DOU 24/02/2025 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152025022400110 110 Nº 38, segunda-feira, 24 de fevereiro de 2025 ISSN 1677-7042 Seção 1 § 6º Os casos de uso de acesso indireto somente serão aprovados com autorização expressa e específica dos respectivos anuentes, conforme o disposto no art. 28, e as especificações contidas no manual técnico, de que trata o art. 21. § 7º É vedado, a qualquer título, ceder a terceiros o acesso aos dados de que trata o caput, sem prévia e expressa autorização da Senatran. Art. 17. Os grupos de informação de interesse serão definidos pelo requerente no momento da solicitação de acesso. § 1º Para cada grupo de informação, deverão ser definidos os parâmetros de entrada, que serão utilizados para retorno dos parâmetros de saída. § 2º A classificação do grupo de informação como público ou restrito, pela Senatran, dependerá da conjugação entre os parâmetros de entrada e de saída. § 3º O requerente poderá criar seus próprios grupos de informação, ou escolher dentre os disponíveis, podendo também utilizá-los como modelos, editando-os de modo a adequá-los às suas finalidades. § 4º A escolha ou edição de grupos de informação produz efeitos apenas para o próprio requerente, não afetando os acessos dos autores originais. § 5º Caso opte por escolher um grupo de informação já disponível, o requerente deverá apresentar justificativa de necessidade específica ao seu caso, conforme disciplina o art. 16, § 3º, inciso V. § 6º Conforme disposto no art. 16, § 4º, os casos de uso relacionados à prestação de serviços de trânsito utilizarão grupos de informação definidos pela Senatran. Art. 18. Os casos de uso que envolvam o acesso a dados pessoais sensíveis deverão observar as hipóteses legais de tratamento específicas definidas no art. 11, da Lei nº 13.709, de 2018. § 1º O requerente deve, sempre que possível, evitar a inclusão de dados pessoais sensíveis nos grupos de informação, substituindo-os por outros dados que atendam à mesma finalidade. § 2º Não sendo possível observar o disposto no § 1º, o atendimento à finalidade deverá ser priorizado pela validação de dados, com o acesso aos dados pessoais sensíveis brutos sendo autorizado somente em caráter excepcional. Art. 19. O acesso a dados anonimizados somente será autorizado caso seja possível a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento, que garantam a não identificação do titular. Parágrafo único. A responsabilidade pela anonimização dos dados de forma a atender o disposto no caput é da Senatran. Art. 20. Os dados abertos, estruturados em formato aberto, na forma disposta no Decreto nº 8.777, de 11 de maio de 2016, serão disponibilizados conforme o Plano de Dados Abertos instituído pelo Ministério dos Transportes. § 1º Os Planos de Dados Abertos do Ministério dos Transportes, vigentes e de ciclos anteriores, estão disponíveis em seu sítio eletrônico. § 2º Os dados abertos da Senatran, constantes do Plano de Dados Abertos, serão processáveis por máquina, referenciados na internet e disponibilizados sob licença aberta, que permita sua livre utilização, consumo ou cruzamento, independentemente de solicitações por parte do interessado. Art. 21. As especificações tecnológicas para acesso aos dados dos sistemas e subsistemas informatizados se dará conforme o disposto em manual técnico elaborado pela Senatran. Parágrafo único. O manual técnico de que trata o caput estará disponível aos interessados nos canais eletrônicos definidos pela Senatran. Seção II Dos requisitos Art. 22. São requisitos para o acesso aos dados dos sistemas e subsistemas informatizados de trânsito, por pessoas jurídicas de direito privado: I - estar com situação cadastral ativa no Cadastro Nacional de Pessoa Jurídica - CNPJ; II - possuir certificado digital e-CNPJ, padrão ICP-Brasil; III - possuir responsável técnico pelo acesso aos dados, com formação superior compatível com a execução de atividades de integração tecnológicas definidas pela Senatran e seus operadores; IV - manter canal de comunicação permanente, disponível ao titular de dados; V - possuir nível satisfatório de maturidade em segurança da informação, conforme disposto no art. 23, ou Certificado ABNT NBR ISO/IEC 27.001, que trata da Gestão da Segurança da Informação, com escopo abrangendo toda a organização, incluindo as aplicações integradas à Senatran para acesso aos dados de seus sistemas e subsistemas informatizados; VI - efetivar contrato com o Serpro para a prestação de serviços de gestão de acesso aos dados, remunerando-o na forma disciplinada pela Senatran, em normativo específico; e VII - efetivar contrato com GCC credenciada pela Senatran, à sua livre escolha, para a prestação de serviços de gestão do consentimento fornecido pelo titular, quando exigido, e da ciência do uso dos dados, em todas as hipóteses de tratamento, remunerando-a na forma disciplinada pela Senatran, em edital de credenciamento e normativo específico. § 1º Para o cumprimento do disposto no inciso IV do caput, os requerentes poderão utilizar os serviços da GCC credenciada pela Senatran, por ele contratada, cuja remuneração específica será definida por livre negociação entre as partes. § 2º Os operadores da Senatran deverão estabelecer soluções e procedimentos que facilitem os processos para cumprimento dos requisitos definidos nos incisos VI e VII do caput aos usuários. § 3º Os requisitos para o acesso aos dados dos sistemas e subsistemas informatizados de trânsito, por pessoas jurídicas de direito público, observarão o disposto em normativo específico ou manual técnico-operacional, elaborados pela Senatran, ou o disposto em acordos, convênios e demais instrumentos de cooperação. Art. 23. A avaliação do nível de maturidade em segurança da informação, de que trata o art. 22, inciso V, será realizada a partir de formulário eletrônico preenchido pelo requerente, quando da solicitação de acesso aos dados, conforme metodologia específica, elaborada pela Senatran. § 1º Será atribuída pontuação entre um e cinco para o nível de maturidade em segurança da informação do requerente, resultando na seguinte classificação: I - pontuação menor e igual a dois: nível insatisfatório de maturidade em segurança da informação; II - pontuação igual a três: nível regular de maturidade em segurança da informação; e III - pontuação maior e igual a quatro: nível satisfatório de maturidade em segurança da informação. § 2º Caso o requerimento de acesso contenha dados pessoais sensíveis, o nível de maturidade em segurança da informação observará a seguinte classificação: I - pontuação menor e igual a três: nível insatisfatório de maturidade em segurança da informação; II - pontuação igual a quatro: nível regular de maturidade em segurança da informação; e III - pontuação igual a cinco: nível satisfatório de maturidade em segurança da informação. § 3º O requerente é responsável pela veracidade das informações declaradas, respondendo cível e criminalmente pelo fornecimento de informações falsas. § 4º O responsável técnico de que trata o art. 22, inciso III, deve zelar por todas as tratativas técnicas de sistemas de responsabilidade do requerente, inclusive pelas informações de que trata o caput. § 5º O requerente fica dispensado do preenchimento do formulário de que trata o caput, caso apresente o Certificado ABNT NBR ISO/IEC 27.001, de que trata o art. 22, inciso V. § 6º Aos requerentes que cumprirem o disposto no § 5º, serão atribuídos níveis satisfatórios de maturidade em segurança da informação, inclusive no caso de acesso a dados pessoais sensíveis. Art. 24. A perda de quaisquer dos requisitos exigidos no art. 21, em qualquer tempo, sujeitará o usuário ao bloqueio do acesso aos dados, conforme art. 61. Parágrafo único. O inadimplemento no pagamento dos valores devidos aos operadores será considerado perda dos requisitos previstos no art. 22, incisos VI e VII, conforme o caso. Seção III Do requerimento de acesso Art. 25. Os requerimentos de acesso a dados por pessoas jurídicas de direito privado serão realizados exclusivamente por meio do Credencia, plataforma tecnológica controlada pela Senatran, e operada pelo Serpro. § 1º Os requerimentos de que trata o caput somente serão permitidos com uso do certificado digital e-CNPJ específico da requerente. § 2º Os requerimentos efetuados no Credencia gerarão, automaticamente, registro e protocolo no Sistema Eletrônico de Informações - SEI, permitindo o acompanhamento transparente e permanente do andamento do processo de análise e autorização. § 3º É obrigação do requerente acompanhar o andamento de seu processo e seu resultado, bem como observar os prazos estabelecidos, independente de notificações da Senatran. Art. 26. Ao formular sua solicitação, o requerente deverá informar todos os casos de uso pretendidos, conforme especificações definidas nessa Portaria e nos manuais técnicos elaborados pela Senatran. § 1º Além da comprovação dos requisitos exigidos no art. 22, o requerente deverá apresentar: I - contrato, estatuto social ou regimento, e suas alterações, devidamente registrados no órgão competente; II - cédula de identidade e Cadastro de Pessoa Física - CPF de todos os representantes legais e do responsável técnico designado, conforme art. 22, inciso III, podendo ser substituídos por passaporte válido, no caso de estrangeiros; III - comprovante de endereço da matriz da empresa, contendo seu endereço completo, com logradouro, número, complemento, bairro, município, Unidade da Federação e Código de Endereçamento Postal - CEP; IV - números de telefone e endereço eletrônico da requerente e de seu responsável técnico designado, conforme art. 22, inciso III, para contato do controlador e de seus operadores; V - identidade e informações de contato de seu encarregado pelo tratamento de dados pessoais, caso a requerente solicite acesso a dados restritos; VI - breve descritivo das atividades gerais da empresa e das soluções que utilizarão dados dos sistemas e subsistemas informatizados da Senatran, demonstrando sua necessidade para atendimento da finalidade pretendida; VII - Política de Privacidade e Termos de Uso de Dados aplicáveis nas soluções que utilizem dados dos sistemas e subsistemas informatizados da Senatran; VIII - Termo de Compromisso de Manutenção de Sigilo, conforme modelo disponibilizado pela Senatran, assinado eletronicamente por todos os representantes legais da requerente e pelo responsável técnico designado, conforme art. 22, inciso III, por meio de assinatura eletrônica avançada ou assinatura eletrônica qualificada, conforme disposto na Lei nº 14.063, de 23 de setembro de 2020; IX - nada consta no Cadastro Nacional de Empresas Inidôneas e Suspensas - CEIS; X - nada consta na Lista de Inidôneos do Tribunal de Contas da União; e XI - nada consta no Cadastro Nacional de Condenações Civis por Ato de Improbidade Administrativa. Art. 27. Caso a requerente já possua autorização para acesso aos dados dos sistemas e subsistemas informatizados da Senatran, o requerimento será enquadrado em: I - atualização cadastral ou documental; II - solicitação de revogação parcial ou total dos acessos; III - solicitação de atualização dos acessos; ou IV - solicitação de ampliação do acessos. § 1º Comprovado pela Senatran que o requerimento se enquadra no disposto nos incisos I ou II, fica dispensada nova análise, sendo realizada tão somente a atualização da autorização, se for o caso. § 2º O disposto no inciso II se aplica às situações em que o interessado requer somente a exclusão de casos de uso, de grupos de informação ou de parâmetros de entrada ou saída de grupos de informação, total ou parcialmente. § 3º O disposto no inciso III se aplica às situações em que o interessado requer a atualização das informações dispostas no art. 16, § 3º, sem inclusão de novos casos de uso. § 4º O disposto no inciso IV se aplica às situações em que o interessado requer a inclusão de novos casos de uso. Art. 28. Nos requerimentos que contenham casos de uso com acesso indireto aos dados dos sistemas e subsistemas informatizados da Senatran, a autorização prévia de que trata o art. 16, § 6º, se dará por: I - manifestação dos anuentes no Credencia; ou II - por solução interoperável entre os usuários e seus anuentes, com integração às soluções tecnológicas da Senatran. § 1º Os usuários deverão informar o número CNPJ de seus anuentes, para cada caso de uso. § 2º Complementarmente ao disposto no § 1º, os usuários deverão descrever, para cada caso de uso, as finalidades de acesso atinentes à sua atividade e a de seus anuentes. § 3º Para subsidiar a concessão da autorização prévia de que trata o caput, os anuentes terão acesso a todas as informações dos casos de uso requeridos pelos usuários que estejam a eles associados. § 4º Os anuentes poderão revogar suas autorizações a qualquer tempo, na forma do caput. Art. 29. O requerimento será considerado protocolado junto à Senatran somente quando efetivado por meio do Credencia, e quando: I - as informações necessárias forem preenchidas; II - os documentos exigidos forem anexados ao requerimento; e III - os anuentes manifestarem sua autorização prévia, quando for o caso. Parágrafo único. Após protocolar o requerimento, o interessado não poderá promover modificações no pleito, devendo aguardar o término da análise pela Senatran, salvo por desistência do requerente. Seção IV Da análise Art. 30. O requerimento será submetido à análise das áreas técnicas da Senatran, que elaborarão parecer técnico preliminar, num prazo máximo de sessenta dias, contados da data de protocolo da solicitação, conforme disposto no art. 29. Parágrafo único. Situações excepcionais poderão ensejar a dilação do prazo previsto no caput, e serão comunicadas eletronicamente ao requerente. Art. 31. O parecer técnico preliminar discorrerá sobre a adequação do requerimento ao disposto nesta Portaria, na Lei nº 13.709, de 2018, e em outras legislações e regulamentações, quando pertinentes ao caso concreto, concluindo: I - pela constatação de pendências; II - pelo deferimento total; III - pelo deferimento parcial; ou IV - pelo indeferimento total. Art. 32. Constatadas pendências no requerimento, o requerente será notificado eletronicamente, tendo o prazo máximo de trinta dias, contados da notificação, para sanar as pendências apontadas. § 1º Constituem-se pendências no requerimento, na forma do caput: I - o não atendimento aos requisitos previstos no art. 22, incisos I a IV; II - a não apresentação das informações e documentações previstas no art. 26, § 1º; ou III - possuir nível regular de maturidade em segurança da informação, conforme disposto no art. 23. § 2º Não havendo resposta tempestiva à solicitação de que trata o caput, o processo será concluído pelo indeferimento total, sendo necessário apresentar novo requerimento, caso haja interesse. § 3º Caso o requerente ofereça resposta tempestiva, sem sanar as pendências indicadas, de forma parcial ou total, o processo será concluído pelo indeferimento total, sendo necessário apresentar novo requerimento, caso haja interesse.