Quando um responsável recorre a um subcontratante — alguém que trata dados pessoais por sua conta — o artigo 28.º do RGPD exige que o tratamento seja regido por um contrato ou por outro ato jurídico vinculativo ao abrigo do direito da União ou de um Estado-Membro, em forma escrita, incluindo eletrónica. Nas relações comuns com fornecedores, o instrumento é normalmente um contrato. O papel de subcontratante deve ser verificado no serviço concreto: pode surgir em serviços cloud, processamento salarial, TI, correio eletrónico ou CRM, mas nem todo o fornecedor que recebe dados atua por conta do responsável. O instrumento aplicável deve regular, entre outros aspetos, o objeto, a duração, a natureza e a finalidade do tratamento, as obrigações do subcontratante, as medidas de segurança, a contratação de subsubcontratantes e o apoio prestado ao responsável. A ausência de um instrumento exigido pelo artigo 28.º constitui uma falha própria, mas a licitude da comunicação e a base jurídica de cada tratamento exigem avaliação separada. Este guia percorre o que o contrato deve conter e como geri-lo na prática.
Responsável ou subcontratante? Distinguir os papéis
Antes de redigir o contrato, é necessário clarificar os papéis. O responsável pelo tratamento determina as finalidades e os meios do tratamento. Um subcontratante trata dados apenas de acordo com as instruções do responsável. Uma empresa de processamento salarial que trata os dados dos seus trabalhadores segundo as suas instruções é subcontratante; um banco que trata os mesmos dados para finalidades jurídicas próprias é, ele próprio, responsável. A classificação errada dos papéis é um erro comum que torna o contrato ineficaz, e deve ser analisada à luz da atividade concreta, não do nome escolhido pelas partes. Os papéis devem constar do seu registo de atividades de tratamento, que lista os destinatários de cada tratamento.
Cláusulas obrigatórias do artigo 28.º, n.º 3
Antes das obrigações operacionais, o contrato ou outro ato jurídico vinculativo, escrito incluindo em formato eletrónico nos termos do artigo 28.º, n.º 9, identifica o objeto, a duração, a natureza e a finalidade do tratamento, os tipos de dados, as categorias de titulares e os direitos e deveres do responsável. Depois, vincula o subcontratante às seguintes obrigações:
| Cláusula | Significado |
|---|---|
| Instruções documentadas | Incluem transferências; exceção se o direito aplicável exigir o tratamento, com informação prévia ao responsável salvo proibição legal |
| Confidencialidade | As pessoas autorizadas assumem dever de sigilo |
| Segurança (art. 32.º) | Medidas técnicas e organizativas adequadas |
| Subsubcontratantes | Só com autorização e nas mesmas condições |
| Apoio ao responsável | Auxílio no exercício dos direitos dos titulares (art. 12.º a 22.º) |
| Apoio em incidentes | Auxílio na segurança, notificação de violações e AIPD (art. 32.º a 36.º) |
| Apagamento ou devolução | Escolha do responsável, apagamento de cópias e ressalva de conservação legal |
| Auditoria e prova | Disponibiliza toda a informação necessária para demonstrar cumprimento; permite e contribui para auditorias, incluindo inspeções, pelo responsável ou auditor mandatado |
O subcontratante deve ainda informar imediatamente o responsável se considerar que uma instrução viola o RGPD ou outra disposição de proteção de dados da União ou dos Estados-Membros. Se faltar conteúdo obrigatório, o instrumento pode não cumprir o artigo 28.º e o responsável arrisca sanções, mesmo que seja o subcontratante a falhar.
Subsubcontratantes: a armadilha mais comum
O subcontratante não pode contratar um subsubcontratante sem autorização do responsável e, quando o faz, deve impor-lhe as mesmas obrigações de proteção de dados por contrato ou outro ato jurídico vinculativo ao abrigo do direito da União ou de um Estado-Membro (art. 28.º, n.º 4). Na prática, isto exige uma lista atualizada dos subcontratados dos seus fornecedores e um processo para se opor a novos. As cadeias cloud modernas podem envolver vários níveis de subsubcontratação, e o subcontratante inicial continua plenamente responsável perante o responsável pelo cumprimento das obrigações do subsubcontratante, nos termos do artigo 28.º, n.º 4; a responsabilidade por danos exige a análise própria do artigo 82.º.
Isto liga-se também às transferências internacionais: quando o acesso ou comunicação a um destinatário num país terceiro constituir uma transferência na aceção do capítulo V, é necessário avaliar um mecanismo válido, como as cláusulas contratuais-tipo.
Gestão prática e modelo
O fornecedor pode propor um contrato-tipo, mas o anexo operacional tem de descrever o serviço comprado. A Decisão (UE) 2021/915 oferece cláusulas contratuais-tipo para o artigo 28.º; não preenche automaticamente os factos do tratamento nem substitui um mecanismo de transferência internacional. Compare a versão contratual assinada, os anexos de segurança, a lista de subsubcontratantes e as condições gerais. Uma cláusula de auditoria no anexo pode ser anulada na prática por outra que limite todas as verificações a um relatório irrelevante.
Mantenha a relação ligada ao registo de atividades, com responsável interno, serviço, data da versão aceita, alterações pendentes e prova de revisão. Uma ferramenta pode organizar documentos e tarefas; não é uma conclusão automática de que uma cláusula é adequada ao serviço concreto. Ao comparar ferramentas, peça demonstração do fluxo efetivamente disponível para os seus contratos antes de o incluir no processo de aprovação. A distinção entre funcionalidades demonstradas e parecer jurídico continua necessária.
Lista de verificação na auditoria de um contrato
Antes de assinar o contrato-tipo de um fornecedor, confirme que este:
- vincula o subcontratante a seguir apenas as suas instruções documentadas,
- contém uma cláusula de confidencialidade,
- descreve medidas de segurança concretas nos termos do artigo 32.º,
- regula os subsubcontratantes e permite-lhe opor-se a novos,
- indica onde os dados são tratados e qual o mecanismo de transferência aplicável,
- obriga o subcontratante a auxiliá-lo no exercício dos direitos dos titulares e em incidentes,
- regula o apagamento ou a devolução no fim do serviço, e
- lhe confere o direito a auditorias e inspeções.
Se faltar algum ponto, deve solicitar uma alteração ou uma adenda antes de transmitir os dados. Esta auditoria deve ser documentada e ligada ao registo correspondente no seu registo de atividades de tratamento, para que, numa fiscalização, possa demonstrar que cada relação com fornecedores está controlada. Para organizações com muitos fornecedores, esta é uma das partes mais morosas do trabalho de proteção de dados e uma forte candidata à automatização, tal como sucede na escolha de um software RGPD adequado.
Exemplo hipotético: apoio ao cliente de uma loja portuguesa
Imagine uma loja que contrata uma plataforma de atendimento. Os agentes do fornecedor podem visualizar nomes, endereços eletrónicos, referências de encomenda e mensagens livres. A finalidade contratual é receber, encaminhar e responder a pedidos da loja. O responsável determina por quanto tempo conserva os pedidos e quem, na sua organização, pode dar instruções. O fornecedor decide pormenores técnicos ordinários do serviço, sem passar por isso a decidir uma finalidade própria para as mensagens. Se quiser reutilizá-las para treinar um modelo oferecido a outros clientes, esse uso tem de ser avaliado autonomamente antes de começar.
No anexo, não escreva apenas «dados de clientes». Enumere a possibilidade de anexos, a natureza do texto livre e o risco de entrada ocasional de dados sensíveis, mesmo que a loja peça aos clientes para não os enviar. Determine quem pode aceder aos pedidos para suporte, onde estão os operadores e como são segregados os dados de diferentes clientes. Se o fornecedor oferecer várias modalidades de serviço, confirme que o anexo descreve a modalidade efetivamente contratada.
Um operador externo presta apoio noturno. A loja deve saber a sua função, localização de acesso e forma de aviso sobre alterações. A autorização geral escrita permite uma cadeia flexível, mas o responsável precisa de oportunidade real para se opor a mudanças previstas. Peça a descrição das obrigações impostas ao novo operador e do procedimento caso a objeção impeça a prestação do serviço. Guarde a decisão, a descrição das obrigações impostas ao novo operador e a prova da avaliação junto do contrato correspondente, para que a cadeia possa ser revista quando houver uma alteração.
Instruções, incidentes e pedidos dos titulares
Instruções documentadas podem constar do contrato, de uma ordem aprovada ou de um pedido autenticado pelo canal acordado. Defina quem as emite e como o fornecedor verifica que são válidas. Um utilizador comum do sistema não deve poder ordenar a eliminação de toda a base de dados apenas por ter acesso a um painel. Ao mesmo tempo, o procedimento precisa de substitutos autorizados para um incidente fora de horas.
O artigo 33.º, n.º 2, manda o subcontratante informar o responsável de uma violação de dados pessoais sem demora injustificada. Pode negociar uma meta operacional de comunicação mais curta, mas não a apresente como prazo legal universal do subcontratante. A primeira mensagem deve trazer o que já se sabe: serviços afetados, momento de deteção, dados possivelmente expostos, medidas de contenção e contacto técnico. O responsável avaliará separadamente o limiar e o prazo da sua própria notificação à CNPD. A ligação entre os dois fluxos merece um ensaio antes de um incidente real.
Para pedidos de acesso ou apagamento, verifique se o fornecedor consegue localizar dados usando os identificadores que a loja realmente possui. É pouco útil prometer «assistência» quando o sistema só pesquisa por uma chave interna desconhecida do responsável. Faça um teste com um registo fictício, anote o tempo e os limites da exportação, e documente exceções ao apagamento. A resposta jurídica ao titular continua a caber ao responsável, com os seus prazos e verificações.
Segurança e auditoria que produzem prova
O artigo 28.º exige que o subcontratante adote as medidas do artigo 32.º e dê ao responsável informação suficiente para demonstrar o cumprimento. Um certificado ou relatório pode ajudar se cobrir o serviço, período, sistemas e entidades relevantes. Leia as exclusões. Um relatório sobre um centro de dados não demonstra necessariamente a segurança dos acessos de suporte ou das cópias de segurança. Peça a descrição de medidas proporcionais aos dados: controlo de acessos, registo de operações, gestão de vulnerabilidades, cópias, restauro e pessoal autorizado.
A auditoria pode seguir uma sequência: documentação de base, perguntas dirigidas, revisão independente e, quando justificado, inspeção. Estabeleça regras de confidencialidade e proteção dos outros clientes, mas preserve um meio eficaz de verificar o cumprimento, incluindo perante suspeitas fundadas. Uma condição que permita ao fornecedor recusar toda a prova relevante esvazia a obrigação do artigo 28.º. Registe as lacunas, o responsável por as resolver e a decisão de aceitar ou suspender o serviço.
Alterações e fim do contrato
Reveja o anexo quando entra um novo canal, quando se grava uma chamada ou quando outro país passa a poder aceder aos pedidos. A mudança pode afetar categorias de dados, conservação, informação aos titulares e avaliação de transferências; não basta atualizar uma lista de nomes. Guarde a versão anterior, a notificação recebida e a decisão tomada. Assim consegue reconstruir as instruções em vigor na data de um incidente.
No fim do serviço, o responsável escolhe a devolução ou o apagamento, ressalvada obrigação legal de conservar determinados dados. Peça uma exportação utilizável antes de perder o acesso e confirme o que acontece a anexos, logs e cópias de segurança. O fornecedor deve explicar o calendário técnico das cópias e certificar o resultado de modo verificável. Encerre separadamente credenciais e integrações. A mera cessação da faturação não comprova a eliminação dos dados.
A orientação final do EDPB sobre responsável e subcontratante ajuda a resolver dúvidas de papel. A decisão 2021/915 e o texto do RGPD são os pontos de partida jurídicos; as perguntas acima são propostas de implementação que devem adaptar-se ao serviço.
Uma última verificação deve comparar o contrato com o serviço realmente ativado. Se o anexo menciona alojamento na UE mas a equipa de suporte pode consultar pedidos a partir de outro país, confirme a configuração, a função do destinatário e a eventual aplicação do capítulo V. Se a lista de subsubcontratantes inclui um prestador que não participa na modalidade comprada, peça esclarecimento em vez de concluir automaticamente que todos recebem dados. O resultado da revisão deve identificar factos confirmados, pontos em aberto e a pessoa que decide antes do primeiro tratamento. Este registo é especialmente útil quando as condições gerais do fornecedor mudam sem que o contrato principal seja renegociado.
Quando o fornecedor descreve segurança apenas como «medidas adequadas», peça um anexo verificável e compare-o com as medidas técnicas e organizativas de que o serviço precisa. Se houver acesso por país terceiro, o contrato do artigo 28.º não dispensa uma avaliação da transferência quando o mecanismo e as circunstâncias a exigirem. A decisão deve indicar quem confirmou o acesso, qual o instrumento utilizado e que dúvida ficou pendente.
Perguntas frequentes
Quando é obrigatório um contrato de subcontratação?
Sempre que um prestador trata dados pessoais por conta do responsável, o tratamento tem de ser regido por um contrato escrito ou por outro ato jurídico vinculativo ao abrigo do direito da União ou de um Estado-Membro, também em forma escrita, incluindo eletrónica. Nas relações comuns com fornecedores, usa-se normalmente um contrato. O instrumento necessário deve reger o tratamento antes de este começar; a base jurídica, a finalidade e eventuais transferências têm de ser analisadas à parte.
Quanto custa gerir os contratos de subcontratação?
Não existe um preço legal ou um orçamento típico demonstrado para este trabalho. Peça propostas que distingam revisão inicial, atualização de anexos, acompanhamento de alterações e acesso a documentação de auditoria. Registe o esforço interno de compras, segurança e equipa jurídica para comparar opções. O guia de custos de software RGPD pode ajudar a estruturar perguntas, mas uma faixa genérica não prevê o preço do seu caso.
Quem é responsável se o subcontratante causar um incidente?
As responsabilidades dependem da obrigação violada e do dano. O artigo 82.º disciplina a responsabilidade e o direito de regresso entre intervenientes conforme a sua parte de responsabilidade; o contrato não afasta deveres legais de nenhuma das partes. Um contrato bem redigido, com repartição clara de responsabilidades, é, por isso, decisivo.
Conclusão
A relação responsável–subcontratante deve ser regida por um contrato escrito ou por outro ato jurídico vinculativo ao abrigo do direito da União ou de um Estado-Membro, em forma escrita, incluindo eletrónica; esse instrumento não substitui a base de licitude do tratamento. O artigo 28.º, n.º 3, enumera as cláusulas que têm de existir, e a armadilha mais comum é o controlo deficiente dos subsubcontratantes e das transferências internacionais. Clarifique os papéis, audite cada contrato face a todas as cláusulas obrigatórias e mantenha uma lista atualizada ligada ao registo. Para organizações com muitos fornecedores, a auditoria contratual é morosa o suficiente para justificar uma ferramenta que a automatize.
Leituras relacionadas: