogado antes de ser aceito, e um novo convite deve ser emitido para o e-mail institucional correto, evitando que uma conta com permissão de servidor fique vinculada a um e-mail fora do controle da instituição.

Quem deveria ter permissão para convidar novos servidores?

Normalmente um perfil de administração do sistema — TI ou um responsável indicado pela instituição —, nunca qualquer servidor com acesso interno, para manter rastreável quem autorizou cada nova conta.

A separação entre acesso interno e externo vale para câmara municipal e autarquia, ou só para prefeitura?

Vale para qualquer instituição pública que opere protocolo eletrônico — prefeitura, câmara municipal, autarquia ou órgão público — porque o risco de processo sem responsável definido não depende do tipo de ente, depende de como o acesso foi estruturado.

Conclusão

Separar o acesso interno do externo não é uma configuração cosmética de sistema — é a garantia de que todo processo tem um responsável identificável e de que nenhum servidor age com a mesma permissão de quem apenas protocola um pedido. A regra prática é simples: cidadão se autocadastra, servidor é convidado. Isso se conecta diretamente à forma como a instituição já estrutura o processo eletrônico de ponta a ponta e complementa a autenticação tratada em login via gov.br no protocolo eletrônico.

Se a sua instituição ainda libera acesso interno de forma manual ou sem vínculo claro a setor e papel, agende uma demonstração e veja como estruturar esse controle dentro do protocolo eletrônico.