MINUTA DE PORTARIA

O SECRETÁRIO NACIONAL DE TRÂNSITO, no uso das competências que lhe conferem os incisos I, II, VIII, IX, X, XIV, XXX, XXXI e XXXII do art. 19 da Lei nº 9.503, de 23 de setembro de 1997, que institui o Código de Trânsito Brasileiro ? CTB, com base no disposto na Lei nº 12.527, de 18 de novembro de 2011, na Lei nº 13.709, de 14 de agosto de 2018, no Decreto nº 10.046, de 9 de outubro de 2019, e no que consta no processo administrativo nº 80001.037971/2007-19, resolve:

CAPÍTULO I

DISPOSIÇÕES PRELIMINARES

Seção I

Objeto e âmbito de aplicação

Art. 1º  Esta Portaria disciplina o acesso aos dados dos sistemas e subsistemas informatizados da Secretaria Nacional de Trânsito ? Senatran, por pessoas jurídicas de direito público e privado, estabelecendo requisitos, procedimentos e o ambiente de governança.

Parágrafo único.  Incluem-se no rol de pessoas jurídicas de direito privado de que trata o caput os prestadores de serviços de trânsito contratados ou autorizados pelos órgãos e entidades componentes do Sistema Nacional de Trânsito ? SNT.

Art. 2º  O acesso aos dados dos sistemas e subsistemas informatizados da Senatran por órgãos e entidades componentes do SNT será disciplinado por manuais técnico-operacionais específicos elaborados pela Senatran.

§ 1º  Somente terão o acesso de que trata o caput os órgãos e entidades integrados ao SNT, conforme disciplina o art. 333, § 2º da Lei nº 9.503, de 23 de setembro de 1997, que institui o Código de Trânsito Brasileiro ? CTB.

§ 2º  O acesso de que trata o caput é exclusivo para o desempenho das atribuições legais definidas pelo CTB.

§ 3º  O uso dos dados pelos órgãos e entidades integrados ao SNT para finalidades não previstas no CTB se dará conforme o disposto no art. 3º desta Portaria.

Art. 3º  O compartilhamento de dados entre a Senatran e os órgãos e entidades da administração pública direta, autárquica e fundacional e os demais Poderes, da União, Estados, Distrito Federal e Municípios, não componentes do SNT, observará o disposto em acordos, convênios e demais instrumentos de cooperação.

Art. 4º  Para todos os casos de acesso a dados dos sistemas e subsistemas informatizados da Senatran deverão ser observadas as diretrizes e definições estabelecidas pela Lei nº 13.709, de 14 de agosto de 2018.
Parágrafo único.  Para os acessos de que tratam os artigos 2º e 3º desta Portaria, deverá ser observado, ainda, o que dispõe o Decreto nº 10.046, de 9 de outubro de 2019.

Seção II

Definições

Art. 5º  Para os efeitos desta Portaria, adotam-se as seguintes definições:

I ? atributo: elemento lógico que armazena um tipo específico de informação de uma entidade dentro do modelo de dados;

II ? caso de uso: conjunto de informações que especificam o acesso aos dados dos sistemas e subsistemas informatizados da Senatran por determinada pessoa jurídica;

III ? dado público: informação contida nos sistemas e subsistemas informatizados da Senatran não sujeita à restrição de acesso; 

IV ? dado restrito: informação contida nos sistemas e subsistemas informatizados da Senatran cujo acesso é restrito por força de lei, devendo obedecer a determinadas diretrizes, requisitos e procedimentos;

V ? grupo de informação: conjunto fechado de parâmetros de entrada e saída, agregados por sistema ou subsistema informatizado, necessários para atender a uma finalidade específica;

VI ? parâmetros de entrada: dados de atributos específicos utilizados pelo usuário ou usuário imediato nas requisições feitas por sistema ou aplicações, tendo como retorno os parâmetros de saída;

VII ? parâmetros de saída: dados de atributos específicos retornados pelo operador nas requisições feitas por sistema ou aplicações, a partir dos parâmetros de entrada informados pelo usuário ou usuário imediato;

VIII ? usuário: pessoa jurídica de direito privado responsável pelo requerimento de acesso a dados e pela integração dos sistemas, e que possui relação direta com o titular dos dados acessados, devidamente autorizada pela Senatran para acesso aos dados de seus sistemas e subsistemas informatizados;

IX ? usuário final: pessoa jurídica de direito privado que possui relação direta com o titular dos dados acessados, mas que os utiliza apenas de forma indireta, como informação processada produzida por usuário imediato com o qual possui relação comercial ou institucional;

X ? usuário imediato: pessoa jurídica de direito privado responsável pelo requerimento de acesso a dados e pela integração dos sistemas, devidamente autorizada pela Senatran para acesso aos dados de seus sistemas e subsistemas informatizados, mas que não possui relação direta com o titular dos dados acessados, tendo como finalidade exclusiva fornecer soluções tecnológicas, por meio da informação processada, aos usuários finais;

XI ? usuário público: pessoa jurídica de direito público devidamente autorizada pela Senatran para acesso aos dados de seus sistemas e subsistemas informatizados; e

XII ? validação de dados: método de confirmação de compatibilidade entre diferentes parâmetros de entrada com os dados dos sistemas e subsistemas informatizados da Senatran, de forma a indicar a consistência das informações.

Art. 6º São considerados dados restritos os dados pessoais e os dados pessoais sensíveis definidos na Lei nº 13.709, de 2018 e os dados protegidos por sigilo legal, judicial ou profissional.

CAPÍTULO II

DO CONTROLADOR E DOS OPERADORES

Seção I

Do controlador

Art. 7º  A Senatran exercerá o papel de controladora dos dados de seus sistemas e subsistemas informatizados, cabendo-lhe as decisões referentes ao tratamento de dados, nos termos da Lei nº 13.709, de 2018.

§ 1º  Constituem-se nos sistemas informatizados controlados pela Senatran o Registro Nacional de Carteiras de Habilitação (Renach), o Registro Nacional de Veículos Automotores (Renavam), o Registro Nacional de Infrações de Trânsito (Renainf), o Registro Nacional Positivo de Condutores (RNPC), o Registro Nacional de Sinistros e Estatísticas de Trânsito (Renaest) e o Sistema de Notificação Eletrônica (SNE), além de outros sistemas instituídos por Lei ou regulamento, cuja responsabilidade de organização e manutenção seja da Senatran.

§ 2º  Constituem-se nos subsistemas informatizados controlados pela Senatran toda e qualquer solução ou aplicação tecnológica por ela desenvolvida, organizada e mantida, e que utilize dados dos sistemas informatizados de que trata o §1º.

Art. 8º  O tratamento de dados restritos para uso direto da Senatran deve estar consubstanciado em suas atribuições definidas em Lei e regulamentos.

§ 1º  O uso secundário de dados controlados pela Senatran somente será permitido se observados os preceitos, diretrizes e procedimentos estabelecidos nesta Portaria, em consonância com a Lei nº 13.709, de 2018.

§ 2º  O uso secundário de que trata o §1º será analisado para cada caso concreto, vedada sua aplicação com finalidades genéricas.

§ 3º  Não se aplica como uso secundário a validação de dados de documentos expedidos pela Senatran, de forma direta ou mediante delegação aos órgãos executivos de trânsito dos Estados e do Distrito Federal.

Seção II

Dos operadores

Art. 9º  São operadores dos sistemas e subsistemas informatizados da Senatran as pessoas jurídicas de direito público ou privado que realizam o tratamento de dados em nome da Senatran.

Parágrafo único.  A relação entre a Senatran e seus operadores deverá ser estabelecida por meio de contratos, convênios ou instrumentos congêneres.

Art. 10  O Serviço Federal de Processamento de Dados ? Serpro é o operador responsável pela operacionalização do acesso aos dados dos sistemas e subsistemas informatizados da Senatran, contribuindo com a observância dos princípios do livre acesso, da qualidade dos dados, da transparência, da segurança e da prevenção, conforme definições dispostas no art. 6º da Lei nº 13.709, de 2018.

Art. 11 Compete ao Serpro, enquanto operador dos sistemas e subsistemas informatizados da Senatran:

I ? desenvolver, atualizar e manter o ambiente tecnológico necessário para os processos de acesso aos dados;

II ? desenvolver, atualizar e manter soluções de gestão do consentimento e da ciência de uso dos dados pelo titular, em hipóteses de tratamento que dispensem o consentimento do titular, exclusivamente em plataformas governamentais, garantindo a interoperabilidade com as soluções das Gerenciadoras de Consentimento e Ciência de que trata o art. 12;

III ? desenvolver, manter e divulgar a documentação técnica dos sistemas, das aplicações, dos protocolos de comunicação e de outras soluções tecnológicas destinadas aos processos de acesso aos dados;

IV ? registrar e armazenar todas as informações referentes aos processos de acesso a dados, nos prazos estabelecidos pela Senatran;

V ? garantir a segurança dos dados, monitorando, avaliando e reportando à Senatran eventuais incidentes de segurança;

VI ? orientar os interessados quanto às questões técnicas atinentes aos processos de acesso a dados; e

VII ? estabelecer os contratos necessários com os usuários ou usuários imediatos visando a remuneração pelos serviços de acesso a dados, arrecadando os valores e promovendo a desoneração financeira em favor da Senatran, conforme normativo específico e as regras contratuais vigentes entre o Serpro e a Senatran.

Art. 12 As Gerenciadoras de Consentimento e Ciência ? GCC são pessoas jurídicas de direito público ou privado contratadas pela Senatran, na modalidade de credenciamento, conforme previsto nos artigos 78 e 79 da Lei nº 14.133, de 1º de abril de 2021, para atuar como operadores responsáveis pela gestão do consentimento fornecido pelo titular e pela ciência do uso dos dados, em hipóteses de tratamento que dispensem o consentimento do titular, contribuindo com a observância dos princípios da adequação, do livre acesso, da transparência, da segurança e da prevenção, conforme definições dispostas no art. 6º da Lei nº 13.709, de 2018.

§ 1º  Os critérios, requisitos, procedimentos e preços pela remuneração dos serviços das GCC, dentre outras especificações, serão definidos em edital de chamamento público, divulgado e mantido no sítio eletrônico oficial da Senatran.

§ 2º  As GCC serão remuneradas pela prestação dos seus serviços diretamente pelos usuários, usuários imediatos ou usuários finais, conforme valores definidos no edital de chamamento público de que trata o §1º e em normativo específico.

§ 3º  Os titulares dos dados deverão ter acesso às soluções das GCC definidas pela Senatran de forma gratuita e facilitada.

§ 4º  Sem prejuízo do disposto nos §§ 2º e 3º, as GCC poderão oferecer serviços adicionais aos usuários, usuários imediatos, usuários finais e titulares dos dados, desde que não conflitem com as competências definidas nesta Portaria e nas cláusulas contratuais com a Senatran, e que estejam alinhadas ao escopo de atuação de gestão do consentimento e ciência do titular.

§ 5º  A remuneração pelos serviços de que trata o § 4º serão livremente negociadas entre as GCC e os interessados.

§ 6º  É vedada a participação no edital de chamamento público de que trata o §1º de usuários, usuários finais, usuários imediatos e usuários públicos, de forma a evitar conflito de interesse que prejudique a lisura dos processos de acesso a dados.

§ 7º  As GCC não terão acesso aos dados dos sistemas e subsistemas informatizados da Senatran, mas tão somente aos Termos de Autorização ? TA respectivos aos usuários, usuários imediatos e usuários finais e às informações necessárias para realizar a gestão do consentimento e ciência do titular.

Art. 13  Compete às GCC, enquanto operadoras dos sistemas e subsistemas informatizados da Senatran:

I ? desenvolver, atualizar e manter o ambiente tecnológico necessário para a gestão do consentimento e ciência do titular;

II ? desenvolver, atualizar e manter soluções de gestão do consentimento e da ciência de uso dos dados pelo titular, em hipóteses de tratamento que dispensem o consentimento do titular, garantindo a interoperabilidade com plataformas governamentais e com plataformas de usuários, usuários imediatos e usuários finais;

III ? desenvolver, manter e divulgar a documentação técnica dos sistemas, das aplicações, dos protocolos de comunicação e de outras soluções tecnológicas destinadas à gestão do consentimento e ciência do titular;

IV ? registrar e armazenar todas as informações referentes à gestão do consentimento e ciência do titular, nos prazos estabelecidos pela Senatran;

V ? garantir a segurança dos dados, monitorando, avaliando e reportando à Senatran suspeitas de uso indevido;

VI ? auxiliar o encarregado pelo tratamento de dados pessoais no recebimento de reclamações e comunicações dos titulares; e

VII ? estabelecer os contratos necessários com os usuários, usuários imediatos ou usuários finais, visando a remuneração pelos serviços de gestão do consentimento e ciência do titular, arrecadando os valores respectivos, conforme normativo específico e as regras contratuais vigentes entre as GCC e a Senatran.

Art. 14  As atribuições dos operadores definidas nos artigos 11 e 13 desta Portaria não os eximem de outras responsabilidades definidas em contrato e outros normativos.

§ 1º  Todos os operadores contratados pela Senatran deverão observar estritamente suas diretrizes e definições, mantendo canais de comunicação diretos e eficientes, e atendendo às suas solicitações de informações, na forma definida pela Senatran.

§ 2º  Além dos operadores descritos nesta Portaria, a Senatran poderá contratar outras pessoas jurídicas de direito público ou privado para a prestação de serviços especializados relacionados aos dados de seus sistemas e subsistemas informatizados, vedada a sobreposição de objetos constantes nas demais contratações.
 CAPÍTULO III

DOS ACESSOS

Seção I

Dos modelos de acesso

Art. 15  O acesso aos dados dos sistemas e subsistemas informatizados da Senatran compreende o conjunto de casos de uso apresentados pelo requerente e autorizados pela Senatran.

§ 1º  Não há limites para a quantidade de casos de uso apresentados, desde que atendam aos requisitos desta Portaria.

§ 2º  Os casos de uso devem ser independentes entre si, e serão avaliados individualmente, dentro do mesmo processo de acesso a dados.
§ 3º  Cada caso de uso é compreendido, minimamente, pelas seguintes informações:

I ? descrição clara e específica da finalidade do acesso;

II ? hipótese legal de tratamento dos dados;

III ? grupos de informação de interesse; e

IV ? justificativa da necessidade de cada grupo de informação para atender a finalidade pretendida, atendendo ao princípio da necessidade, estabelecido pelo art. 6º, III da Lei nº 13.709, de 2018.

§ 4º  Os casos de uso para a prestação dos serviços de trânsito de que trata o art. 1º, parágrafo único, desta Portaria serão definidos pela Senatran, de modo a garantir a isonomia dos acessos, observadas a legislação, os regulamentos e normativos aplicados a cada serviço de trânsito.

Art. 16  Os grupos de informação de interesse serão definidos pelo requerente no momento da solicitação de acesso.

§ 1º  Para cada grupo de informação, deverão ser definidos os parâmetros de entrada que serão utilizados para retorno dos parâmetros de saída.

§ 2º  A classificação do grupo de informação como público ou restrito, pela Senatran, dependerá da conjugação entre os parâmetros de entrada e de saída.

§ 3º  O requerente poderá criar seus próprios grupos de informação ou escolher dentre os disponíveis, podendo também utilizá-los como modelos, editando-os de modo a adequá-los às suas finalidades.

§ 4º  A escolha ou edição de grupos de informação produz efeitos apenas para o próprio requerente, não afetando os acessos dos autores originais.

§ 5º  Caso opte por escolher um grupo de informação já disponível, o requerente deverá apresentar justificativa de necessidade específica ao seu caso, conforme disciplina o art. 15, § 3º, IV.

§ 6º  Conforme disposto no art. 15, § 4º, os prestadores de serviços de trânsito utilizarão grupos de informação definidos pela Senatran.

Art. 17  Os casos de uso que envolvam o acesso a dados pessoais sensíveis deverão observar as hipóteses legais de tratamento específicas definidas no art. 11 da Lei nº 13.709, de 2018.

§ 1º  O requerente deve, sempre que possível, evitar a inclusão de dados pessoais sensíveis nos grupos de informação, substituindo-os por outros dados que atendam à mesma finalidade.

§ 2º  Não sendo possível observar o disposto no § 1º, o atendimento à finalidade deverá ser priorizado pela validação de dados, com o acesso aos dados pessoais sensíveis brutos sendo autorizado somente em caráter excepcional.

Art. 18  O acesso a dados anonimizados somente será autorizado com a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento que garantam a não identificação do titular.

Parágrafo único.  A responsabilidade pela anonimização dos dados de forma a atender o disposto no caput é da Senatran.

Art. 19  Os dados abertos, estruturados em formato aberto, na forma disposta no Decreto nº 8.777, de 11 de maio de 2016, serão disponibilizados conforme o Plano de Dados Abertos instituído pelo Ministério dos Transportes.

§ 1º  Os Planos de Dados Abertos do Ministério dos Transportes, vigentes e de ciclos anteriores, estão disponíveis em seu sítio eletrônico.

§ 2º  Os dados abertos da Senatran, constantes do Plano de Dados Abertos, serão processáveis por máquina, referenciados na internet e disponibilizados sob licença aberta que permita sua livre utilização, consumo ou cruzamento, independentemente de solicitações por parte do interessado.

Art. 20  As especificações tecnológicas para acesso aos dados dos sistemas e subsistemas informatizados se dará conforme o disposto em manual técnico elaborado pela Senatran.

§ 1º  É vedado, a qualquer título, ceder a terceiros o direito de acesso, bem como os dados obtidos, sem prévia e expressa autorização da Senatran.

§ 2º  Caso o requerente seja um usuário imediato, o acesso somente será concedido após a comprovação de anuência prévia de seus usuários finais, conforme procedimentos definidos pela Senatran.

Seção II

Dos requisitos

Art. 21  São requisitos para o acesso aos dados dos sistemas e subsistemas informatizados de trânsito por pessoas jurídicas de direito privado:

I ? estar com situação cadastral ativa no Cadastro Nacional de Pessoa Jurídica ? CNPJ;

II ? possuir certificado digital e-CNPJ padrão ICP-Brasil;

III ? possuir responsável técnico pelo acesso aos dados, com formação superior compatível às atividades de integração tecnológica necessárias;

IV ? manter canal de comunicação permanente disponível ao titular de dados;

V ? possuir nível satisfatório de maturidade em segurança da informação, conforme disposto no art. 22, ou Certificado ABNT NBR ISO/IEC 27001, que trata da Gestão da Segurança da Informação, vigente;

VI ? efetivar contrato com o Serpro para a prestação de serviços de gestão de acesso aos dados, remunerando-o na forma disciplinada pela Senatran em normativo específico; e

VII ? efetivar contrato com GCC credenciada pela Senatran, à sua livre escolha, para a prestação de serviços de gestão do consentimento e ciência do titular, remunerando-a na forma disciplinada pela Senatran em edital de chamamento público e normativo específico.

Art. 22  A avaliação de que trata o art. 21, V, será realizada a partir de formulário eletrônico preenchido pelo requerente quando da solicitação de acesso aos dados, conforme metodologia específica elaborada pela Senatran.

§ 1º  Será atribuída pontuação entre um e cinco para o nível de maturidade em segurança da informação do requerente, resultando na seguinte classificação:

I ? pontuação menor e igual a dois: nível insatisfatório de maturidade em segurança da informação;

II ? pontuação igual a três: nível regular de maturidade em segurança da informação; e

III ? pontuação maior e igual a quatro: nível satisfatório de maturidade em segurança da informação.

§ 2º  Caso o requerimento de acesso contenha dados pessoais sensíveis, o nível de maturidade em segurança da informação observará a seguinte classificação:

I ? pontuação menor e igual a três: nível insatisfatório de maturidade em segurança da informação;

II ? pontuação igual a quatro: nível regular de maturidade em segurança da informação; e

III ? pontuação igual a cinco: nível satisfatório de maturidade em segurança da informação.

§ 3º  O requerente é responsável pela veracidade das informações declaradas, respondendo cível e criminalmente pelo fornecimento de informações falsas.

§ 4º  O responsável técnico de que trata o art. 21, III, deve zelar por todas as tratativas técnicas de sistemas de responsabilidade do requerente, inclusive pelas informações de que trata o caput, respondendo solidariamente com os representantes legais do requerente em caso de inveracidade das informações declaradas.

§ 5º  O requerente fica dispensado do preenchimento do formulário de que trata o caput, caso apresente Certificado ABNT NBR ISO/IEC 27001, que trata da Gestão da Segurança da Informação.

§ 6º  Aos requerentes que cumprirem o disposto no § 5º será atribuído nível satisfatório de maturidade em segurança da informação, inclusive no caso de acesso a dados pessoais sensíveis.

Art. 23  A perda de quaisquer dos requisitos exigidos no art. 21, em qualquer tempo, sujeitará o usuário ou usuário imediato à suspensão ou revogação do acesso aos dados.

Seção III

Do requerimento de acesso 

Art. 24  Os requerimentos de acesso a dados por pessoas jurídicas de direito privado serão realizados exclusivamente por meio do Credencia, plataforma tecnológica controlada pela Senatran e operada pelo Serpro.

§ 1º  Os requerimentos de que trata o caput somente serão permitidos com uso do certificado digital e-CNPJ específico da requerente.

§ 2º  Os requerimentos efetuados no Credencia gerarão, automaticamente, registro e protocolo no Sistema Eletrônico de Informações ? SEI, permitindo o acompanhamento transparente e permanente do andamento do processo de análise e autorização.

§ 3º  É obrigação do requerente acompanhar o andamento de seu processo e seu resultado, bem como observar os prazos estabelecidos, independente de notificações da Senatran.

Art. 25  Ao formular sua solicitação, o requerente deverá informar todos os casos de uso pretendidos, conforme especificações definidas nessa Portaria e nos manuais técnicos elaborados pela Senatran.

§ 1º  Além da comprovação dos requisitos exigidos no art. 21, o requerente deverá apresentar:

I ? contrato, estatuto social e/ou regimento e suas alterações, devidamente registrados no órgão competente;

II ? cédula de identidade e Cadastro de Pessoa Física ? CPF do(s) representante(s) legal(is) e do responsável técnico;

III ? comprovante de endereço da matriz da empresa, contendo seu endereço completo (logradouro, complemento, bairro, cidade, unidade da federação e CEP);

IV ? números de telefone e endereço eletrônico da requerente e de seu responsável técnico, para contato do controlador e dos operadores;

V ? identidade e informações de contato de seu encarregado pelo tratamento de dados pessoais, caso a requerente solicite acesso a dados restritos;

VI ? breve descritivo das atividades gerais da empresa e das soluções que utilizarão dados dos sistemas e subsistemas informatizados da Senatran, demonstrando sua necessidade para atendimento da finalidade pretendida;

VII ? Política de Privacidade e Termo de Uso de Dados;

VIII ? Termo de Compromisso de Manutenção de Sigilo (TCMS), conforme modelo disponibilizado pela Senatran, assinado eletronicamente pelo representante legal da requerente e pelo responsável técnico, por meio de assinatura eletrônica avançada ou assinatura eletrônica qualificada, conforme disposto na Lei nº 14.063, de 23 de setembro de 2020;

IX ? nada consta no Cadastro Nacional de Empresas Inidôneas e Suspensas (CEIS);

X ? nada consta na Lista de Inidôneos do Tribunal de Contas da União; e

XI ? nada consta no Cadastro Nacional de Condenações Civis por Ato de Improbidade Administrativa.

Art. 26  Caso a requerente já possua acesso aos dados dos sistemas e subsistemas informatizados da Senatran, o requerimento será enquadrado em:

I ? atualização cadastral ou documental;

II ? solicitação de revogação total ou parcial de acessos;

III ? solicitação de atualização dos acessos; ou

IV ? solicitação de ampliação dos acessos.

§ 1º  Comprovado pela Senatran que o requerimento se enquadra no disposto nos incisos I ou II, fica dispensada nova análise, sendo realizada tão somente a atualização da autorização, se for o caso.

§ 2º  O disposto no inciso II se aplica às situações em que o interessado requer somente a exclusão de casos de uso, de grupos de informação ou de parâmetros de entrada ou saída de grupos de informação, total ou parcialmente.

§ 3º  O disposto no inciso III se aplica às situações em que o interessado requer somente a atualização das informações dispostas no art. 15, § 3º, sem inclusão de novos casos de uso.

§ 4º  O disposto no inciso IV se aplica às situações em que o interessado requer a inclusão de novos casos de uso.

Art. 27  Nos requerimentos efetuados por usuários imediatos, a comprovação da anuência prévia de que trata o art. 20, § 2º se dará por manifestação dos usuários finais no Credencia, com uso de seus respectivos certificados digitais e-CNPJ.

§ 1º  Os usuários imediatos deverão informar o número CNPJ dos usuários finais para cada caso de uso.

§ 2º  Complementarmente ao disposto no § 1º, os usuários imediatos deverão descrever, para cada caso de uso, as finalidades de acesso atinentes à sua atividade e a de seus usuários finais.

§ 3º  Para subsidiar a concessão da anuência prévia de que trata o caput, os usuários finais terão acesso a todas as informações dos casos de uso requeridos pelo usuário imediato que estejam a eles associados.

§ 4º  Os usuários finais poderão revogar sua anuência a qualquer tempo, por meio do Credencia.

Art. 28  O requerimento será considerado protocolado junto à Senatran somente quando efetivado por meio do Credencia, e quando:

I ? as informações necessárias forem preenchidas;

II ? as documentas exigidas forem anexadas ao requerimento; e

III ? os usuários finais manifestarem a anuência prévia, quando for o caso.

Parágrafo único.  Após protocolar o requerimento, o interessado não poderá promover modificações no pleito, devendo aguardar o término da análise pela Senatran, salvo quando solicitar seu cancelamento.

Seção IV

Da análise

Art. 29  O requerimento será submetido à análise das áreas técnicas da Senatran, que elaborarão parecer técnico preliminar num prazo máximo de sessenta dias contados da data de protocolo da solicitação, conforme disposto no art. 28.

Parágrafo único.  Situações excepcionais poderão ensejar a dilação do prazo previsto no caput.

Art. 30  O parecer técnico preliminar discorrerá sobre a adequação do requerimento ao disposto nesta Portaria, na Lei nº 13.709, de 2018, e em outras legislações e regulamentações, quando pertinentes ao caso concreto,  concluindo:

I ? pela constatação de pendências;

II ? pelo deferimento total;

III ? pelo deferimento parcial; ou
IV ? pelo indeferimento total.

Art. 31  Constatadas pendências no requerimento, o requerente será notificado eletronicamente, tendo o prazo máximo de trinta dias, contados da notificação, para sanar as pendências apontadas.

§ 1º  Constituem-se pendências no requerimento, na forma do caput:

I ? o não atendimento aos requisitos previstos no art. 21, I a IV;

II ? a não apresentação das informações previstas no art. 25, § 1º; ou

III ? possuir nível regular de maturidade em segurança da informação, conforme disposto no art. 22.

§ 2º  Não havendo resposta tempestiva à solicitação de que trata o caput, o processo será concluído pelo indeferimento total, sendo necessário apresentar novo requerimento, caso haja interesse.

§ 3º  Serão oferecidas até duas oportunidades para o saneamento das pendências de que trata o caput, obedecido o disposto nos §§ 1º e 2º.

§ 4º  Caso o requerente não sane as pendências em até duas oportunidades, o processo será concluído pelo indeferimento total, sendo necessário apresentar novo requerimento, caso haja interesse.

Art. 32  Nos casos de deferimento parcial, o requerente será notificado da decisão eletronicamente, podendo apresentar, no prazo máximo de trinta dias, contados da notificação, as contrarrazões visando a conversão da decisão em deferimento total.

§ 1º  O deferimento parcial ocorrerá:

I ? quando os casos de uso ou grupos de informação apresentados não forem aprovados em sua totalidade; ou

II ?  quando a Senatran divergir das hipóteses legais de tratamento indicadas. 

§ 2º  O requerente deverá indicar se há interesse de prosseguir com o processo autorizativo, caso as contrarrazões apresentadas não sejam acolhidas.

§ 3º  Caso as contrarrazões não sejam acolhidas, e o requerente não tenha interesse de prosseguimento do processo autorizativo na forma decidida originalmente, a Senatran concluirá o processo pelo indeferimento total, e o notificará eletronicamente do resultado final, sendo necessário apresentar novo requerimento, caso haja interesse.

§ 4º  A ausência de manifestação ou seu registro de forma intempestiva ensejarão no prosseguimento do processo na forma sugerida pelo parecer técnico preliminar.

Art. 33  Nos casos de indeferimento total, o requerente será notificado da decisão eletronicamente, devendo apresentar novo requerimento, caso haja interesse.

Parágrafo único.  São motivos para o indeferimento total do requerimento:

I ? as situações previstas no art. 31, §§ 2º e 4º, e no art. 32 § 3º;

II ? nível insatisfatório de maturidade em segurança da informação, conforme metodologia prevista no art. 22;

III ? a reprovação de todos os casos de uso apresentados; ou

IV ? o cumprimento de período de impedimento de novas autorizações, conforme art. 63, § 3º.

Art. 34  Nos casos previstos nos artigos 31 e 32, o processo ficará sobrestado até a manifestação do interessado ou o término do prazo concedido.

Parágrafo único.  O prazo de que trata o art. 29 fica interrompido até a retirada do sobrestamento.

Seção V

Da autorização de acesso 

Art. 35  Cumpridos os prazos e procedimentos na análise do requerimento, será submetido parecer técnico conclusivo à aprovação da diretoria responsável pelos processos de acesso a dados da Senatran.

§ 1º  O parecer técnico conclusivo de que trata o caput deverá ser elaborado em até trinta dias contados:

I ? da apresentação do parecer técnico preliminar, nos casos de indeferimento total; ou

II ? da retirada do sobrestamento, nos demais casos.

§ 2º  O requerente terá conhecimento do parecer técnico conclusivo por meio do Credencia ou do respectivo processo SEI.

Art. 36  No caso de aprovação de acesso aos dados, o requerente terá o prazo máximo de trinta dias para efetivar a contratação dos operadores, na forma do art. 21, VI e VII.

§ 1º  Os contratos firmados serão encaminhados pelos operadores de forma eletrônica à Senatran, e serão anexados ao respectivo processo de acesso a dados.

§ 2º  A inobservância do prazo estabelecido no caput implicará na revogação da aprovação dada no parecer técnico conclusivo, sendo necessário apresentar novo requerimento, caso haja interesse.

Art. 37  Constatada a efetivação dos contratos com os operadores na forma aprovada pelo parecer técnico conclusivo, desde que dentro do prazo máximo estabelecido pelo art. 36, será expedido Termo de Autorização de Acesso a Dados ? TA ao requerente, contendo, minimamente:

I ? a identificação do requerente;

II ? a relação completa dos casos de uso, contendo as informações previstas no Art. 15, § 3º, I, II e III; e

III ? as obrigações do requerente quanto ao uso da informação e o dever de sigilo dos dados.

§ 1º  O TA de que trata o caput somente será expedido após aprovação da autoridade máxima da Senatran.

§ 2º  Será expedido um único TA por requerente, que substituirá o TA anterior, se for o caso.

§ 3º  O TA é uma autorização de caráter precário, podendo ser revogado a qualquer tempo, conforme disciplina o art. 63.

Art. 38  O acesso aos dados, na forma especificada no TA, poderá ser efetivado pelo requerente a partir da publicação da autorização, pela Senatran, no Diário Oficial da União ? DOU.

Parágrafo único.  A partir da publicação da autorização no DOU, o requerente passa a ser denominado usuário ou usuário imediato, conforme o caso.

Art. 39  Não há prazo de vigência para o TA, que somente será revogado a pedido do requerente ou nos casos previstos nesta Portaria.

CAPÍTULO IV

DA TRANSPARÊNCIA E GOVERNAÇA

Seção I

Dos mecanismos de transparência

Art. 40 Deverão ser adotadas estratégias e ações de transparência ativa acerca do acesso aos seus sistemas e subsistemas em todas as plataformas tecnológicas administradas pela Senatran.

Art. 41 A Senatran publicará, em seu sítio eletrônico, o inventário de dados de seus sistemas e subsistemas informatizados, visando transparência e objetividade nos requerimentos de acesso a dados por parte dos interessados.

§ 1º Serão indicados os dados que podem ser utilizados como parâmetros de entrada em grupos de informação.

§ 2º Serão discriminados os dados públicos e restritos, conforme classificação da Senatran.

Art. 42 Todos os Termos de Autorização de Acesso a Dados expedidos pela Senatran estarão integralmente e permanentemente disponíveis ao público em seu sítio eletrônico.

Parágrafo único. A partir da expedição do TA, a Senatran providenciará a publicação de extrato do Termo de Autorização de Acesso a Dados no Diário Oficial da União, atendendo ao princípio da publicidade.

Art. 43 Nas hipóteses de consentimento para acesso aos dados, os titulares poderão fornecê-lo, de forma livre, gratuita, informada e inequívoca, por meio das plataformas tecnológicas disponibilizadas pelos operadores da Senatran.

§ 1º A solicitação de fornecimento de consentimento ao titular deverá conter as seguintes informações mínimas:

I ? nome do usuário ou usuário final;

II ? nome do usuário imediato, quando for o caso;

III ? finalidade no uso dos dados;

IV ? dados que serão acessados; e

V ? tempo necessário para o tratamento de dados de forma a cumprir a finalidade estabelecida.

§ 2º É vedado o tratamento de dados pessoais mediante vício de consentimento;

§ 3º Os usuários, usuários imediatos ou usuários finais deverão informar, de maneira clara e concisa, as consequências ao titular no caso de negativa no fornecimento do consentimento, obedecido o disposto no § 2º.

§ 4º O consentimento de que trata o caput poderá ser revogado pelo titular a qualquer momento, ratificados os tratamentos realizados sob amparo do consentimento anteriormente manifestado enquanto não houver requerimento de eliminação.

Art. 44 O titular de dados terá acesso, por meio das plataformas tecnológicas disponibilizadas pelos operadores da Senatran, a todo o histórico de uso de seus dados por usuários, usuários imediatos ou usuários finais.

§ 1º Incluem-se no histórico de que trata o caput todos os acessos a dados realizados, seja pelo fornecimento de consentimento, seja por outras hipóteses legais de tratamento que dispensem o consentimento prévio.

§ 2º O disposto no caput não se aplica aos acessos a dados realizados para o desempenho de atividades de investigação, inteligência, segurança pública e segurança viária.

Art. 45 A Senatran, por meio de seus operadores, manterá em suas plataformas tecnológicas área de livre acesso ao titular e à Autoridade Nacional de Proteção de Dados ? ANPD, para comunicação de incidentes de segurança que possam acarretar risco ou dano relevante aos titulares.

Art. 46 O Serpro manterá, em canal eletrônico definido pela Senatran, painel de informações contendo indicadores relacionados ao desempenho e disponibilidade dos meios de integração dedicados aos usuários e usuários imediatos, promovendo transparência quanto aos níveis de serviço ofertados.

Parágrafo único. Os padrões mínimos de nível de serviço serão definidos pela Senatran.

Art. 47 A Senatran disponibilizará em seu sítio eletrônico a identidade e as informações de contato do encarregado pelo tratamento de dados pessoais de seus sistemas e subsistemas informatizados.

Art. 48 As GCC deverão disponibilizar aos titulares de dados, em suas plataformas tecnológicas, as informações dispostas no art. 25, § 1º, V relacionadas aos usuários ou usuários imediatos.

Seção II

Do Programa de Governança em Privacidade ? PGP

Art. 49  Esta Portaria, juntamente com os manuais técnicos e os procedimentos definidos pela Senatran, formam o Programa de Governança em Privacidade ? PGP da Secretaria Nacional de Trânsito.

§ 1º  A Senatran sintetizará seu PGP em um único documento, de fácil assimilação por toda a sociedade, e disponível em seu sítio eletrônico.

§ 2º  O documento de que trata o § 1º estará sujeito à revisão a qualquer tempo, permanecendo atualizado com base em informações obtidas a partir de monitoramento contínuo e avaliações periódicas.

Art. 50  A Senatran, em conjunto com seus operadores, elaborará manuais técnicos de acesso aos dados de seus sistemas e subsistemas informatizados de trânsito, que deverão conter toda a documentação técnica relacionada.

Art. 51  O PGP conterá diretrizes para o processo de gestão de riscos no acesso aos dados dos sistemas e subsistemas informatizados da Senatran.

§ 1º  A necessidade de elaboração de Relatório de Impacto à Proteção de Dados Pessoais ? RIPD deverá ser avaliada no âmbito do processo de gestão de riscos de que trata o caput, sem prejuízo do atendimento à solicitação da ANPD, conforme art. 10, § 3º da Lei nº 13.709, de 2018.

§ 2º  O processo de gestão de riscos no acesso aos dados deverá contemplar matriz de responsabilidade conjunta com os usuários ou usuários imediatos, conforme a criticidade dos acessos, na forma estabelecida pela Senatran.

Art. 52  O Plano de Resposta a Incidentes e Remediação será integrado ao PGP, e será desenvolvido de forma conjunta entre a Senatran, seus operadores, e o órgão setorial do Sistema de Administração dos Recursos de Tecnologia da Informação ? Sisp, junto ao Ministério dos Transportes.

Art. 53  A Senatran manterá alinhamentos permanentes junto ao órgão central do Sisp, à ANPD e aos demais órgãos da administração pública, bem como com a sociedade, promovendo ciclos de melhoria contínua, compartilhando experiências e buscando a adoção de boas práticas, de forma a fortalecer a transparência e governança dos processos de acesso a dados.

Parágrafo único.  Para o cumprimento do caput, a Senatran poderá estabelecer acordos, convênios e demais instrumentos de cooperação, inclusive com o repasse de recursos financeiros, na forma estabelecida na Lei e demais regulamentos. 

Seção III

Da supervisão

Seção II

Do Programa de Governança em Privacidade ? PGP

Art. 54 A supervisão do acesso a dados compartilhados no âmbito dessa Portaria será exercida pela Senatran, com apoio de seus operadores, e consiste no planejamento, execução e avaliação de ações que visem garantir a conformidade nos acessos aos dados de seus sistemas e subsistemas informatizados de trânsito, coibindo o uso indevido, e denunciando eventuais irregularidades à ANPD.

Art. 55 A supervisão do acesso a dados será exercida em três níveis, de forma progressiva e ascendente:

I ? nível um: monitoramento;

II ? nível dois: auditoria remota; e

III ? nível três: auditoria in loco.

Parágrafo único. Em caso de denúncias de irregularidades no acesso a dados dos sistemas e subsistemas informatizados de trânsito da Senatran, a apuração não estará vinculada à progressividade indicada no caput, optando-se pelo nível de supervisão mais efetivo e célere para o caso, conforme as evidências apresentadas, a gravidade e a conveniência e oportunidade da área técnica da Senatran responsável.

Art. 56 O monitoramento será realizado de forma contínua pelos técnicos da Senatran, com apoio de seus operadores.

Parágrafo único. Os usuários e usuários imediatos poderão ser instados a se manifestar, a qualquer tempo, acerca dos acessos verificados pela Senatran, devendo responder de forma tempestiva às solicitações.

Art. 57 Para a execução da supervisão de nível dois, o usuário ou usuário imediato deverá fornecer à Senatran módulo de perfil de acesso de auditoria a todos os sistemas e aplicações que utilizem dados de seus sistemas e subsistemas informatizados de trânsito.

§ 1º O módulo de perfil de acesso de auditoria de que trata o caput tem como objetivo o auxílio ao controlador no acompanhamento do uso de seus dados em conformidade à Lei, aos regulamentos, ao disciplinado nesta Portaria e nos manuais técnicos e ao TA expedido.

§ 2º As especificações mínimas do módulo de perfil de acesso de auditoria serão estabelecidas em manual técnico elaborado pela Senatran.

§ 3º O módulo de perfil de acesso de auditoria não poderá permitir quaisquer modificações pelos técnicos da Senatran no ambiente tecnológico e de banco de dados dos usuários e usuários imediatos, possibilitando apenas observação e análise.

§ 4º Incluem-se na supervisão de nível dois a realização de chamadas de vídeo com os representantes legais e técnicos dos usuários e usuários imediatos, e seus indicados, bem como a solicitação de documentos e informações.

Art. 58 A supervisão de nível três será executada nas instalações físicas do usuário ou usuário imediato.

§ 1º A Senatran oficiará previamente o interessado acerca da auditoria in loco, alinhando a agenda para a visita de seus técnicos.

§ 2º O usuário ou usuário imediato deverá indicar responsável por acompanhar a equipe da Senatran em todo o tempo de permanência em suas instalações.

§ 3º O acesso às instalações e informações requisitadas deverá ser garantido, de modo a não comprometer o processo de supervisão.

§ 4º As informações obtidas pelos técnicos da Senatran que estejam sob sigilo empresarial permanecerão restritas, e serão utilizadas com o único objetivo de subsidiar o processo de supervisão.

Art. 59 De forma a mitigar a ocorrência de danos de difícil reparação à proteção dos dados restritos, os usuários e usuários imediatos estarão sujeitos à aplicação das seguintes medidas pela Senatran:

I ? limitação no volume de acesso a dados;

II ? bloqueio parcial ou total dos acessos;

III ? suspensão parcial ou total dos acessos; ou

IV ? revogação parcial ou total de acessos.

Art. 60 A limitação no volume de acesso a dados poderá ser aplicada pela Senatran sempre que for detectada volumetria de acessos que enseje risco à conformidade do processo de acesso a dados.

Parágrafo único. A limitação no volume será retirada tão logo o risco à conformidade do processo de acesso a dados seja afastado ou mitigado.

Art. 61 O bloqueio dos acessos será aplicado:

I ? na hipótese de inadimplemento no pagamento dos valores devidos aos operadores; ou

II ? como medida cautelar preparatória quando da instrução de processo de suspensão de acessos.

§ 1º O usuário ou usuário imediato será notificado eletronicamente acerca do bloqueio de que trata o caput, por meio dos canais de contato indicados, conforme art. 25, IV.

§ 2º O bloqueio de que trata o caput será parcial ou total, conforme o caso concreto.

§ 3º O bloqueio nos acessos é medida temporária, e não altera o TA vigente, sendo revogado tão logo cesse a causa que o ensejou.

§ 4º Na incidência do disposto no inciso I, a não regularização no pagamento dos valores após a notificação eletrônica de que trata o § 1º poderá ensejar na abertura de processo administrativo de suspensão dos acessos, conforme art. 62.

Art. 62 A suspensão dos acessos ocorrerá por abertura de processo administrativo na Senatran que vise apurar eventuais irregularidades nos procedimentos de acesso a dados.

§ 1º A suspensão de que trata o caput será precedida de bloqueio parcial ou total, conforme disposto no art. 61, II e § 4º, sempre que houver indícios mínimos de materialidade das irregularidades.

§ 2º A área técnica da Senatran responsável pela investigação concluirá pela necessidade de aplicação da suspensão dos acessos, de maneira parcial ou total, conforme a gravidade evidenciada no caso concreto.

§ 3º A suspensão de que trata o caput será aplicada pela diretoria responsável pelos processos de acesso a dados da Senatran, e o usuário ou usuário imediato será notificado eletronicamente acerca da decisão, por meio dos canais de contato indicados, conforme art. 25, IV.

§ 4º Será assegurado o contraditório e ampla defesa, devendo o usuário ou usuário imediato interpor recurso da decisão de suspensão, caso tenha interesse, junto à autoridade máxima da Senatran, no prazo máximo de trinta dias contados da notificação eletrônica de que trata o § 3º.

§ 5º Caso o interessado não se manifeste ou os elementos que levaram à aplicação da suspensão permaneçam, poderá ser aplicada a medida de revogação dos acessos, conforme art. 63.

§ 6º A suspensão parcial ou total dos acessos é medida temporária, e não altera o TA vigente, sendo revogada no deferimento do recurso de que trata o § 4º ou caso as causas que a ensejaram cessem.

Art. 63 A revogação dos acessos implica na retirada unilateral, pela Senatran, da autorização de acesso a dados concedida, de maneira parcial ou total, e será sempre precedida da instauração de processo administrativo de suspensão dos acessos, conforme disciplinado no art. 62.

§ 1º A revogação dos acessos, de forma parcial ou total, possui caráter permanente, e ensejará na alteração do TA, conforme o caso.

§ 2º A decisão pela revogação de que trata o caput é da autoridade máxima da Senatran, e será publicada no DOU.

§ 3º Caso a revogação dos acessos decorra da prática de irregularidades de natureza grave, a decisão de que trata o § 2º poderá incluir o impedimento de novas autorizações de acesso a dados por parte da pessoa jurídica no período de até dois anos, contados da data da publicação da decisão no DOU.

Art. 64 As medidas previstas no art. 59 não elidem a execução dos procedimentos de fiscalização e aplicação de sanções de competência da ANPD, conforme disciplina a Lei nº 13.709, de 2018.

Parágrafo único. A Senatran, dentro de suas atribuições, colaborará com as atividades desenvolvidas pela ANPD, inclusive no encaminhamento dos processos administrativos de revogação de acesso a dados.

Art. 65 Todas as denúncias de desconformidade no uso de dados dos sistemas e subsistemas informatizados da Senatran serão tratadas pelos seus canais oficiais resguardado o sigilo da fonte.

CAPÍTULO V

Disposições Finais

Art. 66 Os TA expedidos a pessoas jurídicas de direito privado antes da vigência dessa Portaria serão revogados até 31 de dezembro de 2024.

§ 1º Caso haja interesse na manutenção do acesso a dados, as pessoas jurídicas de direito privado terão até a data definida no caput para protocolar novos requerimentos de acesso, em conformidade ao disciplinado nesta Portaria, mantendo os acessos na forma anteriormente definida até a conclusão da análise.

§ 2º O prazo previsto no caput não elide a revogação dos acessos por inconformidades no processo de acesso a dados, mesmo que decorrentes de TA expedido em período anterior à vigência desta Portaria.

Art. 67 Os TA expedidos a pessoas jurídicas de direito público antes da vigência dessa Portaria continuarão ativos até o seu tratamento pela Senatran em procedimento específico.

Art. 68 Fica revogada a Portaria nº 922, de 20 de julho de 2022.

Art. 69 Esta Portaria entra em vigor em 1º de novembro de 2024.