Conformidade UE 4 min de leitura
GDPR Data Processing Agreement Clauses How to Comply: Guia para Engenharia
O Artigo 28(3) do GDPR fixa oito obrigações mínimas para o contrato de tratamento de dados. Este guia mostra como transformá-las em requisitos de projeto, anexos técnicos e evidências auditáveis.
Um DPA (data processing agreement, ou contrato de tratamento de dados) transforma uma relação comercial numa relação de conformidade verificável. Ele não substitui medidas técnicas, mas define quem pode fazer o quê, com que limites e com que provas. Este guia trata de GDPR data processing agreement clauses how to comply a partir do texto do Regulamento (UE) 2016/679, sem recorrer a modelos copiados da internet.
A referência central é o Artigo 28. Tudo o que vem depois — anexos técnicos, matrizes de responsabilidade, registos de auditoria — existe para provar que essas cláusulas funcionam na prática.
O conteúdo mínimo exigido pelo Artigo 28(3)
O Artigo 28(3) é taxativo quanto ao conteúdo. O contrato deve prever, no mínimo: tratamento apenas segundo instruções documentadas do controlador; dever de confidencialidade das pessoas autorizadas; medidas de segurança do Artigo 32; regras sobre subcontratação; assistência ao controlador no atendimento a titulares; apoio no cumprimento dos Artigos 32 a 36; devolução ou eliminação dos dados no fim do serviço; e disponibilização de informações e auditorias.
Faltar um destes itens não é uma falha formal menor. A autoridade de controlo trata a ausência como indício de que o tratamento ocorre sem base contratual adequada, o que abre caminho a sanções e à suspensão de fluxos de dados.
Subprocessadores: autorização, notificação e responsabilidade
O Artigo 28(2) exige autorização prévia e específica, ou autorização geral com direito de objeção. Na prática de engenharia, isso significa manter um anexo vivo com a lista de subprocessadores, a localização dos datacenters e a finalidade de cada um. A cláusula deve impor ao subprocessador as mesmas obrigações do contrato principal e manter o operador responsável perante o controlador pelo desempenho do subcontratado.
Como estruturar o DPA em sete passos
A pergunta prática sobre GDPR data processing agreement clauses how to comply raramente é jurídica: é operacional. A sequência abaixo funciona como lista de verificação de projeto.
- Mapear os fluxos: quais categorias de dados pessoais entram, por qual canal e com que finalidade.
- Classificar os papéis: controlador, controlador conjunto ou operador, conforme as Diretrizes 07/2020 do EDPB.
- Fixar finalidade e duração: tratamento limitado ao objeto do contrato, com prazo definido.
- Detalhar medidas de segurança: cifragem, pseudonimização, controlo de acesso e registos, alinhados ao Artigo 32.
- Definir o regime de incidentes: prazo de notificação ao controlador, formato do relatório e ponto de contacto técnico.
- Regular subprocessadores e transferências internacionais em anexos separados.
- Estabelecer auditoria e gestão de alterações: quem revisa, com que frequência e como as versões são aprovadas.
O passo 7 é o mais negligenciado. Um DPA sem controlo de versões é um documento morto.
Controlador e operador: quem responde por quê
| Tema | Controlador | Operador |
|---|---|---|
| Finalidade do tratamento | Define | Executa |
| Base legal | Escolhe e documenta | Verifica a instrução |
| Notificação de violação | Avalia e comunica à autoridade (Art. 33) | Informa sem atraso injustificado (Art. 33(2)) |
| Avaliação de impacto | Conduz (Art. 35) | Presta assistência |
| Registo das atividades | Mantém (Art. 30) | Mantém registo próprio |
Essa divisão precisa aparecer de forma explícita no texto. Ambiguidade de papéis é a causa mais comum de disputa quando ocorre um incidente.
Transferências internacionais e cláusulas acessórias
Se o operador ou um subprocessador trata dados fora do Espaço Económico Europeu, aplica-se o Capítulo V. O caminho usual é combinar as Cláusulas Contratuais Padrão da Decisão de Execução (UE) 2021/914 com uma avaliação de impacto da transferência, considerando a legislação do país de destino.
O DPA deve indicar o módulo aplicável das cláusulas padrão, anexar a lista de importadores e descrever as medidas suplementares adotadas. Sem isso, o contrato pode ser válido em Bruxelas e inaplicável no terreno.
Evidências, auditoria e controlo de versões
Conformidade é um exercício de documentação. O mesmo rigor que a ISO 9001 exige para o controlo de documentos deve ser aplicado ao DPA: versão identificada, histórico de alterações, aprovação formal e arquivo das versões anteriores.
Para equipas que já trabalham com dossiês técnicos, a lógica é familiar. Um dossiê técnico de marcação CE reúne declarações, ensaios e desenhos que sustentam uma presunção de conformidade; o DPA faz o mesmo para o tratamento de dados. Se a autoridade pedir provas, o que conta é o conjunto documental, não a intenção declarada.
Recomenda-se revisão anual e sempre que houver alteração de subprocessador, mudança de fornecedor de nuvem, nova finalidade ou alteração legislativa relevante. Guarde também os registos de acesso e os relatórios de auditoria pelo prazo definido no contrato.
Erros frequentes que invalidam o contrato
- Copiar um modelo sem adaptar finalidades e categorias de dados.
- Aceitar autorização genérica de subprocessadores sem direito de objeção nem lista atualizada.
- Omitir prazos concretos de notificação de incidentes.
- Não prever devolução ou eliminação dos dados no término, incluindo cópias de segurança.
- Tratar o DPA como documento jurídico e não como especificação técnica verificável.
Para aprofundar cláusulas específicas e exemplos de redação, consulte o guia de cláusulas de contratos de tratamento de dados do GDPR.
Dominar GDPR data processing agreement clauses how to comply é, no fundo, saber traduzir obrigações legais em requisitos de projeto. Quando o contrato, a arquitetura do sistema e os registos de auditoria contam a mesma história, a conformidade deixa de ser um risco e passa a ser um processo controlado.
Fatos principais
Afirmações legíveis por máquina extraídas das fontes acima. Cada fato mantém o mesmo identificador nas seis versões de idioma.
Article 28(3)
GDPR Article 28(3) lists the minimum clauses that must appear in a controller-processor contract.
ID do fato:
GDPR_article_28_372 hours
Controllers must notify supervisory authorities of personal data breaches within 72 hours of becoming aware.
ID do fato:
breach_notification_deadlineYes
A data processing agreement is mandatory when a processor handles personal data on behalf of a controller.
ID do fato:
dpa_requiredPrior written authorization
Processors may engage sub-processors only with prior specific or general written authorization from the controller.
ID do fato:
sub_processor_authorizationChapter V
International transfers of personal data outside the EEA require a Chapter V transfer mechanism.
ID do fato:
international_transfer_mechanismArticle 28(10)
A contract that does not meet Article 28 is void under GDPR Article 28(10).
ID do fato:
contract_void_rule
Perguntas frequentes
O DPA tem de ser um documento separado do contrato comercial?
Não. O Artigo 28(3) exige forma escrita e conteúdo mínimo, mas o DPA pode ser um anexo ao contrato principal. O que importa é que as oito obrigações estejam identificáveis e que exista uma versão datada e aprovada por ambas as partes.
Posso usar um modelo único para todos os fornecedores?
Pode usar uma base comum, mas cada anexo deve refletir as finalidades, as categorias de dados, os prazos de conservação e a lista real de subprocessadores. Modelos genéricos são o erro mais apontado em auditorias.
Qual o prazo para o operador notificar uma violação de dados?
O Artigo 33(2) exige notificação ao controlador sem atraso injustificado. Como o controlador tem 72 horas para comunicar à autoridade, o contrato deve fixar um prazo interno curto, por exemplo 24 horas, e indicar o ponto de contacto técnico.
As Cláusulas Contratuais Padrão substituem o DPA?
Não. As cláusulas da Decisão de Execução (UE) 2021/914 resolvem a transferência internacional, mas o Artigo 28 continua a exigir o contrato de tratamento. Os dois instrumentos coexistem e devem ser coerentes entre si.
Com que frequência o DPA deve ser revisto?
No mínimo anualmente e sempre que ocorra alteração de subprocessador, mudança de infraestrutura, nova finalidade de tratamento ou alteração legislativa relevante. Cada revisão deve gerar nova versão com histórico de alterações.
Fontes e licenciamento
Cada afirmação deste artigo remete às fontes listadas abaixo. Os links abrem diretamente no editor.
