PORTARIA NORMATIVA INPI/PR Nº 83, DE 7 DE JULHO DE 2026 (parte 2 de 3)

IV - assegurar aos titulares meios céleres, eficazes e adequados para
viabilizar a comunicação com o encarregado e o exercício de direitos; e
V - garantir ao encarregado acesso direto às gestores de maior nível
hierárquico do INPI, aos responsáveis pela tomada de decisões estratégicas que afetem
ou envolvam o tratamento de dados pessoais, bem como às demais unidades
organizacionais.
CAPÍTULO VII
DOS CONTRATOS, CONVÊNIOS, ACORDOS E INSTRUMENTOS CONGÊNERES
Art. 55. Os contratos, convênios, acordos e instrumentos similares
atualmente em vigor, que de alguma forma envolvam o tratamento de dados pessoais,
precisam incorporar as cláusulas específicas constantes do Anexo desta Portaria
Normativa, em total conformidade com a presente Política de Proteção de Dados
Pessoais, contemplando minimamente:
I - requisitos mínimos de segurança da informação;
II - determinação de que o operador não processe os dados pessoais para
finalidades que divergem da finalidade principal informada pelo controlador;
III - requisitos de proteção de dados pessoais que os operadores de dados
pessoais devem atender;
IV - condições sob as quais o operador deve devolver ou descartar com
segurança os dados pessoais após a conclusão do serviço, rescisão de qualquer contrato
ou de outra forma mediante solicitação do controlador; e
V - diretrizes especificas sobre o uso de subcontratados pelo operador para
execução contratual que envolva tratamento de dados pessoais.
Art. 56. As unidades organizacionais do INPI devem adotar medidas rigorosas
com o propósito de assegurar que os terceiros e processadores de dados pessoais
contratados estejam plenamente em conformidade com as cláusulas contratuais
estabelecidas no momento da celebração do acordo entre as partes envolvidas.
Art. 57. O Termo de Referência ou Projeto Básico para contratação de
soluções de Tecnologia da Informação e Comunicação - TIC deve conter, no que couber
ao objeto contratado, requisitos e obrigações de Segurança da Informação e
Privacidade - SIP, devendo ser empregados, conforme critérios próprios, os requisitos
imprescindíveis, considerando a legislação vigente e os riscos de segurança da
informação e privacidade.
Art. 58. A equipe de planejamento da contratação, ao especificar os
requisitos e obrigações de SIP, deve considerar, no que couber, aspectos que:
I - propiciem a disponibilidade da solução de TIC contratada;
II - evitem vazamento de dados e fraudes digitais;
III - exijam, por parte da contratada, a definição de processo de gestão de
riscos de SIP que envolvam a solução de TIC;
IV - possibilitem a rastreabilidade de forma a manter trilha de auditoria de
SIP;
V - assegurem a continuidade do negócio implementado pela solução de TIC
contratada;
VI - realizem o tratamento de dados pessoais, conforme o disposto na LGPD
e o tratamento de informações classificadas, conforme legislação vigente;
VII - prevejam a realização de auditoria de SIP relativa à conformidade dos
requisitos de segurança da informação e privacidade previstos pela contratação;
VIII - assegurem a gestão e tratamento de incidentes de forma
sistematizada;
IX - indiquem e implementem diretrizes para o desenvolvimento e obtenção
de software seguro;
X - contemplem processo de gestão de mudanças e implementem a gestão
de capacidade; e
XI - implementem controles criptográficos, registros de logs, políticas de
segurança da informação e privacidade.
Art. 59. A equipe de planejamento da contratação deve garantir que o
contrato contenha sanções administrativas pelo descumprimento de cada um dos
requisitos de segurança da informação e de privacidade que forem especificados.
Art. 60. A equipe de planejamento da contratação deve considerar quaisquer
outros aspectos que constem no Guia de Requisitos e de Obrigações quanto à
Segurança da Informação e Privacidade, publicado pelo órgão central do Sistema de
Administração dos Recursos de Tecnologia da Informação - SISP.
CAPÍTULO VIII
DAS PENALIDADES
Art. 61. As ações que violarem esta Política poderão acarretar, isolada ou
cumulativamente, nos termos da legislação aplicável, sanções administrativas, civis e
penais, assegurados aos envolvidos o contraditório e a ampla defesa.
Art. 62. Os casos de descumprimento desta Política serão registrados e
comunicados ao encarregado pelo tratamento de dados pessoais para ciência e tomada
das providências cabíveis.
Art. 63. Os agentes públicos envolvidos em violações ou infrações relativas
à proteção de dados pessoais poderão ser responsabilizados nos termos da Lei nº
8.112, de 11 de dezembro de 1990 (Estatuto dos Servidores Públicos Civis da União),
da Lei nº 8.429, de 2 de junho de 1992 (Lei de Improbidade Administrativa), da LGPD
e da LAI.
CAPÍTULO IX
DAS DISPOSIÇÕES FINAIS
Art. 64. O INPI compromete-se com a melhoria contínua do Programa de
Governança em Privacidade, por meio do monitoramento do cenário legislativo e das
melhores práticas, e da realização de auditorias internas e junto a operadores de dados
pessoais controlados pelo INPI.
Art. 65. O CSI poderá expedir instruções complementares, no âmbito de suas
competências, que detalharão suas particularidades e procedimentos relativos à
Proteção de Dados Pessoais alinhados às diretrizes que emitir e às políticas
institucionais do INPI.
Art. 66. As dúvidas relativas à Política de Proteção de Dados Pessoais e a
seus documentos serão submetidas ao CSI.
Art. 67. Esta Política será revisada, no máximo, a cada 2 (dois) anos, a partir
do início de sua vigência.
Art. 68. Esta Política será divulgada e suas atualizações serão comunicadas
de forma proativa.
Art. 69. Os casos omissos serão resolvidos pelo CSI.
Art. 70. Fica revogada a Portaria INPI/PR nº 28, de 2 de junho de 2021.
Art. 71. Esta Portaria Normativa entra em vigor na data de sua publicação
na Revista da Propriedade Industrial.
*Republicação por erro material.
JULIO CESAR CASTELO BRANCO REIS MOREIRA