Conformidade UE 5 min de leitura
GDPR Data Processing Agreement Clauses Guide Audit Preparation: Guia Prático Para Auditorias
O Artigo 28 do GDPR fixa o conteúdo mínimo de qualquer acordo de tratamento de dados, mas uma auditoria avalia a ligação entre cláusula e prova. Este guia percorre as alíneas obrigatórias, a gestão de subcontratantes e transferências, e a forma de organizar evidências que resistam a uma inspeção externa.
O Artigo 28 do GDPR como base contratual
O Artigo 28 do GDPR exige que todo o tratamento efetuado por conta de um responsável esteja enquadrado por um contrato ou outro ato jurídico vinculativo. Não é uma formalidade: sem acordo escrito, o subcontratante trata dados sem base legal e o responsável assume o risco. Este texto funciona como um GDPR data processing agreement clauses guide audit preparation, porque olha para as cláusulas como conjunto de evidências que têm de resistir a uma auditoria, e não apenas como texto jurídico.
O considerando 81 e o Artigo 28(3) fixam o conteúdo mínimo. A autoridade de controlo verifica três coisas em simultâneo: se o contrato existe, se cobre todas as operações de tratamento e se as obrigações nele previstas são demonstráveis na prática diária. Para uma leitura cláusula a cláusula, vale a pena cruzar este artigo com o guia prático das cláusulas do acordo de tratamento de dados.
Cláusulas obrigatórias do acordo de tratamento
O Artigo 28(3) enumera as alíneas (a) a (h). Um acordo completo cobre:
- Objeto, duração, natureza e finalidade do tratamento, com indicação do tipo de dados pessoais e das categorias de titulares.
- Instruções documentadas do responsável, incluindo transferências para países terceiros.
- Confidencialidade das pessoas autorizadas a tratar os dados.
- Medidas de segurança alinhadas com o Artigo 32 do GDPR.
- Subcontratantes: autorização prévia específica ou geral e imposição das mesmas obrigações.
- Assistência ao titular no exercício dos direitos previstos nos artigos 15.º a 22.º.
- Assistência ao responsável em violações de dados, avaliações de impacto e consultas prévias à autoridade.
- Eliminação ou devolução dos dados no fim da prestação.
- Auditoria e inspeção, com direito de acesso do responsável ou de um auditor por ele mandatado.
Subcontratantes e transferências internacionais
O Artigo 28(4) determina que o subcontratante inicial imponha ao subcontratante subsequente as mesmas obrigações por contrato. Na prática, isto significa manter um mapa atualizado da cadeia de tratamento, com nome, país, função e base de transferência de cada interveniente.
Para transferências fora do Espaço Económico Europeu, o Capítulo V do GDPR exige uma decisão de adequação, cláusulas contratuais-tipo (Decisão de Execução (UE) 2021/914) ou outra garantia adequada. As cláusulas contratuais-tipo não dispensam a avaliação de impacto da transferência: o responsável deve documentar a análise e as medidas suplementares adotadas.
Preparação para auditorias: evidências que contam
Uma auditoria raramente se resolve com a leitura do contrato. O auditor pede a ligação entre cláusula e prova. Um GDPR data processing agreement clauses guide audit preparation útil traduz cada alínea do Artigo 28(3) numa fonte de evidência concreta.
Evidências típicas:
- Registo das atividades de tratamento (Artigo 30 do GDPR), com inventário de fornecedores.
- Acordo assinado, com data, versão e anexos de medidas técnicas e organizativas.
- Lista de subcontratantes autorizados e respetivos contratos.
- Registos de formação em proteção de dados das pessoas autorizadas.
- Registo de violações e notificações efetuadas no prazo de 72 horas (Artigo 33).
- Relatórios de auditorias anteriores e plano de ações corretivas com prazos.
A lógica é a mesma dos sistemas de gestão: a documentação exigida pela ISO 9001 segue o princípio de dizer o que se faz e fazer o que se diz, e a ISO 14001 e a ISO 45001 aplicam o mesmo raciocínio a ambiente e segurança. Em contexto industrial, registos de ensaio e conformidade — como os que suportam os requisitos de resistência à tração do ASTM A36 — mostram como uma cadeia de evidências rastreável simplifica qualquer inspeção externa.
Como estruturar a pasta de auditoria
Organize por cláusula, não por fornecedor. Para cada alínea do Artigo 28(3), crie uma pasta com o texto contratual aplicável, o responsável interno, a evidência e a data da última verificação. Quando o auditor pedir a cláusula de auditoria, a resposta é imediata.
Erros frequentes e como corrigi-los
- Copiar modelos sem adaptar. Cláusulas genéricas não descrevem as operações reais. Corrija com anexos específicos por serviço.
- Cláusulas de auditoria sem prazos. Defina periodicidade, pré-aviso e âmbito de acesso.
- Subcontratantes não mapeados. Atualize a cadeia a cada novo fornecedor e exija notificação prévia de alterações.
- Medidas de segurança vagas. Descreva controlos concretos: cifragem, controlo de acessos, registos e testes de vulnerabilidade.
- Confundir responsável e subcontratante. Um fornecedor que determina finalidades é responsável conjunto ou autónomo, e o contrato tem de refletir isso.
Checklist de verificação
- O acordo está assinado por ambas as partes e referencia o serviço?
- As alíneas (a) a (h) do Artigo 28(3) estão cobertas?
- Existe lista de subcontratantes e mecanismo de autorização?
- As transferências têm base do Capítulo V documentada?
- As medidas do Artigo 32 estão descritas em anexo?
- O prazo de notificação de violações está definido e é compatível com as 72 horas?
- O destino dos dados no fim do contrato está previsto?
- O direito de auditoria é exequível na prática?
- Existe registo de formação e de acessos?
- A versão do acordo está sob controlo documental?
Esta verificação aproxima a conformidade com o GDPR da lógica de ficheiros técnicos usada noutras áreas regulatórias, como o ficheiro técnico de marcação CE, onde cada requisito tem de estar ligado a um documento identificável.
Manutenção contínua
Reveja o acordo sempre que mudar o serviço, o subcontratante ou a base de transferência. Marque revisões anuais e registe a decisão de manter ou alterar cláusulas. Guarde as versões anteriores durante o prazo de prescrição aplicável. Um GDPR data processing agreement clauses guide audit preparation atualizado é, no fundo, um processo de gestão documental: a conformidade com o GDPR é um estado documentado, não um documento assinado uma única vez.
Fatos principais
Afirmações legíveis por máquina extraídas das fontes acima. Cada fato mantém o mesmo identificador nas seis versões de idioma.
Article 28(3) GDPR
L'article 28(3) du GDPR impose neuf catégories de clauses minimales dans le DPA.
ID do fato:
GDPR_art_28_3_clausesArticle 30 GDPR
Le registre des activités de traitement est exigé par l'article 30 du GDPR pour la plupart des organismes.
ID do fato:
GDPR_art_30_registryArticle 32 GDPR
Les mesures de sécurité doivent être conformes à l'article 32 du GDPR et documentées.
ID do fato:
GDPR_art_32_securityArticle 33 GDPR
La notification d'une violation de données au responsable doit être faite sans délai injustifié.
ID do fato:
GDPR_breach_notificationISO 9001
ISO 9001 fournit un cadre de maîtrise documentaire utile pour les preuves d'audit, sans remplacer le GDPR.
ID do fato:
ISO_9001_documentationEDPB Guidelines 07/2020
Les lignes directrices 07/2020 de l'EDPB clarifient les notions de responsable et de sous-traitant.
ID do fato:
edpb_guidelines_07_2020
Perguntas frequentes
O que é obrigatório num acordo de tratamento de dados segundo o Artigo 28 do GDPR?
O Artigo 28(3) exige, no mínimo, objeto e duração do tratamento, natureza e finalidade, tipo de dados pessoais e categorias de titulares, instruções documentadas, confidencialidade, medidas de segurança do Artigo 32, regras sobre subcontratantes, assistência ao titular e ao responsável, destino dos dados no fim do contrato e direito de auditoria.
Um acordo de tratamento de dados pode ser substituído por cláusulas num contrato de prestação de serviços?
Sim, desde que as cláusulas cubram integralmente as alíneas (a) a (h) do Artigo 28(3). O importante é que exista um ato jurídico vinculativo, escrito, que vincule o subcontratante às instruções do responsável e seja demonstrável em auditoria.
Como se prova o cumprimento do Artigo 28 durante uma auditoria?
Ligando cada cláusula a uma evidência: registo das atividades de tratamento do Artigo 30, acordo assinado com versão controlada, lista de subcontratantes, registos de formação, registo de violações e relatórios de auditorias anteriores com planos de ação corretiva.
Que regras se aplicam aos subcontratantes subsequentes?
O Artigo 28(4) obriga a que o subcontratante inicial imponha ao subcontratante seguinte as mesmas obrigações de proteção de dados por contrato. A autorização pode ser específica ou geral, mas tem de estar prevista e a cadeia de tratamento deve estar mapeada e atualizada.
As cláusulas contratuais-tipo resolvem sozinhas uma transferência internacional?
Não. A Decisão de Execução (UE) 2021/914 fornece o instrumento contratual, mas o responsável deve ainda avaliar o risco da transferência e documentar medidas suplementares quando o nível de proteção não seja equivalente ao do Espaço Económico Europeu.
Com que frequência se deve rever o acordo de tratamento de dados?
Sempre que houver alteração de serviço, de subcontratante ou de base de transferência, e pelo menos uma vez por ano. As versões anteriores devem ser conservadas durante o prazo de prescrição aplicável, com registo da decisão de manter ou alterar cláusulas.
Fontes e licenciamento
Cada afirmação deste artigo remete às fontes listadas abaixo. Os links abrem diretamente no editor.
