Contratos de subcontratação do RGPD: as cláusulas que realmente sustentam

Porque existe o contrato de subcontratação

Ao abrigo do RGPD, o responsável decide por que e como os dados pessoais são tratados; o subcontratante atua segundo instruções documentadas do responsável. O artigo 28 exige um contrato escrito entre ambos sempre que um subcontratante trate dados pessoais, e enumera o seu conteúdo obrigatório.

Essa lista é um piso, não um modelo. Um contrato assinado que reproduz os dez pontos em texto padrão e deixa os anexos vazios não é, na prática, contrato nenhum.

O conteúdo obrigatório

O artigo 28.º, n.º 3, exige indicar o objeto, a duração, a natureza e a finalidade do tratamento, o tipo de dados pessoais e as categorias de titulares, bem como as obrigações e direitos do responsável. Acrescenta dez deveres concretos do subcontratante:

1. Tratar apenas segundo instruções documentadas do responsável, incluindo transferências para países terceiros.
2. Sujeitar a deveres de confidencialidade o pessoal autorizado.
3. Aplicar as medidas de segurança do artigo 32.º.
4. Respeitar as condições para recorrer a outro subcontratante.
5. Assistir o responsável nos pedidos de exercício de direitos dos titulares.
6. Assistir na notificação de violações, segurança e avaliações de impacto.
7. Eliminar ou devolver os dados no fim do serviço.
8. Disponibilizar toda a informação necessária para demonstrar conformidade.
9. Permitir e contribuir para auditorias e inspeções.
10. Informar o responsável de exigências legais contraditórias antes do tratamento.

Um contrato a que falte algum destes é incompleto à partida. Mas a exaustividade é o teste fácil; o difícil é saber se as cláusulas são operacionalmente verdadeiras.

Os anexos suportam o peso

Três anexos fazem o trabalho real. A descrição do tratamento deve descrever de facto o tratamento, não repetir os considerandos. As medidas técnicas e organizativas devem enumerar salvaguardas concretas, porque são o documento que um auditor compara com a realidade. A lista de subcontratantes deve estar atualizada e completa, pois o subcontratante não pode recorrer a novo subcontratante sem autorização e deve dar ao responsável oportunidade de se opor.

O padrão de falha é constante: o anexo de medidas diz «cifragem em repouso e em trânsito» enquanto um repositório de cópias fica sem cifra, ou a lista de subcontratantes tem dois anos porque ninguém a mantém. Ambos são achados que se leem como descuido e não como má-fé, e ambos são inteiramente evitáveis.

Subcontratantes e transferências internacionais

O subcontratante que recorre a um subcontratante deve impor-lhe por contrato as mesmas obrigações de proteção. A autorização pode ser específica ou geral; se geral, o responsável deve poder opor-se, e o subcontratante deve informar das alterações previstas com tempo para que a oposição sirva para algo.

As transferências para fora do Espaço Económico Europeu necessitam de base jurídica própria: uma decisão de adequação ou garantias adequadas como as cláusulas contratuais-tipo de 2021. Um contrato de subcontratação, por si só, não autoriza uma transferência. Se houver subcontratantes em países terceiros, o mecanismo de transferência deve estar documentado na mesma arquitetura do tratamento, não acrescentado depois.

Tornar o contrato real

Três práticas separam um contrato operativo de um arquivado. Primeira: manter a lista de subcontratantes sob controlo de versões, com responsável nomeado e data de revisão. Segunda: ligar cada entrada do anexo de medidas a um controlo nomeado que conste da sua documentação de segurança, para que ambos possam ser comparados. Terceira: verificar anualmente que o anexo ainda descreve o que acontece, porque o valor de um contrato de subcontratação não está na assinatura, mas em saber se quem o lê reconheceria a sua operação.