Conformidade UE 5 min de leitura
GDPR Data Processing Agreement Clauses Requirements Common Mistakes: Guia Prático de Conformidade
O Artigo 28(3) do GDPR fixa oito cláusulas mínimas para qualquer contrato de tratamento de dados. Este guia percorre essas exigências, mostra onde os DPAs falham em auditoria e explica como construir evidências defensáveis.
O que o Artigo 28 do GDPR exige de um contrato de tratamento
Um contrato de tratamento de dados — DPA, na sigla inglesa — não é um anexo decorativo. O Artigo 28(3) do GDPR determina que o tratamento realizado por conta de outrem só é lícito se estiver vinculado a um contrato ou a outro ato jurídico que imponha obrigações ao subcontratante. Sem esse documento, o responsável pelo tratamento responde pelos atos do subcontratante e fica exposto a coimas do Artigo 83(4).
Na prática, auditores e autoridades de controlo verificam três coisas: se o DPA existe, se está assinado na versão vigente e se cobre todas as operações descritas no registo de atividades do Artigo 30. Um DPA genérico que não corresponde ao fluxo real de dados falha nos três pontos.
A estrutura completa das cláusulas está detalhada no guia interno GDPR Data Processing Agreement Clauses: A Practical Guide.
As oito cláusulas obrigatórias do Artigo 28(3)
O legislador europeu foi explícito. O DPA tem de prever, no mínimo:
- (a) tratamento apenas segundo instruções documentadas do responsável, incluindo transferências para países terceiros;
- (b) confidencialidade para todo o pessoal autorizado a tratar os dados;
- (c) medidas de segurança alinhadas com o Artigo 32;
- (d) condições para recorrer a subcontratantes, nos termos dos Artigos 28(2) e 28(4);
- (e) assistência ao responsável na resposta a pedidos de titulares, previstos nos Artigos 12 a 23;
- (f) assistência no cumprimento dos Artigos 32 a 36, com destaque para a notificação de violações;
- (g) eliminação ou devolução dos dados no termo da prestação;
- (h) disponibilização de informação e permissão de auditorias e inspeções.
Cada alínea deve ter um responsável nomeado, um prazo e um formato de evidência. Cláusulas que apenas repetem a lei sem operacionalização são difíceis de defender numa inspeção. Reunir GDPR data processing agreement clauses requirements common mistakes numa lista de verificação única simplifica a preparação de auditorias.
Subcontratantes e transferências internacionais
A alínea (d) concentra a maior parte do contencioso. O Artigo 28(2) exige autorização prévia, específica ou geral, dada por escrito. Quando a autorização é geral, o subcontratante deve informar o responsável de qualquer alteração prevista e dar-lhe oportunidade de se opor — com um prazo definido, não com uma fórmula vaga.
As transferências para fora do Espaço Económico Europeu caem no Capítulo V, Artigos 44 a 49. O DPA deve identificar o mecanismo concreto: decisão de adequação, cláusulas contratuais-tipo, regras vinculativas das empresas ou derrogação específica. Mencionar "salvaguardas adequadas" sem indicar o instrumento é insuficiente.
GDPR data processing agreement clauses requirements common mistakes: os erros que aparecem em auditoria
Os erros repetem-se com regularidade previsível. Vale a pena tratá-los como lista de verificação.
Modelos desatualizados. Muitos DPAs ainda citam a Diretiva 95/46/CE, revogada pelo GDPR, ou omitem a alínea (h) por completo.
Prazos trocados. O Artigo 33(2) obriga o subcontratante a notificar o responsável "sem demora injustificada" após tomar conhecimento de uma violação. O prazo de 72 horas do Artigo 33(1) aplica-se à notificação do responsável à autoridade de controlo. Misturar os dois cria obrigações inexequíveis.
Qualificação errada das partes. Quem é responsável e quem é subcontratante determina quem responde perante o titular e a autoridade. As orientações 07/2020 do EDPB são a referência para essa análise e devem ser citadas na fundamentação.
Auditorias sem âmbito. "O subcontratante permitirá auditorias" não define pré-aviso, duração, custo, confidencialidade nem acesso a subcontratantes. Cláusulas assim raramente são aplicadas.
Destino dos dados indefinido. O Artigo 28(3)(g) exige uma escolha clara entre eliminação e devolução, com prazo e tratamento de cópias de segurança. Cópias retidas indefinidamente são um achado recorrente.
Ausência de controlo documental. Um DPA sem versionamento, sem registo de aprovações e sem histórico de revisões não demonstra conformidade contínua. A lógica da ISO 9001 documentation requirements guide — identificação, revisão, aprovação e retenção — aplica-se diretamente aqui.
Como estruturar um DPA defensável
Comece pelo inventário. Mapeie fornecedores, fluxos de dados, categorias de titulares e bases legais. Só depois escreva cláusulas.
Use um modelo base, mas adapte cada anexo: descrição do tratamento, finalidade, duração, categorias de dados pessoais, categorias de titulares e medidas técnicas e organizacionais. Este anexo é a parte que os auditores leem primeiro.
Defina um procedimento de alteração. Novos subcontratantes, novas finalidades e novas transferências exigem revisão formal. Registe quem aprovou, quando e com que justificação.
Inclua obrigações de formação e de confidencialidade com evidência documental. O Artigo 28(3)(b) não se satisfaz com uma menção genérica no contrato de trabalho.
Estabeleça um regime de responsabilidade proporcionado ao risco, com limites claros e sem excluir a responsabilidade do responsável pelo tratamento perante o titular.
Se o fornecedor também opera como fabricante sujeito a marcação CE, verifique a coerência entre o DPA e o EU CE Marking Technical File: A Practical Guide. Documentação técnica e documentação de proteção de dados partilham o mesmo princípio: evidência rastreável.
Quando o contrato remete para especificações técnicas, cite a edição exata — por exemplo ASTM A36 ou ASTM D4169 — e não apenas a designação genérica. Referências ambíguas geram disputas sobre o âmbito da auditoria.
Verificação contínua e evidências
Um DPA assinado é o início, não o fim. Mantenha um calendário de revisões anuais e sempre que ocorram alterações materiais. Recolha evidências: registos de formação, relatórios de auditoria, registos de violações e decisões sobre subcontratantes.
Prepare um pacote de resposta a inspeções com o DPA vigente, a versão anterior, o registo de aprovações e o mapeamento de subcontratantes. Este pacote reduz o tempo de resposta e demonstra diligência.
Rever o GDPR data processing agreement clauses requirements common mistakes a cada ciclo de revisão evita a repetição dos mesmos achados. Por fim, teste o procedimento: simule uma violação e verifique se a notificação chega ao responsável dentro do prazo contratado. Um DPA que nunca foi testado é uma promessa, não um controlo.
Fatos principais
Afirmações legíveis por máquina extraídas das fontes acima. Cada fato mantém o mesmo identificador nas seis versões de idioma.
8
L'article 28(3) du RGPD fixe huit points (a) à (h) que l'accord de traitement des données doit couvrir.
ID do fato:
GDPR-art28-3-points72 h
Le responsable notifie une violation à l'autorité de contrôle sous 72 heures (article 33(1)) ; le sous-traitant, lui, informe le responsable « sans délai » (article 33(2)), sans délai chiffré imposé par le texte.
ID do fato:
GDPR-breach-notification-delayArticle 28(9)
Le contrat liant le responsable et le sous-traitant doit être écrit, y compris sous forme électronique (article 28(9)).
ID do fato:
GDPR-art28-9-form2021/914
Les clauses contractuelles types applicables aux transferts hors Union européenne figurent dans la décision d'exécution (UE) 2021/914.
ID do fato:
EU-scc-decision20 000 000 EUR / 4 %
L'article 83(5) permet une amende administrative allant jusqu'à 20 000 000 EUR ou 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu.
ID do fato:
GDPR-maximum-fineISO/IEC 27001:2022
La relation fournisseur et son suivi contractuel relèvent des contrôles 5.19 à 5.22 de l'annexe A de l'ISO/IEC 27001:2022.
ID do fato:
ISO 27001-SUPPLIER-CONTROLS01/2020
Les recommandations 01/2020 du CEPD encadrent les mesures techniques et organisationnelles supplémentaires à envisager pour les transferts.
ID do fato:
edpb-transfer-recommendations
Perguntas frequentes
Um DPA é obrigatório para todos os fornecedores?
Só é obrigatório quando o fornecedor trata dados pessoais por conta do responsável, ou seja, quando atua como subcontratante na aceção do Artigo 4(8) do GDPR. Fornecedores que apenas prestam serviços sem acesso a dados pessoais — por exemplo, manutenção de instalações sem acesso a sistemas — ficam fora do âmbito. A qualificação deve ser documentada caso a caso, seguindo as orientações 07/2020 do EDPB.
Qual a diferença entre responsável e subcontratante?
O responsável determina as finalidades e os meios essenciais do tratamento; o subcontratante trata dados por conta dele, seguindo instruções documentadas. A qualificação define quem responde perante o titular e a autoridade de controlo, e determina o conteúdo do contrato. Erros nesta análise são uma das causas mais frequentes de DPAs inaplicáveis.
Que prazo deve constar para notificação de violações?
O Artigo 33(2) exige que o subcontratante notifique o responsável "sem demora injustificada" após tomar conhecimento da violação. O prazo de 72 horas do Artigo 33(1) aplica-se ao responsável perante a autoridade de controlo. O DPA pode fixar um prazo operacional mais curto, mas não deve confundir as duas obrigações.
A autorização geral para subcontratantes é suficiente?
Sim, desde que o Artigo 28(2) seja cumprido: o subcontratante tem de informar o responsável de qualquer alteração prevista na lista de subcontratantes e dar-lhe oportunidade de se opor. O DPA deve fixar o prazo de notificação prévia e o procedimento de objeção. Sem esses elementos, a autorização geral é frágil em auditoria.
O que deve constar do anexo de medidas de segurança?
Medidas técnicas e organizacionais concretas, alinhadas com o Artigo 32: cifragem, controlo de acessos, pseudonimização, registo de atividades, gestão de vulnerabilidades e planos de continuidade. Medidas genéricas copiadas de modelos não demonstram adequação ao risco real do tratamento.
Com que frequência o DPA deve ser revisto?
Pelo menos anualmente e sempre que ocorram alterações materiais: novos subcontratantes, novas finalidades, novas transferências internacionais ou alterações regulatórias. Cada revisão deve ficar registada com data, responsável pela aprovação e justificação da alteração.
Fontes e licenciamento
Cada afirmação deste artigo remete às fontes listadas abaixo. Os links abrem diretamente no editor.
