quarta-feira, 29 de setembro de 2021

LEI N° 14.206 / 2021 - Institui o Documento Eletrônico de Transporte (DT-e)

Institui o Documento Eletrônico de Transporte (DT-e); e altera a Lei n° 11.442, de 5 de janeiro de 2007, a Lei n° 13.703, de 8 de agosto de 2018, a Lei n° 10.209, de 23 de março de 2001, a Lei n° 5.474, de 18 de julho de 1968, a Lei n° 10.833, de 29 de dezembro de 2003, e a Lei n° 8.935, de 18 de novembro de 1994.

O PRESIDENTE DA REPÚBLICA

Faço saber que o Congresso Nacional decreta e eu sanciono a seguinte

LEI:

CAPÍTULO I
DISPOSIÇÕES GERAIS

Art. 1° É instituído o Documento Eletrônico de Transporte (DT-e), exclusivamente digital, de geração e emissão prévias obrigatórias à execução da operação de transporte de carga no território nacional.

§ 1° Regulamento disporá sobre as hipóteses em que o DT-e é dispensado.

§ 2° Para fins do disposto no § 1° deste artigo, poderão ser considerados os seguintes critérios para a dispensa do DT-e:

I - características, tipo, peso ou volume total da carga;

II - origem e destino do transporte dentro dos limites do mesmo Município;

III - distância da viagem, quando origem e destino do transporte se localizarem em Municípios distintos e contíguos;

IV - transporte para coleta de produtos agropecuários perecíveis diretamente no produtor rural; e

V - coleta de mercadorias a serem consolidadas, conforme previsto no § 3° do art. 14 desta Lei, e entrega de mercadorias após desconsolidação.

§ 3° O DT-e será documento obrigatório de registro, caracterização, informação, monitoramento e fiscalização da operação de transporte.

Art. 2° Para fins do disposto nesta Lei, consideram-se:

I - operação de transporte de carga: a viagem de transporte de carga própria ou de terceiros com fins lucrativos, no âmbito do Sistema Nacional de Viação (SNV), de que trata o art. 2° da Lei n° 12.379, de 6 de janeiro de 2011, ou a movimentação de volume de produto pelo modo dutoviário;

II - embarcador: o proprietário da carga ou o contratante do transporte remunerado, inclusive quando for expedidor ou consignatário da carga;

III - geração de DT-e: o preenchimento manual ou automatizado dos campos de dados dos formulários eletrônicos do DT-e por meio de sistema ou de aplicativo específico;

IV - emissão de DT-e: o serviço de validação e ativação do DT-e gerado para uso na operação de transporte;

V - cancelamento de DT-e: o serviço de desconstituição de DT-e emitido de modo a torná-lo sem efeito para a operação de transporte e para eventual emissão de duplicata escritural;

VI - evento no DT-e: a alteração ou a inclusão de informações durante a operação de transporte;

VII - encerramento de DT-e: o evento registrado no DT-e emitido que indica a conclusão do serviço de transporte;

VIII - coleta de mercadorias: operação de transporte de retirada de mercadorias destinadas à consolidação, do estabelecimento do embarcador ao da transportadora; e

IX - entrega de mercadorias: operação de transporte de distribuição de mercadorias após desconsolidação, do estabelecimento da transportadora ao destinatário final.

Parágrafo único. Exclui-se do disposto no inciso II do caput deste artigo o expedidor ou o consignatário que não seja o próprio contratante do serviço de transporte.

Art. 3° São objetivos do DT-e:

I - unificar, reduzir e simplificar dados e informações sobre cadastros, registros, licenças, certidões, autorizações e seus termos, permissões e demais documentos similares de certificação, anuência ou liberação decorrentes de obrigações administrativas exigidas por órgãos e por entidades intervenientes nos âmbitos federal, estadual, distrital e municipal, para a realização e a contratação da operação de transporte;

II - subsidiar a formulação, o planejamento e a implementação de ações no âmbito das políticas de logística e transporte, de modo a propiciar a integração das modalidades de transporte umas com as outras, inclusive com o transporte dutoviário e as suas interfaces intermodais e, quando viável, a empreendimentos de infraestrutura e serviços públicos não relacionados manifestamente a transportes; e

III - subsidiar o planejamento, a execução e a promoção de atividades de absorção e transferência de tecnologia no setor de transportes.

Art. 4° Os órgãos e as entidades da administração pública federal intervenientes em operações de transporte deverão unificar no DT-e os documentos e as demais obrigações administrativas de sua competência relacionados às operações de que trata esta Lei.

§ 1° O DT-e contemplará dados e informações cadastrais, contratuais, logísticas, registrais, sanitárias, de segurança, ambientais, comerciais e de pagamento, inclusive valor do frete e dos seguros contratados, bem como informações decorrentes de outras obrigações administrativas relacionadas às operações de transporte de que trata esta Lei, na forma prevista em regulamento, assegurados a segurança dos dados e o sigilo fiscal, bancário e comercial das informações contempladas.

§ 2° As obrigações administrativas a serem instituídas por órgãos e por entidades da administração pública federal intervenientes em operações de transporte serão originalmente criadas de modo que seu cumprimento seja efetivado por meio de procedimento exclusivamente em formato eletrônico e integrado ao DT-e, na forma prevista em regulamento.

§ 3° A União poderá celebrar convênios com os Estados, os Municípios ou o Distrito Federal para incorporar ao DT-e as obrigações e os documentos vigentes decorrentes de leis e de atos normativos estaduais, municipais ou distritais incidentes sobre as operações de transporte e para atingir os objetivos de que trata o art. 3° desta Lei.

§ 4° Os convênios de que trata o § 3° deste artigo terão como cláusula a descontinuidade gradativa dos documentos físicos a serem incorporados ao DT-e que são de competência dos respectivos entes convenentes, no prazo máximo de 12 (doze) meses.

§ 5° A unificação de documentos e demais obrigações administrativas de que trata o caput deste artigo deverá desobrigar o transportador ou o condutor do veículo de portar versão física dos mesmos documentos ou obrigações durante as operações de transporte nas quais sejam exigidos.

§ 6° Como norma geral, as obrigações administrativas em matéria de transporte de carga no País a serem instituídas, a partir da vigência desta Lei, por órgãos e por entidades da administração pública estadual, municipal e distrital intervenientes em operações de transporte serão originalmente criadas para cumprimento por meio de procedimento em formato exclusivamente eletrônico.

Art. 5° Compete à União:

I - explorar direta ou indiretamente o serviço de emissão de DT-e;

II - definir e gerir a política pública do DT-e;

III - instituir comitê gestor entre órgãos e entidades da administração pública federal e entidades representativas do setor de transportes e da sociedade civil, com finalidade de propor, coordenar, acompanhar, informar e avaliar a política pública do DT-e e de assegurar a sua transparência, a consecução de seus objetivos e o seu aperfeiçoamento contínuo;

IV - editar normas e regulamentos relativos ao DT-e;

V - fiscalizar as entidades geradoras de DT-e; e

VI - proceder à revisão e ao reajuste de tarifas do serviço de emissão do DT-e conforme as disposições contratuais.

Art. 6° A fiscalização do cumprimento da obrigatoriedade do uso do DT-e na operação de transporte ficará a cargo da agência reguladora competente, na forma prevista em regulamento.

Art. 7° As informações disponíveis no banco de dados da plataforma DT-e serão disponibilizadas aos órgãos e às entidades da administração pública federal intervenientes na operação de transporte para a sua fiscalização, observado o disposto na Lei n° 13.709, de 14 de agosto de 2018.

Parágrafo único. Os órgãos de segurança pública terão acesso ao banco de dados referido no caput deste artigo por meio do Sistema Nacional de Informações de Segurança Pública, Prisionais e sobre Drogas (Sinesp).

Art. 8° Sem prejuízo do disposto no art. 6° desta Lei, a Polícia Rodoviária Federal atuará na fiscalização do cumprimento da exigência de emissão de DT-e em operações de transporte que ocorrerem em rodovias e estradas federais.

Art. 9° As polícias militares, os órgãos e as entidades executivos rodoviários e executivos de trânsito e os órgãos fazendários dos Estados e do Distrito Federal poderão atuar na fiscalização do cumprimento da exigência de emissão do DT-e em operações de transporte que ocorrerem nas rodovias e estradas no âmbito de suas circunscrições, mediante celebração de convênio, a manifesto interesse da União, com estrita observância do que dispõem leis e regulamentos.

CAPÍTULO II
DA GERAÇÃO DO DOCUMENTO ELETRÔNICO DE TRANSPORTE (DT-E)

Art. 10. O DT-e será gerado por pessoa jurídica de direito privado denominada entidade geradora de DT-e, registrada pelo Ministério da Infraestrutura, na forma prevista em regulamento.

§ 1° O registro da entidade geradora é automático e efetivado no momento da primeira emissão de DT-e gerado.

§ 2° Os serviços de geração de DT-e executados em nome de terceiros, além de outros correlatos ofertados por entidade geradora de DT-e, na forma prevista no caput deste artigo, são de natureza privada e comercial, em regime de livre concorrência.

§ 3° O gerador poderá fazer uso de sistema próprio, ou, alternativamente, usar sistema de entidade geradora de DT-e registrada no Ministério da Infraestrutura na forma de regulamento.

§ 4° Dados de identificação exigidos para geração do DT-e poderão ser validados ou autenticados por solicitação do embarcador, do contratante de serviços de transporte remunerado, do transportador ou diretamente pela entidade geradora a que se refere o caput deste artigo, por meio da integração de seus sistemas próprios com os sistemas das centrais de serviços eletrônicos compartilhados e respectivos serviços de natureza complementar de validação ou autenticação prestados por:

I - registradores civis, na forma da Lei n° 6.015, de 31 de dezembro de 1973; ou

II - autoridades certificadoras credenciadas na Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil), fornecedoras de assinaturas eletrônicas qualificadas de que trata o inciso III do caput do art. 4° da Lei n° 14.063, de 23 de setembro de 2020.

§ 5° Os serviços de validação ou autenticação a que se refere o § 4° deste artigo serão prestados de forma gratuita, sem custas, emolumentos e outras despesas exigíveis, ao Transportador Autônomo de Cargas (TAC), na condição de pessoa física, mediante prévia celebração de convênio com a União.

CAPÍTULO III
DA EMISSÃO DO DOCUMENTO ELETRÔNICO DE TRANSPORTE (DT-E)

Seção I
Do Serviço de Emissão

Art. 11. O serviço de emissão do DT-e poderá ser explorado diretamente pelo Ministério da Infraestrutura ou por meio de concessão ou de permissão, nos termos do art. 175 da Constituição Federal e da Lei n° 8.987, de 13 de fevereiro de 1995.

Parágrafo único. O serviço de emissão do DT-e poderá ser delegado por convênio entre o Ministério da Infraestrutura e as entidades da administração pública federal indireta.

Art. 12. O DT-e será emitido por pessoa jurídica denominada entidade emissora de DT-e, na forma prevista no art. 11 desta Lei.

Parágrafo único. A entidade emissora de DT-e deverá ser capaz de instituir sistemas e serviços para troca de informações com o Banco Central do Brasil, com instituições financeiras públicas e privadas de que trata a Lei n° 4.595, de 31 de dezembro de 1964, e com instituições de pagamento de que trata o art. 6° da Lei n° 12.865, de 9 de outubro de 2013, nos termos de regulamento.

Art. 13. Poderão ser utilizados como fatura, para fins de emissão de duplicata escritural, na forma prevista na Lei n° 13.775, de 20 de dezembro de 2018, a critério do responsável pela emissão da duplicata:

I - o DT-e; e

II - o Manifesto Eletrônico de Documentos Fiscais (MDF-e), inclusive aquele gerado a partir da Nota Fiscal Fácil, instituído em ajuste celebrado entre o Conselho Nacional de Política Fazendária e a Secretaria Especial da Receita Federal do Brasil do Ministério da Economia.

Parágrafo único. A entidade emissora de DT-e deverá ser capaz de instituir sistemas e serviços para troca de informações com entidades que exerçam a atividade de escrituração de duplicatas escriturais, na forma prevista em regulamentação estabelecida pelo órgão ou pela entidade da administração pública federal a que se refere o § 1° do art. 3° da Lei n° 13.775, de 20 de dezembro de 2018.

Seção II
Das Obrigações

Art. 14. Constituem obrigação do embarcador ou do proprietário de carga ou do transportador ou do contratante de serviços de transporte ou do transportador autônomo ou a esse equiparado, seus prepostos ou representantes legais, a geração, a solicitação de emissão, o cancelamento e o encerramento do DT-e emitido e tarifado por operação de transporte de carga, na forma prevista nesta Lei e em seu regulamento.

§ 1° Deverá ser emitido apenas um DT-e na hipótese de operação de transporte multimodal de cargas realizada por operador de transporte multimodal, ou sob sua responsabilidade, nos termos do art. 5° da Lei n° 9.611, de 19 de fevereiro de 1998.

§ 2° Sem prejuízo do disposto no § 1° deste artigo, na hipótese de transporte dutoviário, a geração e a emissão do DT-e são obrigação do transportador.

§ 3° Em operações de transporte de carga fracionada oriunda de diferentes embarcadores e consolidada pelo transportador para carregamento no mesmo veículo, o transportador ficará responsável pela geração e pela solicitação de emissão de DT-e único que englobe todos os contratos de transporte envolvidos, e caberá aos embarcadores contratantes o rateio proporcional dos custos incorridos.

§ 4° Na hipótese de o transportador contratado pelo embarcador ou o proprietário da carga decidir por subcontratar, mesmo que por meio de empresa intermediária, TAC ou equiparado, conforme definido na Lei n° 11.442, de 5 de janeiro de 2007, o subcontratante deverá enviar tempestivamente o DT-e emitido ao subcontratado e informar a subcontratação por meio de identificação própria no DT-e.

§ 5° Na hipótese de transporte por conta de terceiro mediante remuneração e que não envolva subcontratação de TAC ou equiparado, a obrigação da qual trata o caput deste artigo será definida entre contratante e contratado.

§ 6° O acesso às informações registradas no DT-e deverá ser segregado, ficando restrito a cada um dos agentes o conhecimento das condições relacionadas apenas ao contrato em que é parte.

Art. 15. O serviço de emissão do DT-e será remunerado pelo responsável pela solicitação de emissão do DT-e conforme tarifas específicas incidentes por unidade de DT-e emitido ou cancelado, na forma prevista em regulamento.

Parágrafo único. A entidade emissora de DT-e poderá explorar outras fontes provenientes de receitas alternativas, complementares, acessórias ou de projetos associados, conforme estabelecido em contrato.

CAPÍTULO IV
DAS INFRAÇÕES E DAS PENALIDADES

Art. 16. Constitui infração punível com fundamento no disposto nesta Lei:

I - operar transporte sem prévia emissão do respectivo DT-e;

II - não disponibilizar DT-e emitido ao TAC, conforme previsto no art. 14 desta Lei;

III - gerar, utilizar, cancelar, inserir evento ou encerrar DT-e em desconformidade com o disposto nesta Lei ou em seu regulamento;

IV - condicionar o transportador a utilizar conta de depósitos ou de pagamento específica para a operação contratada, distinta daquela de livre escolha do TAC ou equiparado; e

V - descontar o valor do custo de geração ou a tarifa de emissão do DT-e do valor do frete contratado, de modo a acarretar prejuízo ao transportador.

Parágrafo único. O disposto neste artigo aplica-se à pessoa física ou jurídica que, ao contratar, subcontratar, executar, intermediar ou intervir direta ou indiretamente na operação de transporte, cometer as infrações previstas no caput deste artigo, sem prejuízo das sanções cíveis e penais cabíveis.

Art. 17. As infrações previstas no art. 16 desta Lei, provocadas ou cometidas, isolada ou conjuntamente, sujeitarão os infratores, de acordo com a gravidade da falta, às seguintes penalidades, nesta ordem:

I - advertência; e

II - multa.

§ 1° Além das sanções previstas nos incisos I e II do caput deste artigo, as entidades geradoras definidas no art. 10 desta Lei estarão sujeitas às seguintes penalidades, nesta ordem:

I - suspensão temporária do registro de entidades geradoras de DT-e, caso em que ficará impedida de gerar DT-e por período de 30 (trinta) a 180 (cento e oitenta) dias; e

II - cancelamento definitivo do registro de entidade geradora de DT-e, no caso de comprovada reincidência, durante ou após cumprimento de suspensão temporária.

§ 2° Os valores da multa a que se refere o inciso II do caput deste artigo serão definidos em regulamento, de acordo com a infração cometida, a gravidade da conduta e as características da operação de transporte.

§ 3° Os valores da multa a que se refere o inciso II do caput deste artigo serão estabelecidos entre o mínimo de R$ 550,00 (quinhentos e cinquenta reais) e o máximo de R$ 1.000.000,00 (um milhão de reais), de acordo com o modo de transporte e os valores dos fretes informados no DT-e, na forma prevista em regulamento e pela agência reguladora competente.

§ 4° No caso do transporte rodoviário de carga, os valores da multa a que se refere o § 3° deste artigo não poderão ultrapassar R$ 10.500,00 (dez mil e quinhentos reais).

§ 5° Os valores da multa estabelecidos nos §§ 3° e 4° deste artigo poderão ser anualmente atualizados por meio de ato conjunto do Ministro de Estado da Infraestrutura e do Ministro de Estado de Minas e Energia, com base em índice de inflação a ser definido em regulamento.

§ 6° Regulamento que dispuser sobre as penalidades estabelecidas no caput deste artigo deverá tipificar individualmente as punições e as medidas administrativas a serem aplicadas ao infrator, classificar a gravidade da infração e definir expressamente os valores das respectivas multas e definir os critérios e as instâncias de recurso contra a infração.

§ 7° Em nenhuma hipótese será admitida a aplicação de penalidade que não esteja expressamente definida em regulamento e em conformidade com o § 6° deste artigo.

§ 8° As penalidades de que tratam o inciso II do caput deste artigo e o § 1° deste artigo poderão ser cumulativas, sem prejuízo de outras aplicáveis de acordo com legislação específica.

§ 9° No âmbito do processo administrativo sancionador, as notificações de autuação poderão ser encaminhadas por meio eletrônico para endereço eletrônico cadastrado formalmente para esse fim, de forma a assegurar a ciência da imposição da penalidade, nos termos de regulamento.

§ 10. A pena de advertência será aplicada quando a infração tratar de irregularidade sanável, expedida notificação com intuito orientativo e com prazo para o autuado sanar a irregularidade, e, caso não sanada a irregularidade, será expedida nova notificação com a aplicação da penalidade correspondente.

§ 11. O cometimento de 2 (duas) ou mais infrações, ainda que na mesma operação de transporte, ensejará a aplicação das respectivas penalidades, cumulativamente.

§ 12. A notificação de autuação será expedida no prazo máximo de 30 (trinta) dias, contado da data do cometimento da infração, sob pena de o auto de infração ser arquivado e seu registro julgado insubsistente.

§ 13. A dosimetria das sanções de multa e de suspensão temporária considerará a gravidade da conduta, na forma prevista em regulamento.

§ 14. Da autuação e da aplicação de sanção caberá a apresentação, respectivamente, de defesa e de recurso pelo autuado, no prazo estabelecido em norma do órgão fiscalizador competente.

§ 15. Prescreve em 12 (doze) meses o prazo para cobrança da pena de multa, a contar da notificação de autuação.

Art. 18. A Lei n° 11.442, de 5 de janeiro de 2007, passa a vigorar com as seguintes alterações, numerando-se o atual parágrafo único do art. 5° como § 1°:

"Art. 2° .................................................................................................................

.........................................................................................................................................

III - Cooperativa de Transporte Rodoviário de Cargas (CTC), sociedade cooperativa na forma da lei, constituída por pessoas físicas e/ou jurídicas, que exerce atividade de transporte rodoviário de cargas;

................................................................................................................................" (NR)

"Art. 5° ..................................................................................................................

§ 1° (Revogado).

§ 2° No caso de contratação direta do TAC pelo proprietário da mercadoria, a relação dar-se-á nos termos desta Lei e será considerada de natureza comercial, conforme o caput deste artigo." (NR)

"Art. 5°-A. O pagamento do frete do transporte rodoviário de cargas ao TAC será efetuado em conta de depósito ou em conta de pagamento pré-paga mantida em instituição autorizada a funcionar pelo Banco Central do Brasil, de livre escolha do TAC prestador do serviço, e informado no Documento Eletrônico de Transporte (DT-e).

§ 1° A conta de depósito à vista, de poupança ou pré-paga deverá ser de titularidade do TAC, cônjuge, companheira ou parente em linha reta ou colateral até o segundo grau, indicada expressamente pelo TAC, vedada a imposição por parte do contratante, e identificada no DT-e.

..........................................................................................................................................

§ 5° O extrato da conta de depósito ou da conta de pagamento pré-paga de que trata o caput deste artigo, com as movimentações relacionadas aos pagamentos das obrigações estabelecidas em DT-e, servirá como forma de comprovação de rendimentos do TAC.

..........................................................................................................................................

§ 7° As custas com a geração e a emissão de DT-e, as tarifas bancárias e as demais custas decorrentes da operação de pagamento do frete contratado correrão à conta do responsável pelo pagamento, sem ônus ao TAC.

§ 8° As informações para o pagamento a que se refere o caput deste artigo e o valor da transação deverão ser identificados no DT-e emitido.

§ 9° Constituirá prova de pagamento total ou parcial do serviço identificado no DT-e o extrato do pagamento pela instituição pagadora em favor do legítimo credor na forma prevista no caput deste artigo.

§ 10. O TAC poderá ceder, inclusive fiduciariamente, endossar ou empenhar títulos ou instrumentos representativos dos direitos creditórios constituídos ou a constituir referentes ao pagamento do frete do transporte rodoviário de cargas, observado que:

I - o pagamento do frete será feito em favor do cessionário, do endossatário ou do credor pignoratício, desde que o devedor seja devidamente notificado da cessão do crédito, vedado o pagamento diretamente ao TAC; e

II - o disposto nos §§ 1°, 4°, 6° e 7° do caput deste artigo não será aplicado." (NR)

"Art. 5°-B. É facultado ao TAC contratar pessoa jurídica para administrar seus direitos relativos à prestação de serviços de transporte.

§ 1° A pessoa jurídica de que trata o caput deste artigo é responsável pela adequação dos documentos legais do TAC que a contratou, bem como pelas obrigações fiscais inerentes à geração, à emissão e ao recolhimento de tributos de qualquer espécie ou natureza, aplicado o disposto no inciso III do caput do art. 134 da Lei Complementar n° 5.172, de 25 de outubro de 1966.

§ 2° As entidades representativas dos TACs são autorizadas a atuar como administradora nos termos deste artigo.

§ 3° Recebido o valor do frete pelo TAC conforme disposto no art. 5°-A desta Lei, competirá à administradora de que trata o caput deste artigo:

I - controlar, emitir e gerir os documentos, inclusive fiscais, inerentes à operação de transporte;

II - reter e recolher os tributos incidentes, bem como encaminhar ao TAC os comprovantes de pagamento.

§ 4° A pessoa jurídica de que trata o caput deste artigo não poderá ser ou estar vinculada como administradora ou sócia, direta ou indireta, de empresa distribuidora de combustíveis, de rede de revendedores ou de revendedor varejista de combustíveis."

"Art. 6°-A. As informações relativas à comprovação dos pagamentos efetuados no âmbito de contrato celebrado entre embarcador, proprietário da carga, consignatário ou contratante dos serviços de transporte rodoviário de cargas e o transportador ou seu subcontratado deverão ser consignadas pelo pagador em campos próprios do respectivo DT-e.

§ 1° O disposto no caput deste artigo aplica-se às informações relativas à importância decorrente do tempo adicional sobre o prazo máximo para carga e descarga do veículo de transporte rodoviário de cargas, nos termos do § 5° do art. 11 desta Lei e, se aplicável, aos pagamentos antecipados do Vale-Pedágio obrigatório instituído pela Lei n° 10.209, de 23 de março de 2001.

§ 2° Para fins de cumprimento do previsto no caput deste artigo, o Banco Central do Brasil, as instituições financeiras públicas e privadas de que trata a Lei n° 4.595, de 31 de dezembro de 1964, e as instituições de pagamento de que trata o art. 6° da Lei n° 12.865, de 9 de outubro de 2013, realizarão troca de informações com a entidade emissora de DT-e a que se refere o art. 11 desta Lei, assegurado o sigilo bancário."

"Art. 11. .................................................................................................................

..........................................................................................................................................

§ 9° O embarcador e o destinatário da carga são obrigados a informar ao transportador em campo específico do DT-e o horário de chegada do caminhão nas dependências dos respectivos estabelecimentos, sob pena de serem punidos com multa a ser aplicada pela ANTT, que não excederá a 5% (cinco por cento) do valor da carga.

§ 10. No âmbito do processo administrativo sancionador, as notificações de autuação poderão ser encaminhadas por meio eletrônico para endereço eletrônico cadastrado formalmente para esse fim, de forma a assegurar a ciência da imposição da penalidade, nos termos de regulamento.

§ 11. A notificação de autuação será expedida no prazo máximo de 30 (trinta) dias, contado da data do cometimento da infração, sob pena de o auto de infração ser arquivado e seu registro julgado insubsistente.

§ 12. Da autuação e da aplicação de sanção caberá a apresentação, respectivamente, de defesa e de recurso pelo autuado, no prazo estabelecido em norma do órgão fiscalizador competente.

§ 13. Prescreve em 12 (doze) meses o prazo para cobrança da pena de multa a que se refere o § 9° deste artigo, a contar da notificação de autuação." (NR)

"Art. 22-A. As instituições de pagamento que realizam pagamentos eletrônicos de frete, que estejam em funcionamento na data de publicação desta Lei e que não se enquadrem nos critérios previstos na regulamentação para serem autorizadas a funcionar pelo Banco Central do Brasil poderão continuar a ofertar pagamentos eletrônicos de frete.

§ 1° Ao se enquadrar nos critérios a que se refere o caput deste artigo, a instituição de pagamento deverá solicitar ao Banco Central do Brasil autorização para o seu funcionamento.

§ 2° Na hipótese de a solicitação de que trata o § 1° deste artigo ser indeferida, a instituição de pagamento deverá cessar as suas atividades, nos termos da regulamentação do Banco Central do Brasil."

"Art. 22-B. As instituições de pagamento que realizam pagamentos eletrônicos de frete deverão, além dos serviços oferecidos no âmbito do próprio arranjo de pagamento, participar obrigatoriamente do arranjo de pagamentos instantâneos instituído pelo Banco Central do Brasil, na forma e nos termos da regulamentação própria.

§ 1° As instituições de pagamento que, a critério do Banco Central do Brasil, não cumprirem os requisitos de participação estabelecidos no regulamento do arranjo de pagamentos instantâneos referido no caput deste artigo e que, por essa razão, não puderem ofertar o meio de pagamento correspondente ao TAC ou equiparado deverão encerrar a prestação de serviços de pagamentos eletrônicos de frete.

§ 2° Na hipótese prevista no § 1° deste artigo, o Banco Central do Brasil deverá dispor sobre a forma e o prazo de remessa dos recursos pelo prestador de serviços de pagamentos eletrônicos de frete para a conta de depósitos ou para a conta de pagamento indicada pelo TAC ou equiparado."

Art. 19. A relação decorrente dos contratos de transporte de cargas entre o TAC e o proprietário ou consignatário da carga de que trata esta Lei, com exclusividade ou não, ainda que de caráter habitual, é sempre de natureza empresarial e comercial, não constitui relação de trabalho e não enseja, em nenhuma hipótese, a caracterização de vínculo de emprego.

Art. 20. O credor da prestação de serviços de transporte remunerado, devidamente identificado no DT-e da respectiva operação, poderá utilizar o protesto digital e os demais serviços disponibilizados pela central nacional de serviços eletrônicos compartilhados, na forma estabelecida no art. 41-A da Lei n° 9.492, de 10 de setembro de 1997, para fins de cobrança e negociação de seus direitos creditórios, sem qualquer antecipação de custas, de emolumentos e de outras despesas exigíveis.

CAPÍTULO V
DISPOSIÇÕES FINAIS E TRANSITÓRIAS

Art. 21. A Lei n° 13.703, de 8 de agosto de 2018, passa a vigorar com as seguintes alterações:

"Art. 5° ..................................................................................................................

.........................................................................................................................................

§ 4° Os pisos mínimos definidos na norma a que se refere o caput deste artigo têm natureza vinculativa e sua não observância, a partir de 20 de julho de 2018, sujeitará o infrator a indenizar o transportador em valor equivalente a 2 (duas) vezes a diferença entre o valor pago e o que seria devido, anistiadas as indenizações decorrentes de infrações ocorridas até 31 de maio de 2021.

................................................................................................................................" (NR)

"Art. 7° Toda operação de transporte rodoviário de cargas deverá ser realizada por meio de Documento Eletrônico de Transporte (DT-e), previamente emitido, que conterá informações do contratante, do contratado e do subcontratado, quando houver, informações da carga, da origem e do destino e da forma de pagamento do frete e indicação expressa do valor do frete pago ao contratado e ao subcontratado e do piso mínimo de frete aplicável.

Parágrafo único. (Revogado)." (NR)

Art. 22. A Lei n° 10.209, de 23 de março de 2001, passa a vigorar com as seguintes alterações:

"Art. 2° ..................................................................................................................

Parágrafo único. O valor do Vale-Pedágio obrigatório e os dados do modelo próprio, necessários à sua identificação, deverão ser destacados em campo específico no Documento Eletrônico de Transporte (DT-e)." (NR)

"Art. 3° .................................................................................................................

.........................................................................................................................................

§ 2° O Vale-Pedágio obrigatório deverá ser disponibilizado ao transportador contratado para o serviço de transporte pelo embarcador ou equiparado, no valor necessário à livre circulação entre a sua origem e o destino, e a comprovação da antecipação a que se refere o caput deste artigo deverá ser consignada no DT-e.

.........................................................................................................................................

§ 8° O não cumprimento do disposto no caput deste artigo será considerado infração, devendo-se aplicar ao infrator o disposto no art. 8° desta Lei." (NR)

"Art. 5° .......................................................................................................

§ 1° No âmbito do processo administrativo sancionador, as notificações de autuação poderão ser encaminhadas por meio eletrônico para endereço eletrônico cadastrado formalmente para esse fim, de forma a assegurar a ciência da imposição da penalidade, nos termos do regulamento.

§ 2° A notificação de autuação será expedida no prazo máximo de 30 (trinta) dias, contado da data do cometimento da infração, sob pena de o auto de infração ser arquivado e seu registro julgado insubsistente.

§ 3° Da autuação e da aplicação de sanção caberá a apresentação, respectivamente, de defesa e de recurso pelo autuado, no prazo estabelecido em norma do órgão fiscalizador competente.

§ 4° Prescreve em 12 (doze) meses o prazo para cobrança da pena de multa a que se refere o caput deste artigo, a contar da notificação de autuação." (NR)

Art. 23. O art. 20 da Lei n° 5.474, de 18 de julho de 1968, passa a vigorar com a seguinte redação:

"Art. 20. Poderão emitir, na forma prevista nesta Lei, fatura e duplicata:

I - as empresas, individuais ou coletivas, fundações ou sociedades civis que se dediquem à prestação de serviços; e

II - o Transportador Autônomo de Cargas (TAC), de que trata o inciso I do caput do art. 2° da Lei n° 11.442, de 5 de janeiro de 2007.

................................................................................................................................" (NR)

Art. 24. (VETADO).

Art. 25. A Lei n° 8.935, de 18 de novembro de 1994, passa a vigorar acrescida do seguinte art. 42-A:

"Art. 42-A. As centrais de serviços eletrônicos, geridas por entidade representativa da atividade notarial e de registro para acessibilidade digital a serviços e maior publicidade, sistematização e tratamento digital de dados e informações inerentes às atribuições delegadas, poderão fixar preços e gratuidades pelos serviços de natureza complementar que prestam e disponibilizam aos seus usuários de forma facultativa."

Art. 26. O DT-e será implementado no território nacional, na forma e no cronograma estabelecidos por ato do Poder Executivo federal.

§ 1° Os prazos e a forma para que os órgãos e as entidades da administração pública federal intervenientes em operações de transporte unifiquem no DT-e os documentos e as demais obrigações administrativas de sua competência de que trata o art. 4° desta Lei serão estabelecidos em regulamento.

§ 2° As obrigações de que trata o art. 14 desta Lei serão efetivamente exigidas a partir da data estabelecida no cronograma de que trata o caput deste artigo.

Art. 27. (VETADO).

Art. 28. Revoga-se o parágrafo único do art. 7° da Lei n° 13.703, de 8 de agosto de 2018.

Art. 29. Esta Lei entra em vigor:

I - (VETADO); e

II - na data de sua publicação, para os demais dispositivos.

Brasília, 27 de setembro de 2021; 200° da Independência e 133° da República.

JAIR MESSIAS BOLSONARO

ANDERSON GUSTAVO TORRES

PAULO GUEDES

TARCISIO GOMES DE FREITAS

BENTO ALBUQUERQUE

Fonte: D.O.U - 28/09/2021

sexta-feira, 17 de setembro de 2021

SINDILOJAS/Rio de Janeiro - Convenções Coletivas 2021-2022



ne
CONVENÇÕES COLETIVAS 2021-2022

Os presidentes do Sindicato dos Lojistas do Comércio do Município do Rio de Janeiro - SindilojasRio e do Sindicato dos Empregados no Comércio do Rio de Janeiro - SECRJ, Aldo Gonçalves e Marcio Ayer, respectivamente, assinaram ontem (16/9), a nova Convenção Coletiva de Reajuste Salarial dos Comerciários do Rio. Também foram assinadas as convenções de Banco de Horas, Tempo Parcial e Prazo Determinado.

A Assembleia Geral Extraordinária (AGE) para a negociação das Convenções Coletivas se deu nos dias 2 de junho e 31 de agosto. Ao todo, foram realizadas 18 reuniões com o SECRJ, três reuniões com representantes da Fecomércio-RJ, três encontros com a Comissão de Negociação Salarial. quatro audiências de Mediação junto ao Ministério da Economia – SRT (Superintendência Regional do Trabalho) e uma audiência do dissídio coletivo no TRT – Tribunal Regional do Trabalho.

O reajuste concedido de 5% será da seguinte forma:

- Reajuste de 2,5% sobre os salários de maio/2020 para o período compreendido entre maio a setembro 2021; 
- Reajuste de 5% sobre os salários de maio/2020, a ser pago a partir de outubro/2021.


Os referidos índices não são cumulativos, pois são aplicados sobre a mesma base de cálculo. As diferenças salariais decorrentes do período de maio a setembro de 2021 poderão ser realizadas até a folha de pagamento do mês de novembro/2021.

Confira as principais alterações a partir de outubro de 2021:

• Teto de R$ 4.890,00;
• Piso único de R$1.308,30;
• Período de experiência de R$1.176,00;
• Menor Aprendiz de  R$1.176,00;
• Garantia do comissionista de R$1.438,50;
• Ajuda de custo de R$30,00;
• Quebra de Caixa de R$57,00;
• Lanche aos sábados, domingos e feriados no valor de R$25,00;
• Auxílio-creche: empresas com até 50 empregados, no valor de R$205,00; empresas com mais 
de 50 empregados, valor de R$227,00.

Observação: O lanche aos sábados, domingos e feriados no valor de R$25,00 são válidos a partir de setembro.


E para mais informações, entre em contato com o Núcleo Jurídico do SindilojasRio pelo telefone 2217-5062 ou pelo WhatsApp 96479-2512.

LEIA A CCT DE REAJUSTE SALARIAL NA ÍNTEGRA
LEIA A CCT DE BANCO DE HORAS NA ÍNTEGRA
LEIA A CCT DE TEMPO PARCIAL NA ÍNTEGRA
LEIA A CCT DE PRAZO DETERMINADO NA ÍNTEGRA

Fonte: Notícias Expressas SINDILOJAS/Rio - 17/09/2021

IOF - Alteração de Alíquotas

DECRETO Nº 10.797, DE 16 DE SETEMBRO DE 2021

Altera o Decreto nº 6.306, de 14 de dezembro de 2007, que regulamenta o Imposto sobre Operações de Crédito, Câmbio e Seguro, ou relativas a Títulos ou Valores Mobiliários - IOF.

O PRESIDENTE DA REPÚBLICA, no uso das atribuições que lhe conferem os art. 84,caput, inciso IV, e art. 153, § 1º, da Constituição, e tendo em vista o disposto na Lei nº 5.143, de 20 de outubro de 1966, no Decreto-Lei nº 1.783, de 18 de abril de 1980, e na Lei nº 8.894, de 21 de junho de 1994,

D E C R E T A :

Art. 1º O Decreto nº 6.306, de 14 de dezembro de 2007, passa a vigorar com as seguintes alterações:

"Art. 7º .................................................................................................................

........................................................................................................................................

§ 22. Nas operações de crédito cujos fatos geradores ocorram entre 20 de setembro de 2021 e 31 de dezembro de 2021, as alíquotas do IOF previstas nos incisos I, II, III, IV, V e VII do caput ficam reduzidas, conforme o caso, a:

I - mutuário pessoa jurídica: 0,00559%;

II - mutuário pessoa física: 0,01118%;

III - mutuário pessoa jurídica: 0,00559% ao dia; e

IV - mutuário pessoa física: 0,01118% ao dia." (NR)

Art. 2º Este Decreto entra em vigor na data de sua publicação.

Brasília, 16 de setembro de 2021; 200º da Independência e 133º da República.

JAIR MESSIAS BOLSONARO

Paulo Guedes

Fonte: D.O.U - 17/09/2021 - Edição: 177 - Seção: 1 - Página: 5

ECF - Publicada Versão 7.0.13 do Programa

Foi publicada a versão 7.0.13 do programa da ECF, com as seguintes alterações:

1 - Correção na geração dos registros K915 e K935.

2 - Melhorias no desempenho do programa no momento da validação do arquivo da ECF.

As instruções referentes ao leiaute 7 constam no Manual da ECF e no arquivo de Tabelas Dinâmicas, disponíveis no link http://sped.rfb.gov.br/pasta/show/1644.

O programa está disponível no link abaixo, a partir da área de downloads do site do Sped:

https://www.gov.br/receitafederal/pt-br/assuntos/orientacao-tributaria/declaracoes-e-demonstrativos/sped-sistema-publico-de-escrituracao-digital/escrituracao-contabil-fiscal-ecf/sped-programa-sped-contabil-fiscal

Fonte: Receita Federal - http://sped.rfb.gov.br/pagina/show/5896

NF-e/NFC-e - Publicada a versão 1.00 da NT 2021.003 da NF-e, que trata da validação do GTIN

Publicada na aba "Documentos", opção "Notas Técnicas", a versão 1.00 da NT 2021.003, que, em substituição à NT2017.001, 
trata das regras de validação relacionadas o preenchimento dos campos cEAN e cEANTrib na Nota Fiscal Eletrônica (NF-e) e 
na Nota Fiscal de Consumidor Eletrônica (NFC-e) quando o produto comercializado possuir código de barras com GTIN.


Em 08 de julho de 2021 foi publicada uma versão preliminar desta Nota Técnica, destinada somente
ao conhecimento por parte das empresas e de seus provedores de solução sobre as alterações nela
introduzidas por meio desta Nota Técnica. A versão 1.00, publicada em setembro de 2021, aproveita
os comentários e sugestões recebidos pela Coordenação Técnica do ENCAT com respeito ao texto da
versão preliminar.

Fonte: Receita Federal e NT 2021.003

NF-e - NT 2016.003 v.2.10 que altera a tabela de NCM com vigência a partir de outubro de 2021

Publicada na aba "Documentos", opção "Notas Técnicas", a versão 2.10 da NT 2016.003, que altera a 
tabela de NCM com vigência a partir de 1º de outubro de 2021.

A "Tabela de NCM e Respectiva Utrib (Comércio Exterior)" será atualizada no Portal da NF-e para incluir
10 novos códigos e exclusão de 10 códigos, a partir de 01/10/2021, devido à publicação no DOU de
13/09/21 da Resolução Gecex nº 245, de 09/09/2021.

quinta-feira, 16 de setembro de 2021

Terceiro Setor-Imunidade Tributária Desconsiderada-Resposta Receita Federal

Assunto: IMPOSTO SOBRE A RENDA DE PESSOA JURÍDICA - IRPJ
ORGANIZAÇÃO DA SOCIEDADE CIVIL. IMUNIDADE E ISENÇÃO. PARTICIPAÇÃO SOCIETÁRIA. VEDAÇÃO.

A aquisição de participação societária por parte das organizações sociais qualificadas a gozar de imunidade e isenção tributárias, afasta o direito ao gozo das benesses fiscais por contrariedade ao requisito de que todas as rendas, recursos e eventual superávit sejam aplicados integralmente na manutenção dos seus objetivos, que devem ser a prestação de serviços nas áreas de assistência social, saúde ou educação, sem fins lucrativos, e não a participação em sociedade empresária, que possui inerente fim lucrativo.
SOLUÇÃO DE CONSULTA PARCIALMENTE VINCULADA À SOLUÇÃO DE CONSULTA COSIT Nº 524, DE 4 DE DEZEMBRO DE 2017.

Dispositivos Legais: Constituição Federal de 1988, art. 150, VI, "c" e §4º; Lei nº 5.172, de 1966 (Código Tributário Nacional- CTN), arts. 9º e 14; Lei nº 9.532, de 1997, arts. 12 e 15.

Assunto: CONTRIBUIÇÃO SOCIAL SOBRE O LUCRO LÍQUIDO - CSLL
ORGANIZAÇÃO DA SOCIEDADE CIVIL. IMUNIDADE E ISENÇÃO. PARTICIPAÇÃO SOCIETÁRIA. VEDAÇÃO.

A aquisição de participação societária por parte das organizações sociais qualificadas a gozar de imunidade e isenção tributárias, afasta o direito ao gozo das benesses fiscais por contrariedade ao requisito de que todas as rendas, recursos e eventual superávit sejam aplicados integralmente na manutenção dos seus objetivos, que devem ser a prestação de serviços nas áreas de assistência social, saúde ou educação, sem fins lucrativos, e não a participação em sociedade empresária, que possui inerente fim lucrativo.
SOLUÇÃO DE CONSULTA PARCIALMENTE VINCULADA À SOLUÇÃO DE CONSULTA COSIT Nº 524, DE 4 DE DEZEMBRO DE 2017.

Dispositivos Legais: Constituição Federal de 1988, art. 195, §7º; Lei nº 5.172, de 1966 (Código Tributário Nacional- CTN), arts. 9º e 14; Lei nº 9.532, de 1997, arts. 12 e 15.

FERNANDO MOMBELLI
Coordenador-Geral

Fonte: D.O.U - 16/09/2021 - Seção 1 - Página 35

quinta-feira, 9 de setembro de 2021

Nota Fiscal Eletrônica de Energia Elétrica/Paraná - Receita Estadual lança sistema para emissão

Receita Estadual do Paraná lança sistema para emissão da nova Nota Fiscal de Energia Elétrica© SEFA

O cidadão paranaense vai começar a receber a nova Nota Fiscal Eletrônica de Energia Elétrica. A Receita Estadual 
do Paraná lançou na última semana um novo documento fiscal eletrônico: a Nota Fiscal de Energia Elétrica Eletrônica - 
NF3e (modelo 66) para os contribuintes paranaenses do ramo de energia elétrica.  O Projeto NF3e tem como objetivo 
a implantação de um modelo nacional de documento fiscal eletrônico que venha substituir a sistemática atual de 
emissão física da Nota Fiscal/Conta de Energia Elétrica, com validade jurídica garantida pela assinatura digital do 
emissor, simplificando as obrigações acessórias dos contribuintes e permitindo, ao mesmo tempo, o acompanhamento 
da emissão em tempo real pelo fisco. 

Segundo a Receita Estadual, as empresas distribuidoras e permissionárias de energia elétrica já podem aderir 
voluntariamente ao novo documento e realizar a emissão da NF3e concomitantemente à emissão da nota física.

"A NF3e é um projeto que o Paraná vem trabalhando há três anos, em conjunto com os outros estados. Desenvolvido em 
conjunto também com a Celepar e Receita Estadual, o projeto trará boas melhorias para a sociedade e a fiscalização", 
destacou o chefe do Setor de Documentação Fiscal Eletrônica da Receita Estadual, Lhugo Tanaka Júnior.

Com a emissão da NF3e, os consumidores passarão a receber uma nova "fatura" de energia em suas residências, por 
e-mails, que nada mais é do que uma representação impressa em papel da NF3e (DANF3E - Documento Auxiliar da 
Nota Fiscal de Energia).

O DANF3E conterá um código bidimensional com mecanismo de autenticação digital, que permitirá a identificação da autoria 
da NF3e, possibilitando aos consumidores verificarem a autenticidade do documento fiscal com a Receita Estadual do Paraná.

No momento as distribuidoras de energia têm a opção de utilizar ambas as notas. A partir de 1º de fevereiro de 2022 não será 
possível mais emitir a nota física, ficando assim obrigatória a emissão exclusivamente da nota eletrônica.

Quais são as vantagens da NF3e?

Para as empresas emissoras da NF3e

- Total controle e confiabilidade relacionada à emissão das NF3e, facilidade para obtenção das informações contidas nesse 
documento e possível redução de custos de mão-de-obra

- Simplificação das obrigações acessórias, como a dispensa do envio dos arquivos do Convênio ICMS 115/03

- Incentivo a uso de relacionamentos eletrônicos com clientes

Benefícios para a sociedade

- Redução do consumo de papel, com impacto positivo em termos ecológicos

- Incentivo ao uso de novas tecnologias

- Padronização dos relacionamentos eletrônicos entre usuário

- Verificação da autenticidade da fatura

Benefícios para os contabilistas

- Facilitação e simplificação da escrituração fiscal e contábil

- Oportunidades de serviços e consultoria ligados à NF3e

Benefícios para o fisco

- Aumento na confiabilidade da informação

- Melhoria no processo de controle fiscal, possibilitando um melhor intercâmbio e compartilhamento de informações entre os fiscos

- Redução de custos no processo de controle das NF3e emitidas e capturadas

- Suporte aos projetos de escrituração eletrônica contábil e fiscal da Secretaria da Receita Federal do Brasil e demais Secretarias 
de Fazendas Estaduais (Sistema Público de Escrituração Digital – SPED)

Fonte: SEFAZ/Paraná - 



quarta-feira, 1 de setembro de 2021

Política de Segurança da Informação (PSI) do Conselho Federal de Contabilidade (CFC)

RESOLUÇÃO CFC N° 1.627, DE 19 DE AGOSTO DE 2021

Aprova a Política de Segurança da Informação (PSI) do Conselho Federal de Contabilidade (CFC) e dá outras providências.

O CONSELHO FEDERAL DE CONTABILIDADE, no uso de suas atribuições legais e regimentais,

CONSIDERANDO a necessidade de estabelecer diretrizes e padrões para garantir um ambiente tecnológico e não digital controlado, eficiente e seguro, de forma a oferecer todas as informações necessárias à classe contábil e à sociedade, com integridade, confidencialidade e disponibilidade;

CONSIDERANDO que o Conselho Federal de Contabilidade recebe e produz informações de caráter e procedência diversos, as quais devem permanecer íntegras, disponíveis e, nas situações em que a observância for obrigatória, com o sigilo resguardado;

CONSIDERANDO que as informações no CFC são armazenadas em diversas formas e veiculadas em diferentes meios físicos e eletrônicos, sendo portanto vulneráveis a incidentes, como desastres naturais, acessos não autorizados, mau uso, falhas de equipamentos, extravio e furto;

CONSIDERANDO o número progressivo de incidentes cibernéticos, no ambiente da rede mundial de computadores, e a necessidade de processos de trabalho orientados para a boa gestão da segurança a informação;

CONSIDERANDO a Lei Federal n° 13.709 (Lei Geral de Proteção de Dados Pessoais - LGPD), de 14 de agosto de 2018, que "dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural";

CONSIDERANDO o Decreto n° 9.637, de 26 de dezembro de 2018, que instituiu a Política Nacional de Segurança da Informação, em especial, o inciso II do Art. 15;

CONSIDERANDO o Decreto n° 10.222, de 5 de fevereiro de 2020, que aprova a Estratégia Nacional de Segurança Cibernética;

CONSIDERANDO a Instrução Normativa n° 1, de 27 de maio de 2020, que dispõe sobre a Estrutura de Gestão de Segurança da Informação nos órgãos e nas entidades da administração pública federal;

CONSIDERANDO as boas práticas preconizadas pelas normas ABNT NBR ISO/IEC, série 27000, e outras normas nacionais e internacionais relativas à Segurança da Informação;

CONSIDERANDO a necessidade de estabelecer responsabilidades internas quanto à Segurança da Informação;

CONSIDERANDO a Portaria CFC n° 77, de 29 de março de 2021, que cria o Comitê de Segurança da Informação (CSI) do Conselho Federal de Contabilidade, resolve:

Art. 1° Fica instituída a Política de Segurança da Informação (PSI) no âmbito do Conselho Federal de Contabilidade, nos termos do Anexo desta Resolução.

Parágrafo único. Todos os instrumentos normativos gerados a partir da Política de Segurança da Informação do Conselho Federal de Contabilidade são partes integrantes desta e emanam dos princípios e diretrizes nela estabelecidos.

Art. 2° A Política de Segurança da Informação se aplica a todos os empregados, estagiários, prestadores de serviços, conselheiros e, quando aplicável, a terceiros e a quaisquer outras pessoas que prestem serviços ao CFC e que tenham acesso a qualquer meio de informação e comunicação, obrigando-os ao cumprimento de suas diretrizes para manuseio, tratamento, controle, proteção das informações e conhecimentos produzidos, armazenados ou transmitidos pelos sistemas de informação ou por meio de outros recursos.

Art. 3° A íntegra da Política de Segurança da Informação do CFC será disponibilizada em seu Portal e em sua intranet.

Art. 4° Esta resolução entra em vigor em 1° de setembro de 2021.

ZULMIR IVÂNIO BREDA
Presidente do Conselho

ANEXO POLÍTICA DE SEGURANÇA DA INFORMAÇÃO DO CFC

CAPÍTULO I
DAS DISPOSIÇÕES GERAIS

Seção I
Das Premissas

Art. 1° Proteger os dados pessoais, a privacidade e o acesso à informação, valorizando o princípio da autodeterminação informativa, mas também o direito à informação, o legítimo interesse, a liberdade de expressão, o direito à opinião, a inviolabilidade da intimidade, da honra e da imagem dos titulares de dados pessoais, o desenvolvimento tecnológico e a inovação, a livre iniciativa, os direitos do consumidor, o livre desenvolvimento da personalidade e a cidadania;

Art. 2° Proteger a informação institucional e de cadastros, visando minimizar danos às finalidades institucionais, prevenir fraudes e maximizar o retorno dos investimentos e oportunidades, de acordo com a sua sensibilidade e exposição ao risco;

Art. 3° Garantir condições para que os empregados, estagiários, prestadores de serviços, conselheiros e, quando aplicável, terceiros e quaisquer outras pessoas que prestem serviços ao CFC sejam orientados sobre a existência e a utilização dos instrumentos normativos, dos procedimentos e dos controles de segurança adotados pelo CFC.

Seção II
Dos Objetivos

Art. 4° A Política de Segurança da Informação (PSI) tem por finalidade estabelecer normas, diretrizes e procedimentos para a segurança no uso, tratamento e controle, proteção dos dados, informações e conhecimentos produzidos, armazenados ou transmitidos por qualquer meio de informação e comunicação, de forma a garantir a disponibilidade, integridade e confidencialidade das informações no âmbito do Conselho Federal de Contabilidade.

Parágrafo único. A PSI está alinhada às estratégias instituticionais, com a política de governança, com a gestão de riscos e com os normativos que regem a matéria.

Art. 5° A PSI trata do uso e do compartilhamento de dados, informações e documentos no âmbito do CFC, em todo o seu ciclo de vida (criação, manuseio, divulgação, armazenamento, transporte e descarte), objetivando à continuidade de seus processos críticos, em conformidade com a legislação vigente, normas, requisitos regulamentares e contratuais, valores éticos e as melhores práticas de segurança da informação.

Art. 6° Para a segurança da informação no CFC, serão rigorosamente observados o compromisso institucional com a proteção das informações de sua propriedade e/ou sob sua guarda, a participação e o cumprimento por todos os colaboradores em todo o processo e o disposto neste normativo, nas disposições constitucionais, legais e regimentais vigentes.

Seção III
Dos Princípios Básicos

Art. 7° A PSI do CFC orienta-se pelos seguintes princípios básicos:

I - Disponibilidade: garante que a informação esteja sempre acessível para uso legítimo de pessoas físicas, sistemas e entidades autorizadas;

II - Integridade: garante que a informação esteja correta, confiável e sem a ocorrência de mudanças. Além disso, assegura que a informação não seja modificada, gravada ou excluída sem autorização ou acidentalmente;

III - Confidencialidade: garante que a informação seja acessível apenas às pessoas físicas, ao sistema e às entidades autorizadas;

IV - Autenticidade: garante a identificação de pessoa física, sistema e entidade que produziu, expediu, modificou ou excluiu a informação;

V - Proteção: assegura o direito individual e coletivo das pessoas à inviolabilidade da sua intimidade e ao sigilo da informação, nos termos previstos na Constituição Federal.

VI - capacitação das equipes envolvidas em tecnologias sensíveis;

VII - criação, desenvolvimento e manutenção de cultura relacionada à segurança da informação, alinhadas às diretrizes nacionais de segurança da informação.

Art. 8° As ações de Segurança da Informação, no âmbito do CFC, são norteadas pelos seguintes princípios:

I - Criticidade: define a importância da informação para a continuidade da execução das finalidades institucionais;

II - Celeridade: garante respostas rápidas a incidentes e falhas de segurança;

III - Clareza: define que as regras e a documentação sobre segurança da informação devam ser elaboradas de forma clara, precisa, concisa e de fácil entendimento;

IV - Ética: preserva o direito do empregado, colaborador, terceirizado, conselheiro, estagiário e prestador de serviços, sem que ocorra o comprometimento da segurança da informação;

V - Legalidade: devem ser levadas em consideração as leis, as normas e as políticas organizacionais, administrativas, técnicas e operacionais vigentes;

VI - Responsabilidade: define que os usuários são responsáveis pelo cumprimento desta PSI e devem respeitar a legislação e normas pertinentes à Segurança da Informação vigentes.

VII - Privacidade: estabelece que o direito do cidadão de não ter registros pessoais e da vida privada divulgados sem sua prévia autorização devem ser assegurados; e

VIII - Publicidade: determina que a divulgação das informações deve observar os critérios legais aplicáveis.

Art. 9° São observados, ainda, sem prejuízo dos demais, os princípios constitucionais e demais normativos que regem a matéria.

Seção IV
Da Abrangência

Art. 10. O disposto neste instrumento aplicar-se-á a todos os empregados, estagiários, prestadores de serviços, conselheiros e, quando aplicável, a terceiros e a quaisquer outras pessoas que prestem serviços ao CFC e que tenham acesso a qualquer informação ou comunicação, obrigando-os ao cumprimento de suas diretrizes para manuseio, tratamento, controle, proteção das informações e conhecimentos produzidos, armazenados ou transmitidos pelos sistemas de informação ou por meio de outros recursos.

§ 1° Os contratos, convênios e instrumentos congêneres conterão cláusulas específicas que imponham aos contratados e convenentes a obrigação de observarem o disposto nesta PSI, para o exercício de suas atividades no âmbito do CFC.

§ 2° Os termos aditivos dos contratos, convênios e instrumentos congêneres celebrados após a aprovação desta PSI deverão incluir cláusulas específicas que imponham aos contratados/convenentes a obrigação de observarem o disposto nesta Política, para o exercício de suas atividades no âmbito do CFC.

CAPÍTULO II
DOS CONCEITOS E CLASSIFICAÇÃO DAS INFORMAÇÕES

Seção I
Dos Conceitos e das Definições

Art. 11. Para os efeitos desta Política de Segurança, entende-se por:

I - Ameaça: qualquer circunstância ou evento com o potencial de causar impacto negativo sobre a confidencialidade, integridade, autenticidade e disponibilidade da informação;

II - Assinatura digital: conjunto de dados criptografados, associados a determinado documento ou arquivo que foi assinado, destinado a garantir a autenticidade e a integridade das informações constantes do documento, sua autoria e eventuais modificações;

III - Acessibilidade: facilidade no acesso ao conteúdo e ao significado de um objeto digital;

IV - Ativo de informação: patrimônio composto de dados, informações e conhecimentos obtidos, gerados e manipulados durante a execução dos sistemas e processos de trabalho;

V - Metadados: dados estruturados que descrevem e permitem encontrar, gerenciar, compreender e/ou preservar documentos arquivísticos ao longo do tempo;

VI - Autenticidade: propriedade de que a informação foi produzida, expedida, modificada ou destruída por um determinado indivíduo, entidade ou processo;

VII - Banco de Dados (ou Base de Dados): um sistema de armazenamento de dados, ou seja, um conjunto de registros que tem como objetivo organizar e guardar as informações;

VIII - Confidencialidade: propriedade de que a informação não será disponibilizada ou divulgada a indivíduos, entidades ou processos sem autorização;

IX - Cópia de Segurança (backup): guarda de dados em um meio separado do original, de forma a protegê-los de qualquer eventualidade.

X - Fidedignidade: credibilidade de um documento arquivístico como uma afirmação do fato. Existe quando um documento arquivístico pode sustentar o fato ao qual se refere e é estabelecida pelo exame da completeza, da forma do documento e do grau de controle exercido no processo de sua produção;

XI - Comitê de Segurança da Informação: grupo de pessoas designado com a responsabilidade de assessorar a implementação das ações de segurança da informação no âmbito do CFC;

XII - Computação em nuvem: modelo computacional que permite acesso, por demanda e independente da localização, a conjunto compartilhado de recursos configuráveis de computação (rede de computadores, servidores, armazenamento, aplicativos e serviços), provisionados com esforços mínimos de gestão ou interação com o provedor de serviços;

XIII - Controle de acesso: conjunto de procedimentos, recursos e meios utilizados com a finalidade de conceder ou bloquear o acesso;

XIV - Custódia: responsabilidade jurídica de guarda e proteção de arquivos, independentemente de vínculo de propriedade.

XV - Custodiante da informação: usuário que atua em uma ou mais fases do tratamento da informação, ou seja, recepção, produção, reprodução, utilização, acesso, transporte, transmissão, distribuição, armazenamento, eliminação e controle da informação, incluindo a sigilosa;

XVI - Disponibilidade: propriedade de que a informação esteja acessível e utilizável sob demanda por indivíduo, entidades ou processos;

XVII - Dispositivos móveis: equipamentos portáteis, dotados de capacidade computacional e dispositivos removíveis de memória para armazenamento, entre eles, notebooks, netbooks, smartphones, tablets, pen drives, USB drives, HD externos e cartões de memória;

XVIII - Equipe de Tratamento e Resposta a Incidentes em Redes Computacionais ou Comitê de Gestão de Riscos: grupo de pessoas designado com a responsabilidade de receber, analisar e responder a notificações e atividades relacionadas a incidentes de segurança;

XIX - Evento: Acontecimento que acarrete a mudança do estado atual de um processo;

XX - Gestão de continuidade: processo abrangente de gestão que identifica ameaças potenciais para uma organização e os possíveis impactos nas finalidades institucionais, caso essas ameaças se concretizem. Esse processo fornece estrutura para que se desenvolva uma resiliência organizacional capaz de responder efetivamente e salvaguardar os interesses das partes envolvidas, a reputação e a marca da organização, assim como seus processos e seu valor agregado. É o resultado da fusão dos Planos de Contingência e dos Planos de Recuperação de Desastres, que objetiva garantir a recuperação de um ambiente de produção, independentemente de eventos que suspendam suas operações e de danos nos componentes (processos, pessoas, softwares, hardwares, infraestrutura, etc.) por ele utilizados;

XXI - Gestão de Segurança da Informação: ações e métodos que visam à integração das atividades de gestão de riscos, tratamento de incidentes, tratamento da informação, conformidade, credenciamento, segurança cibernética, segurança física, segurança lógica, segurança orgânica e segurança organizacional aos processos institucionais estratégicos, operacionais e táticos, não se limitando, portanto, à Tecnologia da Informação;

XXII - Gestão de Riscos em Segurança da Informação: conjunto de processos que permite identificar e implementar as medidas de proteção necessárias para minimizar ou eliminar os riscos a que estão sujeitos os seus ativos de informação, e equilibrá-los com os custos operacionais e financeiros envolvidos;

XXIII - Gestor de Segurança da Informação: responsável pelas ações de segurança da informação no âmbito do CFC;

XXIV - Incidente de segurança: evento ou conjunto de eventos de segurança da informação, indesejados ou inesperados, confirmados ou sob suspeita, que tenham grande probabilidade de comprometer as operações e ameaçar a segurança da informação;

XXV - Informação: conjunto de dados, textos, imagens, métodos, sistemas ou quaisquer formas de representação dotadas de significado em determinado contexto, independetemente do meio em que resida ou da forma pela qual seja veiculado;

XXVI - Integridade: propriedade de que a informação não foi modificada ou destruída, de maneira não autorizada ou acidental, por indivíduos, entidades ou processos;

XXVII - Documento arquivístico: documento produzido ou recebido no curso de uma atividade prática como instrumento ou resultado dessa atividade, retido para ação ou referência;

XXVIII - Inventário e Mapeamento de Ativos de Informação: processo interativo e evolutivo, composto de três etapas:

a) identificação e classificação de ativos de informação;

b) identificação de potenciais ameaças e vulnerabilidades; e

c) avaliação de riscos.

XXIX - Malwares: o nome malware vem do inglês malicous software (programa malicioso). Refere-se a qualquer tipo de programa indesejado, instalado sem seu consentimento e que pode trazer danos ao seu dispositivo;

XXX - Preservação digital: conjunto de ações gerenciais e técnicas exigidas para superar as mudanças tecnológicas e a fragilidade dos suportes, garantindo o acesso e a interpretação de documentos digitais pelo tempo que for necessário;

XXXI - Repositório digital: complexo que apoia o gerenciamento dos materiais digitais, pelo tempo que for necessário, e é formado por elementos de hardware, software e metadados, bem como por uma infraestrutura organizacional e procedimentos normativos e técnicos;

XXXII - Repositório arquivístico digital: repositório digital que armazena e gerencia documentos arquivísticos, seja nas idades corrente e intermediária, seja na idade permanente;

XXXIII - Plano de Continuidade de Serviços Essenciais: documentação dos procedimentos e informações necessários para manter os ativos de informação críticos e a continuidade de suas atividades em local alternativo previamente definido, em casos de incidentes;

XXXIV - Plano de Recuperação de Serviços Essenciais: documentação dos procedimentos e informações necessários para que se operacionalize o retorno das atividades críticas à normalidade;

XXXV - Política de Segurança da Informação: documento aprovado pela autoridade responsável pelo órgão, com objetivo de fornecer diretrizes, critérios e suporte administrativo suficientes à implementação da segurança da informação.

XXXVI - Público-Alvo: conjunto de usuários internos e externos atendidos pela Equipe de Tratamento e Resposta a Incidentes;

XXXVII - Recurso Criptográfico: sistemas, programas, processos e equipamento isolado ou em rede que utiliza algoritmo simétrico ou assimétrico para realizar a cifração ou decifração;

XXXVIII - Risco: possibilidade potencial de uma ameça comprometer a informação ou o sistema de informação pela exploração da vulnerabilidade;

XXXIX - Segurança da Informação: ações que objetivam viabilizar e assegurar a disponibilidade, a integridade, a confidencialidade e a autenticidade das informações;

XL - Serviços Essenciais: são aqueles que são imprescindíveis à atividade finalística deste Conselho;

XLI - Spam: termo usado para referir-se a e-mails não solicitados, que geralmente são enviados para um grande número de pessoas.

XLII - Termo de Responsabilidade: termo assinado pelo usuário concordando em contribuir com a disponibilidade, a integridade, a confidencialidade e a autenticidade das informações que tiver acesso, bem como assumir responsabilidades decorrentes de tal acesso;

XLIII - Termo de Confidencialidade: documento formal assinado por prestadores de serviço do CFC, por meio do qual se comprometem a manter sigilo em relação às informações consideradas confidenciais e respeitar as normas de segurança vigentes;

XLIV - Tratamento da informação: recepção, produção, reprodução, utilização, acesso, transporte, transmissão, distribuição, armazenamento, eliminação e controle da informação, inclusive as sigilosas;

XLV - Trilhas de Auditoria: são rotinas específicas programadas nos sistemas para fornecerem informações de interesse da auditoria. São entendidas como o conjunto cronológico de registros (logs) que proporcionam evidências do funcionamento do sistema. Esses registros podem ser utilizados para reconstruir, rever/revisar e examinar transações desde a entrada de dados até a saída dos resultados finais, bem como para avaliar/rastrear o uso do sistema, detectando e identificando usuários não autorizados;

XLVI - Unidade Gestora de Segurança da Informação: é a unidade responsável pela gestão de segurança da informação no CFC;

XLVII - Unidades Organizacionais: unidade em que está lotado o empregado, assessor, terceirizado, estagiário ou aprendiz;

XLVIII - Usuários: pessoa física ou jurídica que opera algum sistema informatizado do Conselho Federal de Contabilidade (CFC);

XLIX - Vulnerabilidade: fragilidade de um ativo ou grupo de ativos de informação que pode ser explorada negativamente por uma ou mais ameaças;

L - Phishing: também conhecido como roubo de identidade. É uma fraude eletrônica, na qual o criminoso cibernético tenta obter informações confidenciais de forma fraudulenta. Normalmente, é realizado por falsificação de e-mail ou mensagem instantânea, e, muitas vezes, direciona usuários a inserir informações pessoais em um site falso, que corresponde à aparência do site legítimo. Esse método é muito usado para roubar senhas e números de cartões de crédito, entre outros dados confidenciais.

Seção II
Da Classificação das Informações

Art. 12. A classificação e o tratamento da informação, realizados por meio de procedimento definido, abrange informações provenientes dos serviços essenciais de Tecnologia da Informação do CFC.

Parágrafo único. As informações devem ser classificadas de forma a permitir tratamento diferenciado de acordo com o seu grau de importância, criticidade, sensibilidade e em conformidade com requisitos legais.

Art. 13. As informações devem ser classificadas e identificadas por rótulos, considerando os seguintes níveis:

I - Pública: são informações explicitamente aprovadas por seu responsável para consulta irrestrita e cuja divulgação externa não compromete a execução das finalidades institucionais e que, por isso, não necessitam de proteção efetiva ou tratamento específico, em especial, editais de licitação, agendas e rotinas;

II - Interna: são informações disponíveis aos colaboradores do CFC para a execução de suas tarefas rotineiras, não se destinando, portanto, ao uso do público externo, em especial, memorandos, procedimentos internos, avisos e campanhas internas;

III - Confidencial: são informações de acesso restrito a um colaborador ou grupo de colaboradores. Sua revelação pode violar a privacidade de indivíduos, violar acordos de confidencialidade, dentre outros, em especial, processos judiciais e dados cadastrais de colaboradores;

IV - Confidencial/Restrita: são informações de acesso restrito a um colaborador ou grupo de colaboradores que, obrigatoriamente, são delas destinatários. Em geral, informações associadas ao interesse estratégico do CFC e estão restritas ao presidente, ao(à) diretor(a), aos coordenadores, aos gerentes e aos colaboradores, cujas funções requeiram conhecê-las, em especial, resultado da avaliação de desempenho

CAPÍTULO III
DAS COMPETÊNCIAS, ATRIBUIÇÕES E RESPONSABILIDADES

Seção I
Das Competências

Art. 14. Ao Comitê de Segurança da Informação compete:

I - propor melhorias e atualizar a Política de Segurança da Informação (PSI);

II - propor, analisar e revisar normas complementares relativas à segurança da informação, em conformidade com as legislações vigentes e submeter a aprovação ao Conselho Diretor do CFC;

III - tratar dos assuntos de Segurança da Informação e assessorar diretamente as decisões do Conselho Diretor do CFC;

IV - propor investimentos relacionados à segurança da informação com o intuito de fortalecer o ambiente tecnológico e não digital e minimizar os riscos causados em virtude de possíveis vulnerabilidades;

V - classificar e reclassificar o nível de acesso às informações sempre que necessário;

VI - acompanhar o gerenciamento do ciclo de vida de incidentes de segurança, visando ao processo de melhoria contínua;

VII - coordenar as atividades de tratamento e resposta a incidentes de segurança;

VIII - promover a recuperação de sistemas;

IX - agir proativamente com o objetivo de evitar que ocorram incidentes de segurança, divulgando práticas e recomendações de Segurança da Informação e avaliando condições de segurança de rede por meio de verificações de conformidade;

X - realizar ações reativas que incluem recebimento de notificações de incidentes, orientação de equipes no reparo a danos e análise de sistemas comprometidos, buscando causas, danos e responsáveis;

XI - receber, analisar e responder às notificações e atividades relacionadas a incidentes de segurança em redes de computadores e em suportes físicos do CFC;

XII - executar as ações necessárias para tratar quebras de segurança;

XIII - obter informações quantitativas acerca dos incidentes ocorridos que descrevam sua natureza, causas, data de ocorrência, frequência e custos resultantes.

XIV - planejar e coordenar a execução das ações de Segurança da Informação;

XV - definir estratégias para a implementação desta Política de Segurança da Informação (PSI) e suas normas complementares;

XVI - supervisionar e analisar a efetividade dos processos, procedimentos, sistemas e dispositivos de Segurança da Informação;

XVII - acompanhar as investigações e as avaliações dos danos decorrentes de quebras de segurança e adotar as medidas administrativas necessárias à aplicação de ações corretivas;

XVIII - encaminhar os fatos apurados, decorrentes de quebras de segurança, para a aplicação das penalidades previstas;

XIX - gerenciar a análise de risco;

XX - verificar se os procedimentos de Segurança da Informação estão sendo aplicados de forma a atender à conformidade com legislações vigentes; e

XXI - providenciar a divulgação interna e permanente desta PSI e de suas normas complementares.

Art. 15. À Coordenadoria de Gestão de TI e ao Departamento de Informática competem:

I - planejar, coordenar, supervisionar, executar e controlar as atividades de TI em conformidade com as diretrizes desta PSI;

II - elaborar, implementar e atualizar normas internas específicas em conformidade com esta PSI e demais diretrizes do Conselho;

III - propor as metodologias e processos referentes à segurança da informação, como classificação de acessos à informação, avaliação de risco, análise de vulnerabilidade, entre outros;

IV - gerenciar o ciclo de vida de incidentes de segurança, visando ao processo de melhoria contínua;

V - manter registros e procedimentos como trilhas de auditoria e outros que assegurem o rastreamento, o acompanhamento, o controle e a verificação de acesso a todos os sistemas corporativos e das redes computacionais do CFC;

VI - manter equipe, interna ou terceirizada, de Segurança da Informação com a responsabilidade de apoiar o Comitê de Segurança da Informação no cumprimento de suas atribuições.

VII - definir as regras para instalação de software e hardware no CFC;

VIII - avaliar a possibilidade de utilização de equipamentos pessoais (smartphones e notebooks) para uso na rede do CFC, condicionado ao cumprimento dos requisitos de segurança que garantam a integridade das informações;

IX - supervisionar os acessos às informações e aos ativos de tecnologia (sistemas, banco de dados, recursos de rede), tendo como referência a PSI e as normas de segurança da informação;

X - efetuar as alterações, exclusões, inclusões e manter registro e controles atualizados de todos os acessos sempre que demandado formamelmente pelas Unidades Organizacionais acerca de admissão, demissão e movimentação de pessoal e/ou entrada/saída de novos processos;

XI - promover, com o envolvimento do Departamento de Gestão de Pessoas, palestras de conscientização dos colaboradores em relação à importância da segurança da informação;

XII - manter comunicação efetiva com o Comitê de Segurança da Informação sobre possíveis ameaças e ações que deverão ser adotadas para mitigação dos riscos;

XIII - buscar alinhamento com as diretrizes da organização, em especial com o planejamento estratégico, Plano Diretor de Tecnologia da Informação (PDTI), Plano de Integridade e governança de tecnologia.

Art. 16. Ao Gerente do Departamento de Gestão de Pessoas (Degep) compete:

I - comunicar ao Comitê de Segurança da Informação o ingresso, a alteração de lotação ou localização, bem como o desligamento de pessoal, inclusive postos terceirizados, no âmbito do CFC.

Seção II
Das Responsabilidades

Subseção I
Dos Usuários

Art. 17. Para o Conselho Federal de Contabilidade, são considerados usuários todos os conselheiros, integrantes de grupos de trabalhos, empregados, estagiários, prestadores de serviços e terceiros que tenham acesso ao ambiente de tecnologia da informação e têm as seguintes responsabilidades:

I - ter pleno conhecimento e cumprir fielmente a PSI, as normas e os procedimentos de segurança da informação do CFC;

II - solicitar esclarecimentos ao Comitê de Segurança de Informação em caso de dúvidas relacionadas à PSI;

III - gerenciar os ativos sob sua responsabilidade e garantir que os documentos e arquivos impressos ou digitais, equipamentos e recursos tecnológicos à sua disposição sejam utlizados, exclusivamente, para uso a serviço do CFC;

IV - acessar a rede de dados do CFC somente após tomar ciência das normas de Segurança da Informação e assinar o Termo de Responsabilidade;

V - tratar a informação arquivística digital e impressa como patrimônio do CFC e como recurso que deva ter seu sigilo preservado;

VI - utilizar as informações arquivísticas digitais e impressas disponibilizadas e os sistemas e produtos computacionais de propriedade ou direito de uso do CFC exclusivamente para o interesse do serviço;

VII - preservar o conteúdo das informações sigilosas a que tiver acesso, sem divulgá-las para pessoas não autorizadas e/ou que não tenham necessidade de conhecê-las;

VIII - não tentar obter acesso à informação cujo grau de sigilo não seja compatível com a sua Credencial de Segurança ou cujo teor não tenha autorização ou necessidade de conhecer;

IX - não se fazer passar por outro usuário usando a identificação com login e senha de acesso;

X - no caso de exoneração, demissão, licenciamento, término de prestação de serviço ou qualquer tipo de afastamento, preservar o sigilo das informações e documentos sigilosos a que teve acesso;

XI - não compartilhar, transferir, divulgar ou permitir o conhecimento de credenciais de acesso (senhas) utilizadas no ambiente computacional do CFC por terceiros;

XII - responder perante o CFC pelo uso indevido das suas credenciais de acesso, no âmbito administrativo e, se for o caso, perante a Justiça, no âmbito penal e civil;

XIII - não transmitir, copiar ou reter arquivos contendo textos, fotos, filmes ou quaisquer outros registros que contrariem a moral, os bons costumes e a legislação vigente;

XIV - não transferir qualquer tipo de arquivo que pertença ao CFC para outro local, seja por meio magnético ou não, exceto no interesse do serviço e mediante autorização da autoridade competente;

XV - estar ciente de que o processamento, o trâmite e o armazenamento de arquivos que não sejam de interesse do serviço não são permitidos na rede computacional do CFC;

XVI - estar ciente de que toda informação digital armazenada, processada e transmitida no ambiente computacional e nos arquivos setoriais, intermediários e permanentes impressos ou digitais do CFC pode ser auditada;

XVII - estar ciente de que o correio eletrônico é de uso exclusivo para o interesse do serviço e que qualquer correspondência eletrônica originada ou retransmitida no ambiente computacional do CFC deve obedecer a esse preceito;

XVIII - assinar o Termo de Responsabilidade - Anexo I e declarar, formalmente, ter pleno conhecimento e aceitar expressamente, sem reservas, os termos desta PSI;

XIX - utilizar as credenciais de acesso, login e senha, e os recursos computacionais, em conformidade com a PSI do CFC e procedimentos estabelecidos em normas específicas do Conselho;

XX - comunicar, tempestivamente, ao gestor imediato ou ao Comitê de Segurança da Informação qualquer violação a esta política, suas normas e procebimentos;

XXI - fazer uso da política de mesa limpa e tela protegida para garantir a proteção das informações de maneira eficaz e reduzir os riscos de acesso não autorizado, perda ou dano à informação durante e fora do horário normal de trabalho.

XXII - devolução das informações ou documentos sigilosos que estejam em seu poder

XXIII - eliminação completa de dados digitais que porventura foram armazenados em seus equipamentos eletrônicos e softwares de uso particular e e-mails pessoais.

Subseção II
Do Custodiante

Art. 18. Ao Custodiante da Informação cabem as seguintes responsabilidades:

I - cumprir e zelar pela observância integral das diretrizes desta PSI e demais normas e procedimentos decorrentes;

II - zelar pela disponibilidade, integridade e confidencialidade das informações e recursos em qualquer suporte sob sua custódia, conforme condições estabelecidas nesta PSI e demais normas e procedimentos decorrentes, mediante assinatura do Termo de Responsabilidade;

III - participar de capacitação e treinamento em segurança da informação, quando convocado;

IV - utilizar os recursos sob sua responsabilidade, exclusivamente, para o fim a que se destinam;

V - proteger as informações contra acesso, modificação, destruição ou divulgação não autorizada;

VI - preservar a classificação do grau de sigilo de documentos, dados e informações dos quais tiver conhecimento em decorrência do exercício de suas funções; e

VII - comunicar prontamente ao seu gestor imediato e ao Comitê de Segurança da Informação qualquer incidente de que tenha conhecimento ou situações que comprometam a disponibilidade, a integridade e a confidencialidade das informações.

Subseção III
Dos Gestores das Unidades Orgnacionais

Art. 19. Os gestores das unidades organizacionais do CFC são responsáveis por:

I - ter postura exemplar em relação à segurança da informação para servir como modelo de conduta para os colaboradores sob sua gestão;

II - cumprir e fazer cumprir esta PSI;

III - exigir das entidades relacionadas, prestadores de serviços ou outras entidades externas, a assinatura do Termo de Confidencialidade referente às informações as quais terão acesso;

IV - informar, sempre que necessário, atualizações referentes a processos e/ou cadastros de colaboradores para que as permissões possam ser concedidas ou revogadas de acordo com a necessidade;

V - adotar os procedimentos necessários sempre que identificar descumprimentos da PSI.

CAPÍTULO IV
DAS DIRETRIZES E PROCEDIMENTOS

Seção I
Das Diretrizes

Art. 20. Esta PSI tem como principal diretriz a preservação da disponibilidade, integridade e confiabilidade dos dados, informações e conhecimentos que compõem o ativo da informação do CFC.

Art. 21. Os usuários deverão ser treinados e conscientizados nos procedimentos de segurança da informação.

Art. 22. Quando do afastamento, da mudança de responsabilidade, de lotação ou de atribuições do usuário dentro da organização, far-se-á necessária a revisão imediata dos direitos de acesso e uso dos ativos.

§ 1° Os direitos de acesso e o uso dos ativos atribuídos ao usuário deverão ser extintos quando da efetivação de seu desligamento.

§ 2° Todo ativo produzido pelo usuário desligado será de propriedade do CFC, observadas as disposições da legislação aplicável.

Subseção I
Dos Pressupostos Básicos

Art. 23. Esta Política de Segurança da Informação é constituída dos seguintes pressupostos básicos:

I - o sucesso das ações nos assuntos de segurança da informação está diretamente associado à capacitação científico-tecnológica dos recursos humanos envolvidos, à conscientização do público interno, à qualidade das soluções adotadas e à proteção das informações contra ameaças internas e externas;

II - a informação é um recurso vital para o adequado funcionamento de toda e qualquer organização, devendo ser tratada como patrimônio a ser protegido e preservado;

III - a Política de Segurança da Informação é o instrumento que regula a proteção dos dados, informações e conhecimentos da Instituição, com vistas à garantia de integridade, de disponibilidade e de confidencialidade;

IV - todos os empregados, estagiários, conselheiros e prestadores de serviços, membro de grupos ou particulares que, oficialmente, executem atividade vinculada à atuação institucional do CFC e sejam usuários dos ativos sigilosos devem assinar o Termo de Responsabilidade quanto ao sigilo dos dados, informações e conhecimentos da administração do CFC.

Seção II
Das Providências

Subseção I
Do Tratamento da Informação

Art. 24. Esta Política de Segurança da Informação considera os seguintes requisitos para o Tratamento da Informação:

I - toda informação criada, adquirida ou custodiada pelo usuário, no exercício de suas atividades, é considerada bem e propriedade do CFC e deve ser protegida segundo as diretrizes descritas nesta PSI e demais regulamentações em vigor, com o objetivo de minimizar riscos às atividades e serviços institucionais e preservar sua imagem;

II - é expressamente proibido o acesso, a guarda ou o encaminhamento de material discriminatório, malicioso, não ético, obsceno ou ilegal por intermédio de quaisquer meios e recursos de tecnologia da informação disponibilizados pelo CFC;

III - os ativos de informação devem ser protegidos de forma preventiva, com o objetivo de minimizar riscos às atividades e aos objetivos das finalidades institucionais do CFC;

IV - as informações criadas, armazenadas, manuseadas, transportadas ou descartadas devem ser classificadas segundo o grau de sigilo, criticidade e outros, conforme normas internas e legislação específica em vigor;

V - todo usuário deve respeitar a classificação atribuída a uma informação e, a partir dela, conhecer e obedecer às restrições de acesso e divulgação associadas;

VI - as informações produzidas ou custodiadas pelo CFC somente devem ser descartadas ou destruidas conforme o seu nível de classificação e atendendo às exigências legais;

VII - deve ser disponibilizada uma solução de Gestão Eletrônica de Documentos com mecanismos de assinatura digital aderente à legislação em vigor, com a finalidade de mitigar riscos associados à informação impressa;

VIII - a manipulação de informações classificadas em qualquer grau de sigilo deve seguir as normas internas e a legislação em vigor;

§ 1° Qualquer outra forma de uso das informações que extrapole as atribuições necessárias ao desempenho das atividades dos usuários, internos ou colaboradores, necessitará de prévia autorização formal.

§ 2° O acesso, quando autorizado, dos usuários internos ou externos às informações produzidas ou custodiadas pelo CFC, que não sejam de domínio público, será condicionado a um termo de sigilo e responsabilidade, formal ou virtual.

Parágrafo único. As informações deverão ser classificadas de forma a permitir tratamento diferenciado de acordo com seu grau de importância, criticidade, sensibilidade, e em conformidade com requisitos legais.

Subseção II
Da Utilização da Rede

Art. 25. O ingresso à rede interna deve ser devidamente controlado para que os riscos de acessos não autorizados e/ou indisponibilidade das informações sejam minizados, devendo os procedimentos serem definidos em normas específicas, em especial, a Política de Controle de Acesso Lógico do CFC.

Subseção III
Do Tratamento de Incidentes de Rede

Art. 26.Tratamento de Incidentes de Rede:

I - a gestão de incidentes de segurança da informação deverá ser realizada por meio de processo formalizado, contendo as fases de detecção, triagem, análise e resposta aos incidentes de segurança;

II - a Coordenadoria de Gestão de TI e o Departamento de Informática manterão Equipe de Tratamento e Resposta a Incidentes em Redes Computacionais, com a responsabilidade de receber, analisar e responder a notificações e a atividades relacionadas a incidentes de segurança em rede de computadores;

III - sua criação, sua estrutura e seu modelo de implementação serão definidas em Portaria que deverá estar em conformidade com as diretrizes desta PSI.

Subseção IV
Da Gestão de Riscos

Art. 27. Gestão de Riscos:

I - a gestão de riscos é realizada por meio de processo formalizado, contendo as fases de análise, avaliação e tratamento dos riscos;

II - os riscos devem ser continuamente monitorados e tratados, de acordo com as vulnerabilidades associadas aos ativos de informação e aos níveis de risco, conforme procedimentos definidos em norma específica sobre gestão de riscos em segurança da informação;

III - os usuários são responsáveis por adotar as medidas de proteção necessárias para minimizar ou eliminar os riscos a que estão sujeitos seus ativos de informação no âmbito do CFC;

IV - o processo de inventário e mapeamento de ativos de informação deve ser aplicado tanto na gestão de riscos quanto na gestão de continuidade, conforme procedimentos definidos em norma específica sobre o tema.

Subseção V
Da Gestão de Continuidade

Art. 28. Gestão de Continuidade:

I - o CFC deve manter processo de gestão de continuidade das atividades e processos críticos, visando não permitir que estes sejam interrompidos e assegurar a sua retomada em tempo hábil.

II - as informações de propriedade ou custodiadas pelo CFC, quando armazenadas em meio eletrônico, devem ser providas de cópia de segurança atualizada e guardada em local remoto, de forma a garantir a continuidade das atividades do órgão.

III - as informações armazenadas em outros meios devem possuir mecanismos de proteção que preservem sua integridade, conforme o nível de classificação atribuído.

IV - as diretrizes para a Gestão de Continuidade de de TI em Segurança da Informação, conforme procedimentos definidos em norma específica, deve minimizar os impactos decorrentes de falhas, desastres ou indisponibilidades significativas sobre as atividades críticas, além de recuperar perdas de ativos de informação em nível aceitável, por intermédio de ações de prevenção, resposta e recuperação.

Subseção VI
Da Auditoria e Conformidade

Art. 29. Auditoria e Conformidade:

I - a Auditoria em Segurança da Informação é uma atividade devidamente estruturada para examinar criteriosamente a situação dos controles que se aplicam à segurança da informação, especialmente por meio da análise de objetos e respectivos pontos de controle. Para tanto, é preciso verificar que os controles estejam de acordo com as normas e políticas de segurança estabelecidas para esses ativos, bem como se o que está em operação alcança os objetivos de segurança;

II - o CFC deve criar e manter registros e procedimentos, como trilhas de auditoria, que possibilitem o rastreamento, o acompanhamento, o controle e a verificação de acessos aos sistemas corporativos e rede interna da entidade;

III - deve ser realizada, com periodicidade mínima anual, verificação de conformidade das práticas de Segurança da Informação aplicadas no CFC com esta PSI, bem como com a legislação específica em vigor;

IV - a verificação de conformidade deve ser realizada nos contratos, convênios, acordos de cooperação e outros instrumentos do mesmo gênero celebrados com o CFC;

V - a verificação de conformidade poderá combinar ampla variedade de técnicas, tais como análise de documentos, análise de registros e logs, análise de código-fonte, entrevistas e testes de invasão;

VI - os resultados de cada ação de verificação de conformidade serão documentados em Relatório de Avaliação de Conformidade;

VII - os procedimentos e as metodologias utilizados na auditoria e conformidade no âmbito do CFC serão definidos em norma específica, em conformidade com as diretrizes desta PSI e demais legislações em vigor;

VIII - as medidas de proteção para que administradores de sistemas não tenham permissão de exclusão ou desativação de registros de log de suas próprias atividades deverão ser tomadas;

IX - os recursos e informações de registro de log deverão ser protegidos contra falsificação e acesso não autorizado;

X - compete ao Sistema de Gestão da Qualidade do CFC o acompanhamento da Auditoria de Segurança da Informação.

Subseção VII
Do Controle de Acesso

Art. 30. Controle de Acesso:

I - o controle de acesso aos sistemas internos e externos, o credenciamento de acesso de usuários aos ativos de informação e o acesso às informações em áreas e instalações consideradas críticas devem ser implantados nos níveis físico e lógico e serão definidos em norma específica, em conformidade com as diretrizes desta PSI;

II - as medidas de proteção serão adotadas para evitar que usuários dos ativos de Tecnologia da Informação não tenham permissão para instalar, remover, modificar, criar ou desenvolver softwares sem a devida autorização.

Subseção VIII
Da Política de Senhas

Art. 31. A política de senhas de acessos aos sistemas e informações do CFC deve ser definida em norma específica, em conformidade com as diretrizes desta PSI.

Subseção IX
Do Uso de E-mail

Art. 32. O uso de e-mail no âmbito do CFC deve ser definido em norma específica, em conformidade com as diretrizes desta PSI, e deve tratar, entre outras coisas, do controle de acesso.

Subseção X
Do Acesso à Internet

Art. 33. O acesso à rede mundial de computadores, no âmbito do CFC, deve ser definido em norma específica, em conformidade com as diretrizes desta PSI, orientações governamentais e legislações específicas em vigor.

Subseção XI
Do Inventário e Mapeamento de Ativos de Informação

Art. 34. Inventário e Mapeamento de Ativos de Informação:

I - nos aspectos relacionados à Segurança da Informação, o processo de Inventário e Mapeamento de Ativos de Informação deve produzir subsídios para a Gestão de Segurança da Informação, Gestão de Riscos de Segurança da Informação, Gestão de Continuidade de TI, bem como para os procedimentos de avaliação da conformidade, de melhorias contínuas, de auditoria e, principalmente, de estruturação e de geração da base de dados sobre os ativos de informação;

II - o processo de Inventário e Mapeamento de Ativos de Informação deve ser dinâmico, periódico e estruturado, para manter a Base de Dados de Ativos de Informação atualizada e, consequentemente, prover informações para o desenvolvimento de ações e planos de aperfeiçoamento de práticas de Gestão da Segurança da Informação;

III - o inventário deve documentar e classificar a importância do ativo para as finalidades institucionais, o impacto para atividades finalísticas em caso de comprometimento e a estratégia que permita a recuperação do ativo em caso de desastre;

IV - todos os ativos críticos devem ter um proprietário formalmente designado.

V- o proprietário dos ativos de informação é a parte interessada do CFC, ou indivíduo legalmente instituído por sua posição e/ou cargo, o qual é responsável primário pela viabilidade e sobrevivência dos ativos de informação;

VI - o proprietário é responsável por:

a) assegurar que as informações e os ativos associados com os recursos de processamento da informação estejam adequadamente classificados;

b) definir e periodicamente analisar criticamente as classificações e as exigências de segurança da informação para os ativos de informação;

c) identificar os riscos e comunicar as exigências de segurança da informação para os ativos sob sua responsabilidade aos custodiantes e usuários;

d) implementar controles internos a fim de verificar se as exigências estão sendo cumpridas.

VII - o proprietário do ativo pode delegar formalmente as tarefas de rotina a um custodiante que cuida do ativo no dia a dia, porém a responsabilidade permanece do proprietário;

VIII - o custodiante dos ativos de informação é qualquer indivíduo ou estrutura que tenha a responsabilidade formal de proteger um ou mais ativos de informação. É responsável por aplicar os níveis de controles de segurança em conformidade com as exigências de segurança da informação informadas pelo proprietário dos ativos de informação;

IX - as regras para uso dos ativos associados com a informação e dos recursos de processamento da informação devem ser identificadas, documentadas e implementadas;

X - os usuários que têm acesso aos ativos do CFC devem estar conscientes dos requisitos de segurança da informação;

XI - a informação deve ser classificada em termos do seu valor, requisitos legais, sensibilidade e criticidade para evitar modificação ou divulgação não autorizada;

XII - o proprietário do ativo de informação deve ser responsável por sua classificação.

Subseção XII
Dos Dispositivos Móveis

Art. 35. O uso de dispositivos móveis para acesso aos recursos computacionais no âmbito do CFC deve ser controlado com a implementação de mecanismos de autenticação, autorização e registro de acesso do usuário e ser definido em norma específica em conformidade com as diretrizes desta PSI.

Subseção XIII
Da Computação em Nuvem

Art. 36. A implementação ou contratação de computação em nuvem no âmbito do CFC deve ser definida em norma específica, em conformidade com as diretrizes desta PSI e com as demais legislações vigentes sobre o tema.

Subseção XIV
Do Backup

Art. 37. Todo sistema ou informação relevante para a operação das finalidades institucionais do CFC deve possuir cópia dos seus dados de produção para que, em eventual incidente de indisponibilidade de dados, seja possível recuperar ou minimizar os impactos nas operações da instituição, devendo a implementação dos procedimentos de backups ser definida em norma específica.

Subseção XV
Da Criptografia

Art. 38. Criptografia:

I - a cifração e a decifração de informações classificadas em qualquer grau de sigilo devem utilizar recurso criptográfico, conforme procedimentos definidos em norma e legislações específicas em vigor;

II - qualquer sistema próprio do CFC que contenha tabelas com senhas devem ter essas tabelas armazenadas de forma criptografada.

Subseção XVI
Das Redes Sociais

Art. 39. O uso institucional das redes sociais deve ser norteado por diretrizes, critérios, limitações e responsabilidades, definidas em norma complementar, em conformidade com as diretrizes desta PSI.

Subseção XVII
Da Contratação de Serviços

Art. 40. Contratação de Serviços:

I - nos editais de licitação e nos contratos de empresas prestadoras de serviços com o CFC, deverá constar cláusula específica sobre a obrigatoriedade de atendimento às normas desta PSI, bem como ser exigida da empresa contratada e do prestador de serviços a assinatura do Termo de Responsabilidade e do Termo de Confidencialidade;

II - a empresa contratada também deverá demonstrar que possui mecanismos que assegurem a segurança das informações do CFC por ela acessadas, direta ou indiretamente, acesso aos ativos que contêm informações, e cumprir o disposto nesta PSI quando aplicável;

III - não poderá ser objeto de contratação a Gestão de Processos de Tecnologia da Informação ou a Gestão de Segurança da Informação;

IV - o apoio técnico aos processos de planejamento e a avaliação da qualidade das soluções de tecnologia da informação poderão ser objetos de contratação, desde que sob supervisão exclusiva de empregados do CFC;

V - os termos e procedimentos para contratação de serviços terceirizados serão detalhados em norma complementar específica.

CAPÍTULO V
DA DIVULGAÇÃO E ATUALIZAÇÃO

Art. 41. Esta PSI e suas atualizações, após publicação, deverão ser amplamente divugadas aos usuários e disponibilizadas no portal do CFC e em sua intranet, sendo consideradas um documento de relevante interesse público.

Art. 42. Esta Política de Segurança da Informação deverá ser revisada a cada 2 (dois) anos ou sempre que se fizer necessário, não excedendo ao período máximo de 3 (três) anos, a contar da data de sua publicação.

CAPÍTULO VI
DAS DISPOSIÇÕES FINAIS

Art. 43. A inobservância dos dispositivos constantes desta Política de Segurança da Informação pode acarretar, isolada ou cumulativamente, nos termos da lei, sanções administrativas, civis ou penais, assegurados aos envolvidos o contraditório e a ampla defesa.

Art. 44. Os casos omissos desta PSI serão resolvidos pelo Comitê de Segurança da Informação do CFC.

Art. 45. O Conselho Federal de Contabilidade tem o prazo de 24 (vinte e quatro) meses para implementação de todas as ações propostas por esta Política de Segurança da Informação.

ANEXO I
TERMO DE RESPONSABILIDADE

Pelo presente termo, eu, ________________________________________________, declaro ter conhecimento da Política de Segurança da Informação do Conselho Federal de Contabilidade (CFC), disponível para consulta na intranet (link....).

Declaro que estou recebendo uma conta com privilégios adequados ao exercício das atividades que executo, a qual será utilizada somente para tal fim.

Declaro estar ciente de que minhas ações serão monitoradas nos termos da Política de Segurança da Informação do CFC e de que qualquer alteração será de minha responsabilidade, feita a partir de minha identificação, autenticação e autorização.

Estou ciente, ainda, que serei responsável pelo dano que possa causar em caso de descumprimento da Política de Segurança da Informação do CFC, ao realizar uma ação de iniciativa própria de tentativa quanto à modificação da configuração, física ou lógica, dos recursos computacionais sem a permissão da área competente.

Brasília (DF), ____ de ______________ de 20XX.

Nome:
Matrícula:

Unidade Organizacional:

Nome:
Unidade Organizacional:
(titular da unidade organizacional ou gestor do contrato, para o caso dos terceirizados)


Fonte: D.O.U - 01/09/2021