O responsável pelo tratamento determina as finalidades e os meios do tratamento de dados pessoais. O subcontratante trata dados por conta do responsável, segundo as instruções aplicáveis. A qualificação depende das operações reais: um contrato que chama «subcontratante» a todas as partes não resolve uma utilização autónoma dos dados.
Para decidir que acordo preparar, analise cada finalidade e cada etapa. O resultado deve mostrar quem decide, quem executa, que utilizações são próprias e quais os documentos necessários. Este guia oferece uma ficha preenchida para um serviço de apoio ao cliente e critérios para tratar situações com responsabilidades conjuntas ou funções diferentes na mesma relação comercial.
Identificar quem decide a finalidade
As definições constam do artigo 4.º do RGPD. Comece por perguntar por que motivo a operação existe. Quem decide contactar clientes, analisar pedidos, conservar documentos ou utilizar informação para desenvolver um produto? Identifique a entidade que toma essa decisão, incluindo uma eventual atribuição pela lei.
O pagamento de um serviço não demonstra que o fornecedor determina uma finalidade autónoma de tratamento. Um prestador tem interesse económico em executar o contrato, mas pode continuar a tratar o conteúdo exclusivamente por conta do cliente. Por outro lado, uma utilização própria dos dados não se torna instruída apenas porque aparece numa cláusula aceite pelo cliente.
Separe a finalidade do serviço da finalidade de cada operação sobre dados. Uma empresa que envia mensagens por instruções pode ser subcontratante quanto aos destinatários e ao conteúdo enviado. Pode ser responsável por outra operação, como a gestão dos seus próprios contactos de faturação. As conclusões são atribuídas a operações, não como um rótulo permanente de toda a empresa.
Distinguir meios essenciais e decisões práticas
A escolha dos meios envolve mais do que selecionar um programa. Identifique quem decide as categorias de titulares e de dados, a duração e os destinatários do tratamento. Essas decisões ajudam a revelar quem controla os elementos essenciais da operação.
O subcontratante pode ter alguma margem para escolher soluções técnicas e organizativas adequadas à execução, sem se tornar automaticamente responsável. Escolher uma implementação de cópias de segurança ou um mecanismo de cifragem pode ser compatível com as instruções recebidas. É necessário verificar se essa margem altera as finalidades ou os meios essenciais que cabem ao responsável.
As Orientações 07/2020 do CEPD, versão final 2.1, tratam a qualificação como funcional e desenvolvem essa distinção. O contrato é evidência relevante, mas deve corresponder ao funcionamento do serviço. Uma apresentação comercial ou uma resposta «somos conformes» não demonstra quem efetivamente decide.
Peça ao fornecedor que execute uma instrução de exemplo: restringir uma categoria de dados, eliminar um conjunto ou desativar uma utilização opcional. A resposta permite avaliar se o cliente tem controlo real sobre o tratamento contratado e que limitações devem constar da análise.
Preencher a matriz de papéis
Reúna responsáveis do processo, compras, tecnologia e proteção de dados. Descreva primeiro as operações sem lhes atribuir um papel. Só depois compare quem determina a finalidade e os meios essenciais, quem atua por conta de quem e quais as utilizações independentes.
| Campo da ficha | Pergunta a resolver |
|---|---|
| Operação | Que ação sobre dados está a ser analisada? |
| Finalidade | Para que resultado são tratados os dados? |
| Decisores | Quem aprova categorias, duração, destinatários e usos? |
| Instruções | Que entidade pode dar instruções e como são executadas? |
| Utilizações próprias | Alguma parte reutiliza dados para objetivos que determina? |
| Evidência | Que cláusula, configuração ou demonstração suporta a resposta? |
| Conclusão | Responsável, subcontratante ou determinação conjunta, para que etapa? |
Inclua uma coluna de pendências. «O fornecedor pode usar dados para melhoria» é demasiado vago: pode referir-se a corrigir o serviço por instruções, produzir estatísticas anónimas ou desenvolver um modelo para clientes diferentes. Peça categorias, finalidade, método e possibilidade de identificação. A produção de um resultado anónimo a partir de dados pessoais também é uma operação a qualificar.
Exemplo preenchido: apoio ao cliente
Uma empresa fictícia contrata uma aplicação para gerir pedidos de apoio. Decide quem pode abrir pedidos, que campos são recolhidos e quando são eliminados. O prestador conserva o conteúdo e disponibiliza funções de pesquisa e resposta segundo o contrato. A aplicação permite desativar utilizações opcionais e exportar ou eliminar dados mediante instrução.
Para esta operação de gestão de pedidos, a ficha conclui que a empresa é responsável e o prestador é subcontratante. A evidência inclui as instruções documentadas, a configuração de retenção e a demonstração da eliminação. A organização prepara ou revê o contrato do artigo 28.º para refletir os dados e as operações efetivos.
O prestador também conserva os nomes e contactos dos interlocutores comerciais para faturar o serviço e gerir o seu contrato. A ficha separa esta operação própria e analisa o prestador como responsável por ela. Essa conclusão não lhe dá autorização para usar livremente o conteúdo dos pedidos dos clientes.
Surge depois uma proposta de utilizar mensagens identificáveis para treinar um modelo destinado a todos os clientes do fornecedor. A análise inicial não cobre esse objetivo. A equipa pede detalhes e examina quem determina a finalidade e os meios do treino, a licitude, a informação e a relação com as instruções. Não presume que existe responsabilidade conjunta apenas porque ambos podem beneficiar do produto.
A decisão preenchida é suspender a ativação dessa funcionalidade até concluir a análise. O serviço de apoio pode manter o âmbito previamente aprovado se for possível separar tecnicamente as operações. A ficha identifica a configuração desativada e o responsável por verificar que continua assim após atualizações.
Reconhecer a responsabilidade conjunta
Pode existir responsabilidade conjunta quando duas ou mais entidades participam na determinação das finalidades e dos meios. Essa participação pode resultar de uma decisão comum ou de decisões convergentes com o efeito descrito nas orientações. Partilhar um interesse comercial ou transmitir dados entre organizações não basta, isoladamente, para concluir pela responsabilidade conjunta.
Imagine duas entidades que desenham em conjunto a recolha de inscrições para um evento, decidem campos, critérios de seleção e utilização partilhada das inscrições. A avaliação deve identificar a etapa determinada em conjunto. Uma utilização posterior que uma entidade decide autonomamente pode exigir uma qualificação distinta.
O artigo 26.º exige que as responsabilidades sejam determinadas de modo transparente, salvo na medida em que estejam fixadas pela lei aplicável. O acordo deve refletir os papéis reais, em especial quanto à informação e ao exercício de direitos. A sua essência deve ser disponibilizada aos titulares, que podem exercer os direitos perante cada responsável, independentemente da distribuição interna.
Não utilize um contrato de subcontratação para evitar essa análise. Também não atribua a uma parte toda a relação com os titulares sem preparar a cooperação necessária. O procedimento de transparência e resposta a direitos deve permitir encaminhar pedidos e recuperar informação de ambas as entidades.
Associar as obrigações ao papel confirmado
O responsável define a licitude e demonstra o cumprimento, incluindo segurança, informação e avaliação de impacto quando exigível. Ao selecionar um subcontratante, deve verificar garantias suficientes e formalizar os elementos do artigo 28.º. Uma assinatura não substitui a avaliação da capacidade de executar as obrigações.
O subcontratante tem deveres próprios, incluindo instruções, confidencialidade, segurança, assistência e condições para recorrer a outros subcontratantes. Deve informar o responsável de violações sem demora injustificada. A comunicação aos titulares é uma decisão do responsável nas condições do artigo 34.º, apoiada pela informação que o prestador fornece.
Quando o prestador recorre a outro subcontratante, é necessária autorização específica ou geral escrita nos termos do artigo 28.º. Na autorização geral, as alterações devem ser comunicadas para permitir oposição. Identifique os fluxos para países terceiros e escolha, quando necessário, as cláusulas contratuais-tipo e os módulos coerentes com os papéis efetivos.
Corrigir uma qualificação errada
A ausência de um contrato do artigo 28.º é uma lacuna a corrigir, mas não transforma automaticamente um prestador que atua por instruções num responsável independente. Em sentido inverso, assinar esse contrato não converte uma finalidade autónoma numa operação por conta do cliente.
O artigo 28.º, n.º 10, trata a situação em que um subcontratante determina finalidades e meios em violação do regulamento, considerando-o responsável por esse tratamento. Nem todo o erro operacional provoca essa mudança de papel. Identifique a decisão tomada e a obrigação violada, evitando confundir qualificação, incumprimento e responsabilidade indemnizatória.
Prepare um plano de correção que alinhe factos e documentos: limitar utilizações, rever instruções, corrigir informação e acordos, ou interromper uma operação sem enquadramento adequado. Avalie os efeitos para dados já tratados e para pedidos pendentes. Um novo rótulo contratual não apaga o histórico da operação.
Manter a decisão verificável
Guarde a matriz aprovada, os documentos de suporte e as configurações relevantes no dossiê de evidências de responsabilidade. Registe quem confirmou os factos e que questões ficaram dependentes de resposta. O objetivo é permitir que outra pessoa reconstrua a conclusão sem repetir toda a análise.
Reabra a avaliação quando mudarem finalidades, categorias de dados, destinatários ou autonomia do fornecedor. Inclua esse ponto na contratação de novas funções e na revisão das condições de serviço. Uma matriz por operação torna mais fácil perceber se a mudança afeta apenas uma utilização própria, a subcontratação existente ou uma etapa determinada em conjunto.