Guia Prático: GDPR data processing agreement clauses requirements step by step

Um data processing agreement (DPA) não é um anexo genérico. O Artigo 28.º do GDPR impõe conteúdo mínimo, responsabilidades verificáveis e consequências contratuais. Este guia percorre GDPR data processing agreement clauses requirements step by step, com foco em cláusulas, evidências e pontos de auditoria.

O que o Artigo 28.º do GDPR exige de um DPA

O Artigo 28.º/3 do GDPR lista nove obrigações que o subcontratante deve assumir por escrito. O contrato tem de ser vinculativo, estar disponível para a autoridade de controlo e refletir a realidade do tratamento. Não basta copiar um modelo: a descrição do tratamento, a duração, a natureza e a finalidade devem coincidir com o registo do Artigo 30.º.

O responsável pelo tratamento mantém a responsabilidade principal perante o titular dos dados. O subcontratante executa apenas instruções documentadas. Se emitir uma instrução verbal, o responsável deve confirmá-la por escrito. Esta regra evita ambiguidade em auditorias e pedidos de acesso.

O contrato deve também prever a responsabilidade do subcontratante perante o responsável por falhas dos subcontratantes posteriores. A redação típica exige que o subcontratante imponha obrigações equivalentes por contrato e responda solidariamente quando não o fizer. Isto não transfere a responsabilidade principal do responsável perante o titular dos dados.

Papéis e fronteiras: responsável, subcontratante e subcontratante posterior

O responsável decide finalidades e meios essenciais. O subcontratante trata dados pessoais em nome do responsável. Um subcontratante posterior é outro prestador contratado pelo subcontratante. O Artigo 28.º/2 e o Artigo 28.º/4 exigem autorização prévia específica ou geral. Se a autorização for geral, o subcontratante deve informar o responsável sobre alterações e permitir objeções.

Cláusulas obrigatórias: lista de verificação prática

• Instruções documentadas: tratamento apenas segundo instruções do responsável, incluindo transferências internacionais.
• Confidencialidade: pessoas autorizadas comprometidas com dever de sigilo ou obrigação legal.
• Segurança do tratamento: medidas do Artigo 32.º do GDPR, como cifragem, pseudonimização e testes.
• Subcontratantes posteriores: autorização, fluxo de obrigações e responsabilidade.
• Direitos dos titulares: assistência ao responsável em pedidos de acesso, retificação, apagamento, limitação, portabilidade e oposição.
• Violações de dados: notificação ao responsável sem demora injustificada, com detalhes para cumprir os Artigos 33.º e 34.º.
• Avaliação de impacto e consultas: assistência na DPIA e na consulta prévia à autoridade de controlo.
• Fim do contrato: eliminação ou devolução de dados, salvo obrigação legal de conservação.
• Auditorias e inspeções: disponibilização de informação e contribuição para auditorias.

Cada cláusula deve ter dono, prazo e evidência. Por exemplo, a cláusula de violações precisa de um modelo de notificação, um canal de contacto e um registo de incidentes. A cláusula de auditoria precisa de âmbito, frequência e critérios de confidencialidade.

A lista não é decorativa. A autoridade de controlo pode comparar o contrato com o registo do Artigo 30.º e com os fluxos reais de dados. Se uma cláusula existir apenas no papel, mas o fornecedor usar subcontratantes não declarados, há incumprimento.

GDPR data processing agreement clauses requirements step by step: documentação e evidências

A documentação não substitui o contrato, mas prova a sua execução. Mantenha uma matriz que ligue cada cláusula do DPA a procedimentos, registos e responsáveis. A matriz deve referenciar o Artigo 30.º do GDPR, o registo de atividades de tratamento e o inventário de subcontratantes.

Para equipas que já usam sistemas de gestão, a lógica do ISO 9001 ajuda: definir processo, responsabilidade, critério de aceitação e melhoria. Veja o guia de requisitos de documentação do ISO 9001 para adaptar controlos documentais ao DPA. O mesmo raciocínio aplica-se a produtos com marcação CE, onde o ficheiro técnico exige rastreabilidade; consulte o guia do ficheiro técnico CE.

Um DPA bem documentado responde a cinco perguntas: quem trata, o quê, porquê, onde e por quanto tempo. Se faltar uma resposta, a cláusula está incompleta. Use a análise de cláusulas de DPA do GDPR como ponto de partida para revisões periódicas.

Subcontratantes, transferências internacionais e auditorias

Transferências para fora do Espaço Económico Europeu exigem base do Capítulo V do GDPR. O DPA deve identificar o mecanismo: decisão de adequação, cláusulas contratuais-tipo, regras vinculativas de empresas ou exceção aplicável. Não basta mencionar “transferência internacional” numa cláusula genérica.

Em transferências, anexe as cláusulas contratuais-tipo assinadas, a avaliação de impacto da transferência e o mapa de fluxos. O DPA sem anexos operacionais é difícil de defender.

Auditorias podem ser presenciais ou documentais. O subcontratante pode recusar pedidos manifestamente excessivos, mas deve justificar. O responsável deve definir antecedência, escopo, confidencialidade e tratamento de segredos comerciais. O resultado deve gerar plano de ações com prazos.

Sinais de alerta em contratos existentes

• Cláusulas que remetem apenas para “a lei aplicável” sem listar obrigações do Artigo 28.º/3.
• Autorização genérica de subcontratantes sem mecanismo de objeção.
• Prazos de notificação de violações superiores a 24–48 horas sem justificação.
• Ausência de cláusula de devolução ou eliminação no fim do contrato.
• Transferências internacionais sem anexo com salvaguardas.

Como fechar o ciclo de conformidade

Revise o DPA pelo menos uma vez por ano e sempre que mudar fornecedor, finalidade, sistema ou país de tratamento. Registe versões, aprovações e formações. Em caso de inspeção, a autoridade de controlo pode pedir o contrato, as instruções, os registos de subcontratantes e as evidências de segurança.

Indicadores úteis incluem tempo médio de notificação de violações, percentagem de subcontratantes avaliados e número de pedidos de titulares respondidos dentro do prazo. Estes dados mostram se o DPA está vivo ou arquivado.

A expressão GDPR data processing agreement clauses requirements step by step resume o método: identificar cláusulas, atribuir controlos, testar evidências e corrigir lacunas. Um DPA conforme não garante conformidade total, mas sem ele a conformidade com o GDPR fica incompleta.