GDPR data processing agreement clauses requirements clause by clause: Guia Prático

Um DPA (Data Processing Agreement) é o instrumento que transforma o Artigo 28 do GDPR em obrigações verificáveis. Controlador e operador precisam saber quem decide, quem executa e como comprovar cada decisão. Sem essa disciplina, a cláusula contratual vira letra morta. Este guia percorre o GDPR data processing agreement clauses requirements clause by clause, com foco no que auditores e autoridades supervisionam.

Artigo 28 do GDPR: base contratual e papéis

O Artigo 28(3) exige contrato escrito entre controlador e operador. O controlador define finalidades e meios; o operador trata dados pessoais apenas mediante instruções documentadas. Se o operador decidir sobre finalidades e meios, passa a controlador e responde solidariamente. O contrato deve indicar objeto, duração, natureza e finalidade do tratamento, tipos de dados pessoais e categorias de titulares. Também deve prever obrigações do operador e direitos do controlador. Para uma visão prática de cláusulas e modelos, consulte GDPR Data Processing Agreement Clauses: A Practical Guide.

O Artigo 28(10) lembra que um operador que trate dados além das instruções do controlador será considerado controlador para esse tratamento. Por isso, a redação deve delimitar fronteiras. Cláusulas vagas aumentam o risco de responsabilidade solidária e dificultam a defesa em fiscalização.

Partes, objeto e duração

Identifique pessoas jurídicas completas, endereços e representantes. Descreva categorias de dados (identificadores, dados de contato, dados financeiros, dados sensíveis) e categorias de titulares (clientes, empregados, candidatos). Defina duração e eventos de término. Evite expressões genéricas como 'dados pessoais necessários'; a especificidade reduz risco e facilita a responsabilização.

GDPR data processing agreement clauses requirements clause by clause

A análise cláusula por cláusula do Artigo 28(3) cobre oito alíneas. Cada uma precisa de redação operacional, não apenas repetição da lei.

Alíneas (a) a (h) do Artigo 28(3)

a) Instruções documentadas: o operador trata apenas conforme instruções documentadas, inclusive transferências internacionais. O contrato deve prever como instruções são emitidas, registradas e alteradas. b) Confidencialidade: pessoas autorizadas assumem compromisso de confidencialidade ou obrigação legal equivalente. c) Segurança: medidas do Artigo 32, como cifragem, pseudonimização, controle de acesso e testes. d) Subprocessadores: autorização prévia por escrito, lista de subprocessadores e contrato com obrigações equivalentes. e) Assistência aos titulares: apoio para atender pedidos de acesso, retificação, eliminação e portabilidade. f) Violações: assistência ao controlador para notificar a autoridade em até 72 horas e comunicar titulares quando houver alto risco. g) Término: devolução ou eliminação de dados pessoais, salvo retenção legal. h) Auditoria: direito de auditoria e inspeção, com contribuições para demonstrar conformidade.

Além das alíneas, o contrato deve tratar de medidas de segurança proporcionais ao risco, gestão de incidentes, prazos de notificação e cooperação com a autoridade supervisora. O operador deve manter registros de tratamento e permitir que o controlador demonstre conformidade. A cláusula de auditoria não pode ser meramente decorativa: defina escopo, frequência, confidencialidade e custos.

Subprocessadores, transferências internacionais e auditoria

O Artigo 28(2) exige autorização prévia por escrito para subprocessadores. O Artigo 28(4) impõe ao subprocessador as mesmas obrigações de proteção de dados. Transferências para fora do EEE exigem base do Capítulo V: decisão de adequação, cláusulas contratuais padrão (SCCs) ou exceções. A auditoria deve ser viável: defina escopo, frequência, confidencialidade e custos. O operador pode usar relatórios de auditoria independentes, mas o controlador mantém o direito de inspecionar. A lógica de dossiê técnico da marcação CE, descrita em EU CE Marking Technical File: A Practical Guide, ajuda a organizar evidências de conformidade sem depender de memória.

Como documentar conformidade e manter evidências

Documente versões, aprovações, treinamentos e registros de tratamento do Artigo 30. Use controle de documentos alinhado à ISO 9001 para garantir rastreabilidade. O guia ISO 9001 documentation requirements guide explica como estruturar procedimentos, registros e revisões. Mantenha matriz de responsabilidades, inventário de subprocessadores, avaliações de impacto (DPIA) quando aplicável e registros de incidentes. A autoridade supervisora não avalia intenções; avalia evidências.

A retenção de evidências deve seguir prazos legais e contratuais. Registre decisões sobre transferências internacionais, avaliações de risco e medidas corretivas. Se houver alteração de subprocessador, atualize o contrato e a documentação. A conformidade é contínua: revise o DPA a cada novo fornecedor, nova finalidade ou nova jurisdição.

Checklist prático e erros comuns

Checklist: 1) contrato escrito e assinado; 2) papéis e categorias de dados definidos; 3) instruções documentadas; 4) confidencialidade; 5) medidas do Artigo 32; 6) subprocessadores autorizados; 7) assistência a titulares; 8) notificação de violações; 9) devolução/eliminação; 10) auditoria. Erros comuns: confundir operador com controlador; omitir transferências; aceitar subprocessador sem contrato; não prever prazo de notificação; tratar auditoria como evento único. Revisite o GDPR data processing agreement clauses requirements clause by clause sempre que houver novo fornecedor, nova finalidade ou nova jurisdição.