II - cédula de identidade e Cadastro de Pessoa Física - CPF de todos os representantes legais e do responsável técnico designado, conforme art. 22, inciso III, podendo ser substituídos por passaporte válido, no caso de estrangeiros; III - comprovante de endereço da matriz da empresa, contendo seu endereço completo, com logradouro, número, complemento, bairro, município, Unidade da Federação e Código de Endereçamento Postal - CEP; IV - números de telefone e endereço eletrônico da requerente e de seu responsável técnico designado, conforme art. 22, inciso III, para contato do controlador e de seus operadores; V - identidade e informações de contato de seu encarregado pelo tratamento de dados pessoais, caso a requerente solicite acesso a dados restritos; VI - breve descritivo das atividades gerais da empresa e das soluções que utilizarão dados dos sistemas e subsistemas informatizados da Senatran, demonstrando sua necessidade para atendimento da finalidade pretendida; VII - Política de Privacidade e Termos de Uso de Dados aplicáveis nas soluções que utilizem dados dos sistemas e subsistemas informatizados da Senatran; VIII - Termo de Compromisso de Manutenção de Sigilo, conforme modelo disponibilizado pela Senatran, assinado eletronicamente por todos os representantes legais da requerente e pelo responsável técnico designado, conforme art. 22, inciso III, por meio de assinatura eletrônica avançada ou assinatura eletrônica qualificada, conforme disposto na Lei nº 14.063, de 23 de setembro de 2020; IX - nada consta no Cadastro Nacional de Empresas Inidôneas e Suspensas - CEIS; X - nada consta na Lista de Inidôneos do Tribunal de Contas da União; e XI - nada consta no Cadastro Nacional de Condenações Civis por Ato de Improbidade Administrativa. Art. 27. Caso a requerente já possua autorização para acesso aos dados dos sistemas e subsistemas informatizados da Senatran, o requerimento será enquadrado em: I - atualização cadastral ou documental; II - solicitação de revogação parcial ou total dos acessos; III - solicitação de atualização dos acessos; ou IV - solicitação de ampliação do acessos. § 1º Comprovado pela Senatran que o requerimento se enquadra no disposto nos incisos I ou II, fica dispensada nova análise, sendo realizada tão somente a atualização da autorização, se for o caso. § 2º O disposto no inciso II se aplica às situações em que o interessado requer somente a exclusão de casos de uso, de grupos de informação ou de parâmetros de entrada ou saída de grupos de informação, total ou parcialmente. § 3º O disposto no inciso III se aplica às situações em que o interessado requer a atualização das informações dispostas no art. 16, § 3º, sem inclusão de novos casos de uso. § 4º O disposto no inciso IV se aplica às situações em que o interessado requer a inclusão de novos casos de uso. Art. 28. Nos requerimentos que contenham casos de uso com acesso indireto aos dados dos sistemas e subsistemas informatizados da Senatran, a autorização prévia de que trata o art. 16, § 6º, se dará por: I - manifestação dos anuentes no Credencia; ou II - por solução interoperável entre os usuários e seus anuentes, com integração às soluções tecnológicas da Senatran. § 1º Os usuários deverão informar o número CNPJ de seus anuentes, para cada caso de uso. § 2º Complementarmente ao disposto no § 1º, os usuários deverão descrever, para cada caso de uso, as finalidades de acesso atinentes à sua atividade e a de seus anuentes. § 3º Para subsidiar a concessão da autorização prévia de que trata o caput, os anuentes terão acesso a todas as informações dos casos de uso requeridos pelos usuários que estejam a eles associados. § 4º Os anuentes poderão revogar suas autorizações a qualquer tempo, na forma do caput. Art. 29. O requerimento será considerado protocolado junto à Senatran somente quando efetivado por meio do Credencia, e quando: I - as informações necessárias forem preenchidas; II - os documentos exigidos forem anexados ao requerimento; e III - os anuentes manifestarem sua autorização prévia, quando for o caso. Parágrafo único. Após protocolar o requerimento, o interessado não poderá promover modificações no pleito, devendo aguardar o término da análise pela Senatran, salvo por desistência do requerente. Seção IV Da análise Art. 30. O requerimento será submetido à análise das áreas técnicas da Senatran, que elaborarão parecer técnico preliminar, num prazo máximo de sessenta dias, contados da data de protocolo da solicitação, conforme disposto no art. 29. Parágrafo único. Situações excepcionais poderão ensejar a dilação do prazo previsto no caput, e serão comunicadas eletronicamente ao requerente. Art. 31. O parecer técnico preliminar discorrerá sobre a adequação do requerimento ao disposto nesta Portaria, na Lei nº 13.709, de 2018, e em outras legislações e regulamentações, quando pertinentes ao caso concreto, concluindo: I - pela constatação de pendências; II - pelo deferimento total; III - pelo deferimento parcial; ou IV - pelo indeferimento total. Art. 32. Constatadas pendências no requerimento, o requerente será notificado eletronicamente, tendo o prazo máximo de trinta dias, contados da notificação, para sanar as pendências apontadas. § 1º Constituem-se pendências no requerimento, na forma do caput: I - o não atendimento aos requisitos previstos no art. 22, incisos I a IV; II - a não apresentação das informações e documentações previstas no art. 26, § 1º; ou III - possuir nível regular de maturidade em segurança da informação, conforme disposto no art. 23. § 2º Não havendo resposta tempestiva à solicitação de que trata o caput, o processo será concluído pelo indeferimento total, sendo necessário apresentar novo requerimento, caso haja interesse. § 3º Caso o requerente ofereça resposta tempestiva, sem sanar as pendências indicadas, de forma parcial ou total, o processo será concluído pelo indeferimento total, sendo necessário apresentar novo requerimento, caso haja interesse. Art. 33. Nos casos de deferimento parcial, o requerente será notificado da decisão preliminar eletronicamente, podendo apresentar, no prazo máximo de trinta dias, contados da notificação, as contrarrazões visando a conversão da decisão preliminar em deferimento total. § 1º O deferimento parcial ocorrerá: I - quando os casos de uso ou grupos de informação apresentados não forem aprovados em sua totalidade; ou II - quando a Senatran divergir das hipóteses legais de tratamento indicadas. § 2º O requerente deverá indicar se há interesse de prosseguir com o processo autorizativo, caso as contrarrazões apresentadas não sejam acolhidas. § 3º Caso as contrarrazões não sejam acolhidas, e o requerente não tenha interesse de prosseguimento do processo autorizativo na forma decidida originalmente, a Senatran o notificará eletronicamente do resultado final, e concluirá o processo pelo indeferimento total, sendo necessário apresentar novo requerimento, caso haja interesse. § 4º A ausência de apresentação de contrarrazões ou seu registro de forma intempestiva ensejarão no prosseguimento do processo, na forma sugerida pelo parecer técnico preliminar. Art. 34. Nos casos de indeferimento total, o requerente será notificado da decisão eletronicamente, devendo apresentar novo requerimento, caso haja interesse. Parágrafo único. São motivos para o indeferimento total do requerimento: I - as situações previstas no art. 32, §§ 2º e 3º, e no art. 33, § 3º. II - nível insatisfatório de maturidade em segurança da informação, conforme disposto no art. 23; III - a reprovação de todos os casos de uso apresentados; ou IV - cumprimento de período de impedimento de novas autorizações, conforme art. 63, § 3º. Art. 35. Nos casos previstos nos artigos 32 e 33, o processo ficará sobrestado, até a manifestação do interessado, ou o término do prazo concedido. Seção V Da autorização de acesso Art. 36. Cumpridos os prazos e procedimentos na análise do requerimento, será submetido parecer técnico conclusivo à aprovação da diretoria responsável pelos processos de acesso a dados da Senatran. § 1º O parecer técnico conclusivo de que trata o caput deverá ser elaborado em até trinta dias, contados: I - da apresentação do parecer técnico preliminar, nos casos de deferimento total e de indeferimento total, motivado pelas razões dispostas no art. 34, incisos II, III e IV; ou II - da retirada do sobrestamento, nos demais casos. § 2º O requerente terá conhecimento do parecer técnico conclusivo por meio do Credencia ou do respectivo processo SEI. Art. 37. Nos casos de deferimento, parcial ou total, da solicitação de acesso aos dados, o requerente terá o prazo máximo de sessenta dias para efetivar a contratação dos operadores, na forma do art. 22, incisos VI e VII. § 1º Os contratos firmados serão encaminhados pelos operadores à Senatran, na forma por ela estabelecida, e serão anexados ao respectivo processo de acesso a dados. § 2º A inobservância do prazo estabelecido no caput implicará na revogação automática da aprovação dada no parecer técnico conclusivo, sendo necessário apresentar novo requerimento, caso haja interesse. § 3º Os operadores da Senatran deverão envidar todos os esforços para viabilização da contratação de que trata o caput no menor tempo possível, em atendimento ao disposto no art. 22, § 2º. Art. 38. Constatada a efetivação dos contratos com os operadores, na forma aprovada pelo parecer técnico conclusivo, desde que dentro do prazo máximo estabelecido pelo art. 37, será expedido Termo de Autorização de Acesso a Dados ao requerente, contendo, minimamente: I - a identificação do requerente; II - a relação completa dos casos de uso, contendo as informações previstas no Art. 16, § 3º, incisos I, II, III e IV; e III - as obrigações do requerente quanto ao uso da informação e o dever de sigilo dos dados. § 1º O Termo de Autorização de Acesso a Dados de que trata o caput será expedido mediante aprovação da autoridade máxima da Senatran. § 2º Será expedido um único Termo de Autorização de Acesso a Dados por requerente, que substituirá o Termo de Autorização de Acesso a Dados anterior, se for o caso. § 3º O Termo de Autorização de Acesso a Dados é uma autorização de caráter precário, podendo ser revogado a qualquer tempo, conforme disciplina o art. 63. § 4º O Termo de Autorização de Acesso a Dados é um documento de acesso restrito, e sua disponibilização para terceiros se dará apenas com autorização da Senatran, de forma motivada, resguardado o sigilo empresarial e demais hipóteses de sigilo previstas em Lei. Art. 39. O acesso aos dados autorizados poderá ser efetivado pelo requerente a partir da publicação, pela Senatran, do extrato do Termo de Autorização de Acesso a Dados no Diário Oficial da União - DOU. § 1º O extrato de que trata o caput é um documento resumido do Termo de Autorização de Acesso a Dados, expedido pela Senatran, e suficiente para demonstrar a autorização de acesso, ocultadas as informações sensíveis que comprometam o sigilo empresarial do requerente. § 2º A partir da publicação do extrato do Termo de Autorização de Acesso a Dados no DOU, o requerente passa a ser denominado usuário. Art. 40. Não há prazo de vigência para o Termo de Autorização de Acesso a Dados, que somente será revogado a pedido do requerente ou nos casos previstos nesta Portaria. § 1º A ausência de consulta a dados pelo usuário, conforme Termo de Autorização de Acesso a Dados, por um período superior a doze meses, poderá ensejar na revogação dos acessos, conforme art. 63. § 2º Na hipótese da revogação dos acessos, com base no disposto § 1º, o requerente, caso tenha interesse, deverá apresentar novo requerimento de acesso aos dados. CAPÍTULO IV DA TRANSPARÊNCIA E GOVERNANÇA Seção I Dos mecanismos de transparência Art. 41. A Senatran adotará estratégias e ações de transparência ativa acerca do acesso aos seus sistemas e subsistemas, em todas as suas plataformas tecnológicas. Art. 42. A Senatran publicará, em seu sítio eletrônico, o inventário de dados de seus sistemas e subsistemas informatizados, visando transparência e objetividade nos requerimentos de acesso a dados por parte dos interessados. § 1º Serão indicados os dados que podem ser utilizados como parâmetros de entrada em grupos de informação. § 2º Serão discriminados os dados públicos e restritos, conforme classificação da Senatran. Art. 43. Todos os extratos dos Termos de Autorização de Acesso a Dados expedidos pela Senatran, nos termos desta Portaria, estarão integralmente e permanentemente disponíveis ao público, em seu sítio eletrônico. Art. 44. Nas hipóteses de consentimento para acesso aos dados, os titulares poderão fornecê-lo, de forma livre, gratuita, informada e inequívoca: I - por meio das plataformas tecnológicas disponibilizadas pelos operadores da Senatran; ou II - por meio das plataformas tecnológicas do usuário, ou de seus respectivos anuentes, conforme o caso, desde que garantidas a interoperabilidade dos dados relacionados ao consentimento com a GCC contratada pelo usuário. § 1º A solicitação de fornecimento de consentimento ao titular deverá conter as seguintes informações mínimas: I - nome do usuário; II - nome do anuente, quando for o caso; III - finalidade específica no uso dos dados, relacionado ao usuário e ao anuente, quando for o caso; IV - dados que serão acessados; V - duração do tratamento de dados, de forma a cumprir a finalidade estabelecida; VI - informações de contato da Senatran; VII - responsabilidades dos agentes que realizarão o tratamento; e VII - direitos do titular, com menção explícita aos direitos contidos no art. 18, da Lei nº 13.709, de 2018. § 2º É vedado o tratamento de dados pessoais mediante vício de consentimento. § 3º Os usuários ou anuentes, conforme o caso, deverão informar, de maneira clara e concisa, as consequências ao titular, no caso de negativa no fornecimento do consentimento. § 4º O consentimento de que trata o caput poderá ser revogado pelo titular a qualquer momento, ratificados os tratamentos realizados sob amparo do consentimento anteriormente manifestado, enquanto não houver requerimento de eliminação. § 5º A revogação de consentimento pelo titular poderá ser efetuada pelas mesmas plataformas tecnológicas previstas no caput. § 6º Caso a revogação do consentimento seja efetivada pelas plataformas tecnológicas disponibilizadas pelos operadores da Senatran, ela será imediatamente informada aos usuários. Art. 45. O titular de dados terá acesso, por meio das plataformas tecnológicas disponibilizadas pelos operadores da Senatran, a todo o histórico de uso de seus dados por usuários e anuentes, conforme o caso, contendo as informações dispostas no art. 44, § 1º. § 1º Incluem-se no histórico de que trata o caput todos os acessos a dados realizados, seja pelo fornecimento de consentimento, seja por outras hipóteses legais de tratamento. § 2º O disposto no caput não se aplica aos acessos a dados realizados para o desempenho de atividades de investigação, inteligência, segurança pública e segurança viária. § 3º Além do histórico de uso de seus dados, estarão disponíveis aos titulares as informações de todos os usuários dispostas no art. 26, § 1º, incisos V e VII. Art. 46. A Senatran, por meio de seus operadores, manterá, em suas plataformas tecnológicas, área de livre acesso ao titular e à Autoridade Nacional de Proteção de Dados - ANPD, para comunicação de incidentes de segurança, que possam acarretar risco ou dano relevante aos titulares. Art. 47. O Serpro manterá, em canal eletrônico definido pela Senatran, painel de informações contendo indicadores relacionados ao desempenho e disponibilidade dos meios de integração dedicados aos usuários, promovendo transparência quanto aos níveis de serviço ofertados. Parágrafo único. Os padrões mínimos de nível de serviço serão definidos pela Senatran. Art. 48. A Senatran disponibilizará, em seu sítio eletrônico, a identidade e as informações de contato do encarregado pelo tratamento de dados pessoais de seus sistemas e subsistemas informatizados. Seção II Do Programa de Governança em Privacidade - PGP Art. 49. Esta Portaria, juntamente com os manuais técnicos, os protocolos operacionais definidos pela Senatran, e as soluções tecnológicas disponibilizadas por ela e seus operadores, formam o Programa de Governança em Privacidade - PGP, da Secretaria Nacional de Trânsito. § 1º O PGP da Senatran estará consolidado em um único documento, de fácil assimilação por toda a sociedade, e disponível em seu sítio eletrônico. § 2º O documento de que trata o § 1º estará sujeito à revisão a qualquer tempo, permanecendo atualizado em seu sítio eletrônico. Art. 50. A Senatran, em conjunto com seus operadores, elaborará manuais técnicos de acesso aos dados de seus sistemas e subsistemas informatizados de trânsito, que deverão conter toda a documentação técnica relacionada. Art. 51. O PGP conterá diretrizes para o processo de gestão de riscos no acesso aos dados dos sistemas e subsistemas informatizados da Senatran. § 1º A necessidade de elaboração de Relatório de Impacto à Proteção de Dados Pessoais - RIPD deverá ser avaliada no âmbito do processo de gestão de riscos de que trata o caput, sem prejuízo do atendimento à solicitação da ANPD, conforme art. 10, § 3º, da Lei nº 13.709, de 2018. § 2º O processo de gestão de riscos no acesso aos dados deverá contemplar matriz de responsabilidade conjunta entre a Senatran, seus operadores e os usuários, conforme a criticidade dos acessos, na forma estabelecida pela Senatran. Art. 52. O Plano de Resposta a Incidentes e Remediação será integrado ao PGP, e será desenvolvido de forma conjunta entre a Senatran, seus operadores, e o órgão setorial do Sistema de Administração dos Recursos de Tecnologia da Informação - Sisp, junto ao Ministério dos Transportes. Art. 53. A Senatran manterá alinhamentos permanentes junto ao órgão central do Sisp, à ANPD e aos demais órgãos da administração pública, bem como com a sociedade, promovendo ciclos de melhoria contínua, compartilhando experiências e buscando a adoção de boas práticas, de forma a fortalecer a transparência e governança dos processos de acesso a dados. Parágrafo único. Para o cumprimento do caput, a Senatran poderá estabelecer acordos, convênios e demais instrumentos de cooperação, inclusive com o repasse de recursos financeiros, na forma estabelecida na Lei e demais regulamentos. Seção III Da supervisão Art. 54. A supervisão do acesso a dados compartilhados no âmbito dessa Portaria será exercida pela Senatran, com apoio de seus operadores, e consiste no planejamento, execução e avaliação de ações, que visem garantir a conformidade nos acessos aos dados de seus sistemas e subsistemas informatizados de trânsito, coibindo o uso indevido, e denunciando eventuais irregularidades à ANPD. Art. 55. A supervisão do acesso a dados será exercida em três níveis, de forma progressiva e ascendente: I - nível um: monitoramento dos acessos; II - nível dois: auditoria remota; e III - nível três: auditoria in loco. Parágrafo único. Em caso de denúncias de irregularidades no acesso a dados dos sistemas e subsistemas informatizados de trânsito da Senatran, a apuração não estará vinculada à progressividade indicada no caput, optando-se pelo nível de supervisão mais efetivo e célere para o caso, conforme as evidências apresentadas, a gravidade e a conveniência e oportunidade da Senatran. Art. 56. O monitoramento dos acessos será realizado de forma contínua pela Senatran, com apoio de seus operadores. Parágrafo único. Os usuários poderão ser instados a se manifestar, a qualquer tempo, acerca dos acessos verificados pela Senatran, devendo responder de forma tempestiva às solicitações. Art. 57. Para a execução da supervisão de nível dois, o usuário deverá fornecer à Senatran módulo de perfil de acesso de auditoria a todos os sistemas e aplicações que utilizem dados de seus sistemas e subsistemas informatizados de trânsito. § 1º O módulo de perfil de acesso de auditoria de que trata o caput tem como objetivo auxiliar o controlador no acompanhamento do uso de seus dados, em conformidade ao ordenamento jurídico vigente, aos manuais técnicos e ao respectivo Termo de Autorização de Acesso a Dados. § 2º As especificações mínimas do módulo de perfil de acesso de auditoria serão estabelecidas em manual técnico elaborado pela Senatran. § 3º O módulo de perfil de acesso de auditoria não poderá permitir quaisquer modificações pelos técnicos da Senatran, seja no ambiente tecnológico ou nos bancos de dados dos usuários, possibilitando apenas observação e análise. § 4º A Senatran observará o sigilo das informações disponíveis no módulo de perfil de acesso de auditoria, de que trata o caput, e todos seus técnicos habilitados para uso do módulo somente o acessarão após a assinatura de Termo de Compromisso de Manutenção de Sigilo. § 5º Incluem-se na supervisão de nível dois a realização de chamadas de vídeo com os representantes legais e técnicos dos usuários, e seus indicados, bem como a solicitação de documentos e informações. Art. 58. A supervisão de nível três será executada nas instalações físicas do usuário. § 1º A Senatran oficiará previamente o interessado acerca da auditoria in loco, alinhando a agenda para a visita de seus técnicos. § 2º O usuário deverá indicar responsável por acompanhar a equipe da Senatran, em todo o tempo de permanência em suas instalações. § 3º O acesso às instalações e informações requisitadas deverá ser garantido, de modo a não comprometer o processo de supervisão. § 4º As informações obtidas pelos técnicos da Senatran, que estejam sob sigilo, permanecerão restritas, e serão utilizadas com o único objetivo de colaborar com o processo de supervisão. § 5º No caso previsto no § 4º, os técnicos da Senatran deverão assinar Termo de Compromisso de Manutenção de Sigilo. Art. 59. De forma a mitigar a ocorrência de danos de difícil reparação à proteção dos dados restritos, os usuários estarão sujeitos à aplicação das seguintes medidas pela Senatran: I - limitação no volume de acesso a dados; II - bloqueio parcial ou total dos acessos; III - suspensão parcial ou total dos acessos; ou IV - revogação parcial ou total de acessos; Art. 60. A limitação no volume de acesso a dados poderá ser aplicada pela Senatran, sempre que for detectada volumetria de acesso que enseje risco à conformidade do processo de acesso a dados. Parágrafo único. A limitação no volume será retirada tão logo o risco à conformidade do processo de acesso a dados seja afastado ou mitigado. Art. 61. O bloqueio dos acessos será aplicado: I - se constatada a incidência do disposto no art. 24; II - por vencimento do certificado digital, token de acesso ou outro mecanismo de habilitação do acesso cadastrado no sistema Credencia; ou III - como medida cautelar preparatória, quando da instrução de processo de suspensão de acessos. § 1º O usuário será notificado eletronicamente acerca do bloqueio de que trata o caput, por meio dos canais de contato indicados, conforme art. 26, § 1º, inciso IV. § 2º O bloqueio de que trata o caput será parcial ou total, conforme o caso concreto. § 3º O bloqueio nos acessos é medida temporária, e não altera o Termo de Autorização de Acesso a Dados vigente, sendo revogado tão logo cesse a causa que o ensejou. § 4º Na hipótese do disposto nos incisos I e II, a não regularização da situação que ensejou o bloqueio dos acessos, em até trinta dias, contados da notificação eletrônica de que trata o § 1º, ensejará a abertura de processo administrativo de suspensão dos acessos, conforme art. 62. Art. 62. A suspensão dos acessos ocorrerá somente após a instrução de processo administrativo pela Senatran, destinado a averiguar eventuais irregularidades ou inconsistências nos procedimentos de acesso a dados, obedecidas as diretrizes definidas na Lei nº 9.784, de 29 de janeiro de 1999. § 1º Em caso de risco iminente, como medida acauteladora, a suspensão de que trata o caput poderá ser precedida de bloqueio parcial ou total, sem a prévia manifestação do interessado, e sempre que houver indícios mínimos de materialidade das irregularidades investigadas. § 2º Encerrada a fase de instrução do processo administrativo, o usuário será notificado eletronicamente, por meio dos canais de contato indicados, conforme art. 26, § 1º, inciso IV, e terá o direito de manifestar-se no prazo máximo de dez dias, contados da notificação. § 3º Observado o disposto no § 2º, a área técnica da Senatran, responsável pela investigação, elaborará relatório, indicando a fundamentação de abertura de ofício do processo administrativo ou o pedido inicial, conforme o caso, o conteúdo das fases do procedimento, e a proposta de decisão, objetivamente justificada. § 4º Caberá à diretoria responsável pelos processos de acesso a dados da Senatran decidir sobre a suspensão parcial ou total dos acessos, de maneira proporcional ao agravo, no prazo máximo de trinta dias, contados da entrega do relatório de que trata o § 3º, prorrogável por igual período, uma única vez, devendo comunicar a decisão eletronicamente ao usuário, por meio dos canais de contato indicados, conforme art. 26, § 1º, inciso IV.
PORTARIA SENATRAN Nº 139, DE 20 DE FEVEREIRO DE 2025 (parte 2 de 4)
Publicado no Diário Oficial da União, seção 1, em , página 108. Órgão: Ministério dos Transportes — SECRETARIA NACIONAL DE TRÂNSITO. Todos os atos de 24/02/2025