PORTARIA NORMATIVA INPI/PR Nº 83, DE 7 DE JULHO DE 2026 (parte 2 de 2)

II - determinação de que o operador não processe os dados pessoais para
finalidades que divergem da finalidade principal informada pelo controlador;
III - requisitos de proteção de dados pessoais que os operadores de dados
pessoais devem atender;
IV - condições sob as quais o operador deve devolver ou descartar com
segurança os dados pessoais após a conclusão do serviço, rescisão de qualquer contrato
ou de outra forma mediante solicitação do controlador; e
V - diretrizes especificas sobre o uso de subcontratados pelo operador para
execução contratual que envolva tratamento de dados pessoais.
Art. 56. As unidades organizacionais do INPI devem adotar medidas rigorosas
com o propósito de assegurar que os terceiros e processadores de dados pessoais
contratados estejam plenamente em conformidade com as cláusulas contratuais
estabelecidas no momento da celebração do acordo entre as partes envolvidas.
Art. 57. O Termo de Referência ou Projeto Básico para contratação de soluções
de Tecnologia da Informação e Comunicação - TIC deve conter, no que couber ao objeto
contratado, requisitos e obrigações de Segurança da Informação e Privacidade - SIP,
devendo ser empregados, conforme critérios próprios, os requisitos imprescindíveis,
considerando a legislação vigente e os riscos de segurança da informação e privacidade.
Art. 58. A equipe de planejamento da contratação, ao especificar os requisitos
e obrigações de SIP, deve considerar, no que couber, aspectos que:
I - propiciem a disponibilidade da solução de TIC contratada;
II - evitem vazamento de dados e fraudes digitais;
III - exijam, por parte da contratada, a definição de processo de gestão de
riscos de SIP que envolvam a solução de TIC;
IV - possibilitem a rastreabilidade de forma a manter trilha de auditoria de
SIP;
V - assegurem a continuidade do negócio implementado pela solução de TIC
contratada;
VI - realizem o tratamento de dados pessoais, conforme o disposto na LGPD e
o tratamento de informações classificadas, conforme legislação vigente;
VII - prevejam a realização de auditoria de SIP relativa à conformidade dos
requisitos de segurança da informação e privacidade previstos pela contratação;
VIII - assegurem a gestão e tratamento de incidentes de forma
sistematizada;
IX - indiquem e implementem diretrizes para o desenvolvimento e obtenção de
software seguro;
X - contemplem processo de gestão de mudanças e implementem a gestão de
capacidade; e
XI - implementem controles criptográficos, registros de logs, políticas de
segurança da informação e privacidade.
Art. 59. A equipe de planejamento da contratação deve garantir que o contrato
contenha sanções administrativas pelo descumprimento de cada um dos requisitos de
segurança da informação e de privacidade que forem especificados.
Art. 60. A equipe de planejamento da contratação deve considerar quaisquer
outros aspectos que constem no Guia de Requisitos e de Obrigações quanto à Segurança
da Informação e Privacidade, publicado pelo órgão central do Sistema de Administração
dos Recursos de Tecnologia da Informação - SISP.
CAPÍTULO VIII
DAS PENALIDADES
Art. 61. As ações que violarem esta Política poderão acarretar, isolada ou
cumulativamente, nos termos da legislação aplicável, sanções administrativas, civis e
penais, assegurados aos envolvidos o contraditório e a ampla defesa.
Art. 62. Os casos de descumprimento desta Política serão registrados e
comunicados ao encarregado pelo tratamento de dados pessoais para ciência e tomada
das providências cabíveis.
Art. 63. Os agentes públicos envolvidos em violações ou infrações relativas à
proteção de dados pessoais poderão ser responsabilizados nos termos da Lei nº 8.112, de
11 de dezembro de 1990 (Estatuto dos Servidores Públicos Civis da União), da Lei nº
8.429, de 2 de junho de 1992 (Lei de Improbidade Administrativa), da LGPD e da LAI.
CAPÍTULO IX
DAS DISPOSIÇÕES FINAIS
Art. 64. O INPI compromete-se com a melhoria contínua do Programa de
Governança em Privacidade, por meio do monitoramento do cenário legislativo e das
melhores práticas, e da realização de auditorias internas e junto a operadores de dados
pessoais controlados pelo INPI.
Art. 65. O CSI poderá expedir instruções complementares, no âmbito de suas
competências, que detalharão suas particularidades e procedimentos relativos à Proteção
de Dados Pessoais alinhados às diretrizes que emitir e às políticas institucionais do INPI.
Art. 66. As dúvidas relativas à Política de Proteção de Dados Pessoais e a seus
documentos serão submetidas ao CSI.
Art. 67. Esta Política será revisada, no máximo, a cada 2 (dois) anos, a partir
do início de sua vigência.
Art. 68. Esta Política será divulgada e suas atualizações serão comunicadas de
forma proativa.
Art. 69. Os casos omissos serão resolvidos pelo CSI.
Art. 70. Fica revogada a Portaria INPI/PR nº 28, de 2 de junho de 2021.
Art. 71. Esta Portaria Normativa entra em vigor na data de sua publicação na
Revista da Propriedade Industrial.
SORAYA SALES DOS SANTOS E SILVA