As cláusulas contratuais-tipo para transferências internacionais só são úteis quando o contrato identifica o fluxo real: quem disponibiliza os dados, quem os recebe, em que qualidade, para que operações e com que proteção. Um documento assinado com quatro módulos por selecionar e anexos genéricos deixa essas decisões por tomar.
Este guia ajuda a preparar um conjunto contratual verificável, desde a escolha do módulo até à aprovação dos anexos e ao acompanhamento das alterações. O exemplo é fictício e mostra como transformar respostas de um fornecedor numa decisão de contratação. A avaliação concreta do país e das medidas pertence ao mesmo processo, mesmo quando fica documentada separadamente.
Confirmar que estas cláusulas são o instrumento adequado
A Decisão de Execução 2021/914 contém as cláusulas para transferências abrangidas pelo seu âmbito. Não confunda este instrumento com as cláusulas da Decisão 2021/915 relativas à relação entre responsável e subcontratante. Um acordo de tratamento de dados não resolve, só por existir, uma transferência internacional.
Comece por identificar uma disponibilização a outra entidade num país terceiro. Inclua acesso remoto, assistência e transferências subsequentes, além do alojamento principal. Um centro de dados europeu não exclui acesso por uma sociedade prestadora fora do EEE. A cartografia dos sistemas e fluxos permite localizar essas operações antes de escolher o contrato.
Verifique primeiro se existe uma decisão de adequação aplicável ao destinatário e ao tratamento ou outro instrumento adequado. As CCT são uma opção do artigo 46.º, não a solução obrigatória para todas as transferências. A comparação entre BCR, CCT e DPF ajuda a separar a escolha do mecanismo do preenchimento contratual.
O âmbito da Decisão 2021/914 pressupõe que o tratamento do importador não está sujeito ao RGPD. A página atual da Comissão sobre CCT distingue esse conjunto dos instrumentos adicionais em desenvolvimento para importadores diretamente sujeitos ao regulamento. Se o artigo 3.º abranger a operação do destinatário, analise especificamente o instrumento disponível e aplicável; não resolva a questão assinalando um módulo por aproximação.
Escolher o módulo pelo papel em cada fluxo
A mesma empresa pode ocupar papéis diferentes em operações distintas. Uma plataforma pode tratar contactos por instruções do cliente e determinar autonomamente certas finalidades próprias. Essa realidade exige uma análise da operação, e não apenas a aceitação do rótulo comercial «prestador».
| Módulo | Exportador e importador | Exemplo de fluxo a verificar |
|---|---|---|
| 1 | Responsável para responsável | Uma organização transmite dados a uma entidade que decide as próprias finalidades |
| 2 | Responsável para subcontratante | Uma empresa contrata um serviço que trata dados por suas instruções |
| 3 | Subcontratante para subcontratante | Um prestador recorre a outro prestador para executar parte do serviço |
| 4 | Subcontratante para responsável | Um prestador no EEE devolve ou disponibiliza dados ao seu cliente responsável num país terceiro |
No módulo 4, a direção da transferência é do subcontratante exportador para o responsável importador. Não corresponde a uma devolução por um prestador estrangeiro a um cliente europeu. Registe o motivo da escolha e quem validou os papéis. Quando houver dúvida, resolva primeiro a distinção entre responsável e subcontratante.
Selecione as cláusulas comuns e as disposições do módulo aplicável. Retire opções incompatíveis ou não escolhidas, preenchendo os campos necessários. Se vários fluxos partilharem um contrato, torne inequívoco qual o módulo, quais as partes e quais os anexos aplicáveis a cada um.
Preencher o anexo I com informação utilizável
A identificação deve corresponder às entidades jurídicas que assumem as obrigações, com contactos operacionais e poderes de vinculação adequados. O nome de um produto ou de um grupo económico não substitui a sociedade contratante. Confirme também a entidade que presta assistência e a que recebe efetivamente os dados.
Na descrição da transferência, indique categorias de titulares, dados, operações, frequência, finalidades e conservação. Para dados sensíveis, descreva restrições e salvaguardas específicas. Evite «todos os dados necessários ao serviço»: essa fórmula não ajuda o responsável a excluir um campo excessivo nem o prestador a reconhecer uma instrução fora do âmbito.
Considere este preenchimento fictício para um serviço de apoio ao cliente:
| Campo | Preenchimento proposto |
|---|---|
| Titulares | Clientes e pessoas que contactam o apoio |
| Dados | Nome de contacto, endereço eletrónico, número da encomenda e conteúdo selecionado do pedido |
| Operações | Armazenar pedidos, atribuir tarefas e responder segundo instruções |
| Frequência | Acesso durante o funcionamento do apoio e intervenções de assistência autorizadas |
| Exclusões | Sem importação de documentos de identidade, informação clínica ou dados completos de pagamento |
| Conservação | Calendário por categoria acordado no serviço, com eliminação operacional e tratamento das cópias de segurança descritos separadamente |
As exclusões precisam de execução: instruções aos utilizadores, campos limitados e um procedimento para remover anexos recebidos indevidamente. Se o serviço depende de texto livre, explique como tratar informação sensível enviada espontaneamente. Uma exclusão contratual não impede tecnicamente essa entrada.
Quando aplicável, identifique no anexo I.C a autoridade competente segundo a cláusula 13. Não preencha automaticamente «CNPD» apenas porque uma parte tem um cliente português. Verifique o estabelecimento do exportador e as condições previstas na cláusula para a situação concreta.
Transformar o anexo II em compromissos verificáveis
O anexo de segurança deve descrever medidas realmente aplicáveis ao serviço contratado. «Cifragem, controlo de acesso e boas práticas» não esclarece quem pode ler dados, quem gere as chaves ou como se revoga uma autorização. Utilize o modelo de medidas técnicas e organizativas para pedir respostas por sistema e responsabilidade.
No exemplo do apoio ao cliente, o anexo poderia prever contas nominativas, autenticação multifator para administração, permissões separadas por equipa e aprovação prévia de assistência com acesso a conteúdo. A prova de execução seria uma demonstração das funções, um registo de autorização e um exercício de revogação. Estes elementos são escolhas ilustrativas a confirmar tecnicamente.
Para a cifragem, identifique os dados abrangidos em trânsito e em repouso, o detentor das chaves e os momentos de acesso em claro. Se o fornecedor precisa de ler o conteúdo para prestar o serviço, a cifragem em repouso não elimina esse acesso. Não a apresente como medida que neutraliza qualquer pedido de uma autoridade estrangeira.
Inclua a assistência ao exercício de direitos, à gestão de incidentes e à eliminação. Uma medida útil identifica o pedido que inicia a ação, o destinatário, a informação devolvida e a forma de confirmar a execução. Associe cada compromisso importante a evidência, evitando anexos que prometem funções inexistentes na modalidade adquirida.
Escolher como autorizar outros subcontratantes
Nos módulos 2 e 3, a cláusula 9 oferece opções de autorização específica prévia ou autorização geral escrita. A escolha deve refletir o processo que as partes conseguem executar. Um prazo contratual de aviso só funciona se a mensagem chegar a alguém que consiga avaliar a alteração antes da entrada do novo prestador.
O anexo III é obrigatório nesses módulos quando se escolhe a autorização específica prevista na opção 1. Na autorização geral, mantenha a lista acordada e um processo de informação sobre adições ou substituições, com oportunidade de oposição nos termos da cláusula. Não trate o anexo III como obrigação idêntica em todas as combinações contratuais.
Peça, para cada entidade relevante, serviço prestado, país, categorias de dados e condições de acesso. No exemplo, um fornecedor de alojamento e uma sociedade de assistência podem criar riscos diferentes. Se a lista disser apenas «empresas do grupo», falta informação para avaliar quem participa no tratamento e quais os fluxos subsequentes.
Ligar a assinatura à avaliação da transferência
A cláusula 14 exige a avaliação das leis e práticas relevantes nos termos nela previstos. A avaliação de impacto da transferência deve explicar se o importador consegue cumprir as obrigações e que medidas suplementares são necessárias e eficazes. Um questionário respondido pelo fornecedor é uma fonte de informação; a conclusão continua a exigir análise do fluxo e dos elementos disponíveis.
Nos módulos 1, 2 e 3, verifique esta avaliação antes de iniciar a operação. No módulo 4, as cláusulas 14 e 15 especificam a situação em que o subcontratante europeu combina dados recebidos do responsável do país terceiro com dados recolhidos pelo próprio subcontratante na União. Respeite essa delimitação ao aplicar as obrigações, em vez de copiar a mesma declaração para qualquer devolução de dados.
No nosso exemplo, a primeira proposta permite assistência permanente com acesso a todas as mensagens. A equipa identifica informação pessoal potencialmente extensa em anexos e não aceita essa configuração. A proposta revista limita a assistência a sessões autorizadas, remove anexos desnecessários e fornece registos de acesso. A aprovação fica condicionada à avaliação jurídica da transferência e à demonstração dessas medidas; o contrato não é assinado como substituto dessas verificações.
Rever conflitos e preparar a execução
As perguntas e respostas da Comissão explicam as adaptações permitidas e a incorporação num contrato mais amplo. Podem acrescentar-se salvaguardas, mas outras disposições não devem contradizer as CCT ou prejudicar os direitos dos titulares. Leia também os limites de responsabilidade, regras de auditoria e condições de suspensão do contrato principal.
Prepare uma ficha de aprovação com cinco resultados: módulo confirmado, anexos completos, avaliação concluída, medidas demonstradas e responsáveis pela execução identificados. Uma pendência deve indicar o impedimento e quem o resolve. «Aprovação jurídica em curso» não equivale a autorização para começar a transferir dados enquanto falta uma salvaguarda essencial.
Depois da assinatura, conserve a versão vinculativa e os anexos correspondentes, incluindo a data de início do fluxo. Registe alterações de entidade, país, acesso, finalidade e medidas. Defina revisões proporcionais e gatilhos de reavaliação, sem inventar uma periodicidade anual universal. Se o importador deixar de conseguir cumprir, ative as medidas previstas nas cláusulas, incluindo a suspensão ou cessação quando aplicáveis.
Num exercício de encerramento, peça ao fornecedor que explique como devolver dados, eliminar cópias operacionais e tratar a retenção técnica das cópias de segurança. Confirme que a organização consegue continuar o serviço e demonstrar as instruções dadas. O conjunto contratual fica operacional quando essas decisões são executáveis pelas equipas que administram os dados.