Conformidade UE 5 min de leitura
GDPR Data Processing Agreement Clauses Guide Step by Step: Guia de Cláusulas
Um roteiro objetivo para estruturar cláusulas de DPA, cobrir o Art. 28.º do GDPR e preparar evidências de conformidade para auditorias.
Um Data Processing Agreement (DPA) é o contrato exigido pelo Art. 28.º do GDPR quando um responsável pelo tratamento contrata um subcontratante. Sem DPA, a operação fica exposta a sanções do Art. 83.º e a riscos contratuais. Este GDPR data processing agreement clauses guide step by step organiza as cláusulas mínimas, a negociação e a evidência de conformidade.
O que o Art. 28.º exige de um DPA
O Art. 28.º do GDPR impõe um contrato escrito, vinculativo e específico. Ele deve definir instruções documentadas, limites de finalidade e responsabilidades. O responsável pelo tratamento mantém a decisão sobre os dados; o subcontratante executa conforme o contrato.
A ausência de cláusulas essenciais não se resolve com anexos genéricos. Auditores procuram rastreabilidade entre o contrato, o registro de atividades de tratamento (Art. 30.º) e as medidas de segurança do Art. 32.º. Um modelo pronto sem adaptação costuma falhar nesse teste.
Para uma visão detalhada das cláusulas, consulte GDPR Data Processing Agreement Clauses: A Practical Guide. Ele complementa este roteiro com exemplos de redação.
Cláusulas obrigatórias: lista prática
Objeto, duração, natureza e finalidade
O DPA deve descrever o objeto, a duração, a natureza e a finalidade do tratamento. Também precisa indicar o tipo de dados pessoais e as categorias de titulares. Sem isso, o subcontratante não sabe o que pode fazer e o responsável não consegue demonstrar limites.
As cláusulas do Art. 28(3) cobrem, no mínimo:
- tratamento apenas com instruções documentadas;
- confidencialidade das pessoas autorizadas;
- medidas de segurança do Art. 32.º;
- autorização para subcontratantes;
- assistência ao responsável;
- apoio em violações de dados, DPIA e consulta prévia;
- devolução ou eliminação ao término;
- informações e auditorias.
Cada item deve ter um responsável nominal, prazo e evidência. Por exemplo, a cláusula de auditoria precisa dizer quem audita, com que frequência e sob qual acordo de confidencialidade.
Segurança, incidentes e auditoria
A cláusula de segurança deve apontar para medidas concretas: criptografia, controle de acesso, pseudonimização e testes. Não basta declarar 'medidas técnicas e organizacionais adequadas'. O Art. 32.º exige avaliação de risco e atualização.
A notificação de violação precisa de prazo. O subcontratante deve informar o responsável sem demora injustificada, conforme o Art. 33.º. O DPA deve definir o conteúdo mínimo: natureza, categorias, consequências e medidas adotadas.
A auditoria deve incluir direito de inspeção, relatórios independentes e planos de correção. Limites de confidencialidade são aceitáveis, mas não podem esvaziar o direito do Art. 28(3)(h).
Passo a passo para redigir e negociar
- Mapeie o fluxo de dados. Liste categorias, titulares, sistemas, países e retenção.
- Defina o papel das partes. Confirme se o fornecedor é subcontratante ou responsável conjunto.
- Anexe a descrição do tratamento. Use uma tabela com finalidade, base legal e duração.
- Controle subcontratantes. Exija autorização prévia por escrito e repasse das obrigações.
- Fixe medidas de segurança. Referencie controles do Art. 32.º e evidências de teste.
- Regule incidentes. Prazos de notificação, formato e canal devem estar claros.
- Preveja término e devolução. Defina formato, prazo e certificado de eliminação.
A disciplina documental é semelhante à de um arquivo técnico regulatório. O guia EU CE Marking Technical File: A Practical Guide mostra como organizar evidências para auditoria. A lógica serve para DPAs: cada afirmação precisa de um documento de apoio.
Transferências internacionais e Cláusulas Contratuais Padrão
Se o subcontratante trata dados fora do EEE, o DPA precisa de um mecanismo do Capítulo V do GDPR. O Art. 46.º admite Cláusulas Contratuais Padrão (SCC). A Decisão de Execução (UE) 2021/914 substituiu versões anteriores e exige análise caso a caso.
Não basta anexar SCC. É preciso avaliar leis locais, acesso governamental e medidas suplementares. Registre a avaliação de impacto da transferência (TIA) e revise-a quando mudar o fornecedor, o país ou a finalidade.
O DPA deve identificar a entidade exportadora e a importadora, a finalidade e a duração. Se usar SCC, anexe o módulo correto: responsável-subcontratante, responsável-responsável ou subcontratante-subcontratante. A escolha errada invalida a cobertura.
Erros comuns e checklist de auditoria
Muitos DPAs falham por serem cópias. Os erros mais frequentes são:
- cláusula de subcontratante sem lista ou autorização;
- prazo de notificação de violação incompatível com o Art. 33.º;
- auditoria sem escopo, frequência ou confidencialidade;
- eliminação de dados sem certificado ou formato definido;
- ausência de instruções documentadas para tratamentos específicos.
Use este GDPR data processing agreement clauses guide step by step como roteiro de auditoria. Verifique contrato, anexos, registros de treinamento e tickets de incidentes. A norma The ISO 9001 documentation requirements guide: A Practical O ajuda a estruturar controle de documentos e registros, o que facilita a rastreabilidade.
Checklist rápido:
- O DPA tem assinatura e data?
- As instruções documentadas estão anexas?
- A lista de subcontratantes está atualizada?
- O prazo de notificação de violação é viável?
- A devolução ou eliminação tem certificado?
- A transferência internacional tem TIA e SCC?
Como manter o DPA vivo
Um DPA assinado não encerra a obrigação. Revise-o a cada mudança de escopo, subcontratante, país ou tecnologia. Mantenha um registro de versões, responsáveis e aprovações.
Defina um calendário de revisão. Pelo menos anual ou quando houver incidente relevante. Registre decisões e justificativas. Em auditoria, a ausência de revisão é tratada como falha de controle, não como detalhe administrativo.
Treine as equipes que executam o contrato. Atendimento, TI e jurídico precisam saber como acionar o subcontratante em caso de violação. Em resumo, o GDPR data processing agreement clauses guide step by step não termina na assinatura: ele vira um ciclo de controle, evidência e melhoria contínua.
Fatos principais
Afirmações legíveis por máquina extraídas das fontes acima. Cada fato mantém o mesmo identificador nas seis versões de idioma.
Article 28 GDPR
The primary GDPR article requiring a data processing agreement is Article 28.
ID do fato:
GDPR_dpa_legal_basisWritten form
A data processing agreement must be in writing, including electronic form.
ID do fato:
GDPR_dpa_written_formWithout undue delay
A processor must notify the controller of a personal data breach without undue delay.
ID do fato:
GDPR_dpa_breach_notificationSame obligations
Sub-processor contracts must impose the same data protection obligations as the main DPA.
ID do fato:
GDPR_dpa_subprocessor_flowdownDelete or return
At the end of processing, the processor must delete or return personal data unless law requires storage.
ID do fato:
GDPR_dpa_deletion_returnAudit and inspection
The DPA must provide for audits and inspections by the controller or a mandated auditor.
ID do fato:
GDPR_dpa_audit_rightChapter V GDPR
Transfers outside the EEA require a Chapter V mechanism such as an adequacy decision or Standard Contractual Clauses.
ID do fato:
GDPR_dpa_international_transfers
Perguntas frequentes
O que é um DPA no GDPR?
É o contrato escrito exigido pelo Art. 28.º do GDPR entre responsável e subcontratante, com instruções, segurança, subcontratantes, auditoria e devolução de dados.
Um DPA é sempre obrigatório?
Sim, quando um subcontratante trata dados pessoais em nome do responsável. O Art. 28.º exige contrato ou outro ato jurídico vinculativo.
Quais cláusulas não podem faltar?
Instruções documentadas, confidencialidade, segurança do Art. 32.º, autorização de subcontratantes, assistência, notificação de violações, auditoria e eliminação ou devolução.
Como tratar transferências internacionais?
Use um mecanismo do Capítulo V, como SCC da Decisão (UE) 2021/914, e registre uma avaliação de impacto da transferência.
Com que frequência revisar o DPA?
No mínimo anualmente e sempre que mudar escopo, subcontratante, país, tecnologia ou ocorrer incidente relevante.
Fontes e licenciamento
Cada afirmação deste artigo remete às fontes listadas abaixo. Os links abrem diretamente no editor.
