Módulo 9 · 9.2
O contrato de subcontratação e os subcontratantes adicionais
Módulo 9: Pessoas e regras · Tempo de leitura: 11 minutos
Objetivo de aprendizagem: Depois desta lição, saberá ler e verificar um contrato de subcontratação quanto aos pontos exigidos pelo RGPD, e avaliar uma lista de subcontratantes adicionais.
Conceitos-chave: contrato de subcontratação (CS, DPA), art. 28.º, n.º 3 do RGPD, instruções por escrito, confidencialidade, medidas de segurança, subcontratante adicional, autorização geral ou específica, direito de oposição, assistência, devolução ou eliminação, auditoria, transferência para fora do EEE, prazo de notificação de violação de dados, cláusulas contratuais-tipo para subcontratantes
Porquê um contrato de subcontratação?
Na lição 1.2 viu os papéis: a Bakkerij De Korrel é responsável pelo tratamento, o serviço de cloud é subcontratante. O artigo 28.º, n.º 3, do RGPD exige que o tratamento efetuado por um subcontratante seja regulado por um contrato (ou outro ato jurídico) celebrado por escrito. A forma eletrónica também é permitida. É o chamado contrato de subcontratação, abreviado CS; em inglês Data Processing Agreement (DPA) ou Data Processing Addendum.
Nos grandes serviços de cloud, não assina pessoalmente um documento: o CS faz parte das condições que aceita, ou assinala uma caixa no painel de administração. Em fornecedores mais pequenos, por vezes descarrega um documento, preenche os seus dados e assina. Seja como for, enquanto responsável pelo tratamento, tem de poder demonstrar que existe um CS e o que nele consta.
Isto é uma explicação e não um aconselhamento jurídico. Em caso de dúvida sobre os seus próprios contratos, consulte um jurista ou o seu encarregado da proteção de dados.
O que tem de constar, segundo o RGPD
O artigo 28.º, n.º 3, indica primeiro os temas que o contrato tem de descrever: o objeto e a duração do tratamento, a natureza e a finalidade, o tipo de dados pessoais, as categorias de titulares dos dados, e os direitos e obrigações do responsável. Seguem-se depois oito obrigações do subcontratante (alíneas a) a h)). Em linguagem simples, abaixo, com a pergunta que deve colocar ao ler cada ponto:
| Art. 28.º, n.º 3 | O que o subcontratante deve fazer | A sua pergunta de verificação |
|---|---|---|
| a) | Tratar os dados apenas mediante instruções suas por escrito, incluindo no que respeita a transferências para fora do EEE | Consta que o fornecedor não utiliza os dados para fins próprios? |
| b) | Garantir que os colaboradores estão sujeitos a confidencialidade | Existe um dever de confidencialidade para o pessoal? |
| c) | Tomar as medidas de segurança adequadas (art. 32.º) | As medidas constam do contrato, ou há remissão para um documento atualizado? |
| d) | Subcontratantes adicionais apenas com a sua autorização, e com as mesmas obrigações | Existe uma lista e pode opor-se? |
| e) | Ajudar a responder a pedidos dos titulares dos dados (acesso, eliminação) | O fornecedor consegue localizar e eliminar os dados de uma pessoa específica? |
| f) | Ajudar em matéria de segurança, violações de dados e AIPD (arts. 32.º a 36.º) | Com que rapidez o fornecedor notifica uma violação de dados? |
| g) | No final, devolver ou eliminar todos os dados, à sua escolha | Quanto tempo após a rescisão pode recuperar os seus dados, e quando são eliminados? |
| h) | Prestar informações e permitir auditorias | Existem relatórios de auditoria ou certificações, e pode mandar fazer uma auditoria? |
A Comissão Europeia publicou também cláusulas contratuais-tipo para subcontratantes (Decisão de Execução (UE) 2021/915). Pode utilizá-las como CS; contêm todos os pontos obrigatórios. Muitos fornecedores mais pequenos utilizam um modelo próprio, na Holanda frequentemente baseado no modelo das organizações setoriais.
Subcontratantes adicionais: quem está por detrás do seu fornecedor?
O seu serviço de cloud não faz tudo sozinho. Um subcontratante adicional é uma entidade que o subcontratante contrata e que tem acesso aos seus dados, por exemplo:
- o centro de dados (se não pertencer ao próprio fornecedor);
- um fornecedor de armazenamento de cópias de segurança;
- uma empresa que filtra o correio eletrónico quanto a spam ou vírus;
- uma entidade de suporte ou um programador que acede remotamente;
- um serviço de IA, caso o fornecedor ofereça uma funcionalidade de IA.
O artigo 28.º, n.º 2, estabelece que um subcontratante não recorre a outro subcontratante sem a autorização específica ou geral, por escrito, e prévia do responsável. No caso de autorização geral, o subcontratante tem de o informar sobre subcontratantes adicionais novos ou substitutos, para que possa opor-se. Na prática, funciona assim: o fornecedor publica uma lista, comunica alterações (por correio eletrónico ou numa página que pode seguir) e dispõe de um prazo para se opor. Se se opuser e não houver solução, geralmente pode rescindir o contrato.
Segundo o n.º 4, o subcontratante adicional tem de assumir as mesmas obrigações, e o subcontratante continua totalmente responsável perante si.
A que deve prestar atenção extra numa mudança para uma cloud europeia
Numa mudança para um serviço europeu, na lista de subcontratantes adicionais deve verificar sobretudo dois aspetos:
- Onde estão localizados os subcontratantes adicionais? Um fornecedor europeu que faça filtrar o seu correio eletrónico por um serviço americano, ou que guarde as suas cópias de segurança numa cloud americana, continua a sujeitar os seus dados ao CLOUD Act (lição 1.3). Verifique o país e a empresa-mãe de cada subcontratante adicional.
- O que fazem? Um registo de domínios que apenas conhece o seu nome e morada como titular do domínio é diferente de uma entidade que armazena as suas caixas de correio.
Leia também o artigo sobre transferência de dados. Um bom CS europeu indica que os dados são tratados dentro da UE ou do EEE, e que a transferência para fora dessa área só é permitida com a sua autorização prévia. Se estiver escrito «podemos tratar dados a nível mundial com garantias adequadas», saiba que a transferência é possível.
Sinais a que deve estar atento
- Ausência de CS disponível num serviço para uso profissional: não é uma boa escolha.
- Uma lista desatualizada de subcontratantes adicionais que não corresponde ao que o fornecedor indica noutro local (por exemplo, um centro de dados diferente): peça esclarecimentos.
- Um prazo de notificação de violações de dados tão longo que o impede de cumprir o seu próprio prazo de 72 horas (art. 33.º). Muitos CS indicam 24 ou 48 horas.
- Responsabilidade totalmente excluída. Isso é habitual até certo ponto, mas diz algo sobre a confiança que o próprio fornecedor tem em si mesmo.
- Ausência de regulação do final do contrato: o que acontece aos seus dados após a rescisão, e recebe uma confirmação de eliminação?
Quem assina, e onde se guarda?
Na De Korrel, é a Sanne, enquanto proprietária, quem assina. Guarda o CS junto do registo das atividades de tratamento (lição 9.3), com a data e a versão. Se o fornecedor alterar o CS ou os subcontratantes adicionais, guarda também essa comunicação. Numa inspeção da autoridade de controlo, ou perante uma pergunta de um cliente («como tratam os meus dados?»), consegue assim demonstrá-lo facilmente.
Na prática: como isto se apresenta num fornecedor
A WebOké tem um contrato de subcontratação padrão com um anexo com terceiros contratados, no qual consta que o tratamento ocorre dentro da UE e que a transferência para fora dessa área só é permitida com autorização por escrito. Nas perguntas frequentes do manual do Nextcloud encontra informação sobre quando precisa dele. Noutros fornecedores, o documento chama-se frequentemente «Data Processing Agreement» e a lista de subcontratantes adicionais encontra-se numa página separada («Subprocessors»). Compare essa lista com o que o fornecedor indica no seu sítio web sobre centros de dados e suporte.
Resumo
- O artigo 28.º, n.º 3, do RGPD exige um contrato de subcontratação por escrito com temas fixos e oito obrigações do subcontratante.
- Verifique sobretudo: ausência de fins próprios, segurança, subcontratantes adicionais, assistência em caso de violações de dados, devolução ou eliminação no final, e auditorias.
- Subcontratantes adicionais apenas com a sua autorização; no caso de autorização geral, tem de ser informado das alterações e poder opor-se.
- Numa mudança para uma cloud europeia, verifique na lista de subcontratantes adicionais o país e a empresa-mãe de cada entidade.
- Guarde o CS e as comunicações de alteração junto do seu registo das atividades de tratamento.
Quiz
Exercício
Exercício E9.2: Verifique um contrato de subcontratação. Pegue no contrato de subcontratação do seu serviço de cloud atual ou novo. Percorra os oito pontos a) a h) e registe, para cada um: se consta (sim, não, pouco claro) e onde. Avalie a lista de subcontratantes adicionais: registe, para cada subcontratante adicional, o país, a empresa-mãe e o que faz.
Exercício E9.2: Verifique um contrato de subcontratação
Pegue no contrato de subcontratação do seu fornecedor atual ou novo e percorra os pontos abordados na lição.
Um prazo de notificação superior a 72 horas dificulta o cumprimento da sua própria obrigação de notificação (art. 33.º RGPD).
Um serviço de cloud sem qualquer subcontratante é raro: peça a lista se esta não constar do contrato.
As suas marcações e notas ficam apenas neste navegador; não as enviamos para lado nenhum. Se tiver sessão iniciada, guardamos em Os meus cursos apenas que concluiu o exercício.
Para saber mais
Os passos indicados nestes artigos aplicam-se aos serviços da WebOké; noutros fornecedores o funcionamento é semelhante.
- Manual do Nextcloud 15.13: Perguntas frequentes sobre segurança e privacidade
- Manual do Nextcloud 14.8: Assistente de IA no seu Nextcloud
- Regulamento (UE) 2016/679 (RGPD), artigo 28.º, no EUR-Lex
- Decisão de Execução (UE) 2021/915 (cláusulas contratuais-tipo entre responsáveis pelo tratamento e subcontratantes), no EUR-Lex
- Autoriteit Persoonsgegevens (a autoridade de controlo neerlandesa), tema «Verwerkersovereenkomst» (contrato de subcontratação): https://www.autoriteitpersoonsgegevens.nl