Verificar o DPA: os pontos que falham na prática
Como verificar de forma eficiente um contrato de subcontratação (DPA) quanto a subprestadores, direito de dar instruções e cláusulas de auditoria, para evitar coimas elevadas.
Martin Semmele
Conclusões principais
- Um DPA em falta ou deficiente pode dar origem a coimas, dentro do limite legal de até 10 milhões de euros.
- Quando o fornecedor recorre a novos subprestadores, precisas de um verdadeiro direito de oposição no contrato.
- Para cumprir o prazo de notificação de 72 horas em caso de violação de dados, o DPA tem de obrigar o prestador de serviços a informar-te depressa.
- Depois do fim do contrato tem de estar claramente regulado como e quando os teus dados são eliminados por completo.
Porque é que a verificação do DPA emperra no dia a dia
Quando contratas software para a tua empresa, as ferramentas externas tratam quase sempre dados pessoais da tua clientela. Nos termos do art. 28 RGPD, um contrato de subcontratação é uma obrigação legal. Se esse contrato faltar ou tiver lacunas, há o risco de coimas ao abrigo do art. 83(4) RGPD até 10 milhões de euros ou 2 por cento do volume de negócios anual mundial1. Que também as infrações pequenas são sancionadas mostra-o um caso de Hamburgo: uma empresa de venda por correspondência recebeu uma coima de 5 000 euros acrescida de 250 euros de taxas, por não ter celebrado qualquer contrato de subcontratação com um prestador de serviços contratado2.
O caos de papelada no dia a dia da empresa.
A realidade nas pequenas e médias empresas costuma ser diferente da dos manuais. Os contratos-padrão dos fornecedores de software abrangem muitas vezes dezenas de páginas de cláusulas jurídicas. Sem um departamento jurídico próprio, perde-se tempo valioso no dia a dia. A direção e os responsáveis de equipa enfrentam o desafio de avaliar riscos sem passar horas a percorrer textos legais.
Uma verificação estruturada protege a tua empresa de surpresas desagradáveis. Em vez de negociares cada frase com o advogado, concentras-te nos pontos críticos em que os contratos falham na prática. Este guia não constitui aconselhamento jurídico, serve de orientação operacional. Caso uma cláusula deixe dúvidas, na dúvida convém remetê-la para uma análise jurídica.
- Subprestadores: quem trata os teus dados em segundo plano?
- Direito de dar instruções: manténs o controlo total sobre o software?
- Direitos de auditoria: até que ponto as medidas de proteção são demonstráveis?
- Prazos de notificação: recebes aviso a tempo quando é preciso?
- Eliminação: o que acontece aos teus dados depois do cancelamento?
A lista de subcontratantes: quem está afinal a ler os teus dados?
Nenhum serviço de nuvem moderno opera sozinho toda a sua infraestrutura. Os fornecedores de SaaS usam centros de dados externos para o alojamento, terceiros para o envio de e-mail ou motores de pesquisa especializados para a análise de dados. No direito da proteção de dados, estes prestadores de serviços chamam-se subprocessadores ou subcontratantes ulteriores.
A transparência vence as promessas genéricas.
Um contrato sólido nomeia todos os subprestadores utilizados, com nome, função e sede da empresa. O ponto crítico está nas alterações dessa lista. Se o contrato permitir ao fornecedor recorrer a novos subprestadores sem o teu consentimento expresso, perdes o controlo sobre o percurso dos dados.
Precisas de uma comunicação garantida por contrato antes de cada mudança. O contrato tem de te conceder uma janela adequada de pelo menos 14 dias para te opores à entrada de um novo subprestador. Se não houver direito de oposição ou se a informação chegar apenas através de uma página escondida, a regra não corresponde às exigências de um tratamento de dados seguro.
| Regra no DPA | Efeito na prática | Avaliação |
|---|---|---|
| Autorização prévia genérica | O fornecedor pode integrar novos prestadores de serviços a qualquer momento. | Crítico |
| Informação por e-mail com prazo de 14 dias | Recebes aviso ativo e podes opor-te se tiveres reservas. | Em conformidade com o RGPD |
| Lista transparente com localização na UE | Clareza sobre todos os locais de tratamento e prestadores de serviços. | Ótimo |
O direito de dar instruções: os limites do controlo no dia a dia do SaaS
Como cliente, continuas a ser o proprietário legal dos dados tratados e o responsável pelo tratamento. O prestador de serviços só pode tratar os teus dados exatamente como lhe indicares. Este direito de dar instruções é o cerne da subcontratação nos termos do art. 28 RGPD.
Como funcionam as instruções na prática.
Com software padronizado, raramente dás instruções por carta ou por e-mail. A configuração da aplicação, a ativação de funcionalidades ou a definição de prazos de eliminação na interface valem como instrução técnica. O contrato tem de fixar que a utilização do software vale como instrução tua.
Um ponto muitas vezes esquecido é o dever de aviso do fornecedor. O contrato tem de obrigar o prestador de serviços a informar-te sem demora quando uma instrução dada por ti violar o direito da proteção de dados. Se essa cláusula faltar, todo o risco das configurações ilícitas recai apenas sobre ti.
- Determinação inequívoca: as definições do software valem como instrução juridicamente válida.
- Forma documentada: a forma textual por e-mail ou sistema de tickets é suficiente.
- Dever de aviso ativo: o fornecedor informa-te em caso de instruções ilícitas.
- Limites das alterações: o fornecedor não pode adaptar as instruções por iniciativa própria.
Direitos de auditoria: entre o papel e as verificações reais
O RGPD obriga-te a controlar com regularidade o cumprimento das medidas técnicas e organizativas junto do prestador de serviços. Uma auditoria no local, no centro de dados do fornecedor, é porém praticamente impossível nos serviços de nuvem. Nenhum centro de dados concede a visitantes externos acesso livre às salas de servidores.
Os certificados como via de verificação pragmática.
O contrato tem por isso de definir medidas substitutivas claras para as auditorias físicas. Os relatórios de auditoria reconhecidos segundo a ISO 27001, a SOC 2 ou o BSI C5 comprovam a segurança da infraestrutura através de terceiros independentes. É importante que o fornecedor te disponibilize estas provas gratuitamente e sem grande demora.
Um contrato que liga os direitos de verificação a taxas elevadas ou exclui as auditorias de forma genérica não é aceitável. Tens de manter o direito de exigir informações adicionais quando existam dúvidas fundadas ou depois de incidentes de segurança.
Na prática tens três vias de verificação. Uma auditoria no local dá a visão mais direta, mas pressupõe viagem, marcação e pessoal especializado próprio, e os grandes fornecedores de nuvem, em regra, nem sequer a concedem. Os certificados e relatórios de auditoria reconhecidos segundo a ISO 27001, a SOC 2 ou o BSI C5 são elaborados por auditores independentes e podem quase sempre ser pedidos de imediato, restando-te apenas lê-los à luz das tuas próprias exigências. Os questionários ficam a meio caminho: respondem às tuas perguntas específicas, mas exigem que sejas tu a formular as perguntas e a avaliar as respostas, e o fornecedor precisa de tempo para responder.
Prazos de notificação: quando cada hora conta
Se ocorrer uma falha de segurança no prestador de serviços, o relógio começa a contar. Nos termos do art. 33 RGPD, tens de notificar uma violação de dados pessoais à autoridade de controlo competente no prazo de 72 horas a partir do momento em que tomas conhecimento dela3. Este prazo corre sem interrupção, também aos fins de semana e nos feriados3.
Sem demora não chega como palavra.
O legislador exige do subcontratante que informe o responsável pelo tratamento sem demora sobre os incidentes de segurança3. No contrato, esta palavra indeterminada deveria ser precisada com uma indicação de tempo concreta. Se o fornecedor só te informar ao fim de dois dias, restam-te poucas horas para as tuas próprias análises.
Combina no contrato um prazo de notificação de 24 a 48 horas, no máximo, a contar da deteção do incidente. O fornecedor tem de te transmitir todas as informações disponíveis sobre a dimensão da violação, as categorias de dados afetadas e as contramedidas iniciadas.
- Enquadramento temporal concreto: aviso para ti no prazo máximo de 24 a 48 horas.
- Indicações completas: tipo de incidente, pessoas afetadas e categorias de dados.
- Pessoa de contacto: indicação de um contacto direto para emergências.
- Dever de documentação: relatório escrito sobre as causas e as contramedidas.
Eliminação depois do fim do contrato: o corte limpo
Depois de terminada a colaboração, os teus dados não podem ficar nos servidores do prestador de serviços. O art. 28(3), primeira frase, alínea g) do RGPD determina que todos os dados pessoais sejam, à escolha do cliente, integralmente eliminados ou devolvidos.
Obstáculos escondidos no cancelamento.
Na prática, alguns fornecedores tentam cobrar as exportações de dados ou impor prazos de conservação longos. Um contrato como deve ser assegura que a exportação dos teus dados num formato corrente como JSON ou CSV é possível sem custos.
Repara na confirmação escrita da eliminação. O prestador de serviços tem de confirmar por escrito, dentro de um prazo definido, a eliminação definitiva de todas as cópias, também nas cópias de segurança. As obrigações legais de conservação do fornecedor são a única exceção.
- Direito de escolha: decisão entre eliminação integral e devolução dos dados.
- Formato corrente: exportação gratuita de todas as estruturas de dados.
- Eliminação nas cópias de segurança: eliminação nas cópias dentro de um prazo adequado.
- Confirmação: prova escrita da eliminação realizada.
Um exemplo da prática: suporte sem dores de cabeça com o DPA
ComLayer mostra que software moderno de apoio ao cliente e proteção de dados fiável andam juntos. Como plataforma para o suporte ao cliente com IA, a ferramenta trata pedidos da clientela por conta das empresas. Todos os conteúdos e conversas permanecem em regiões europeias.
Automatização sem zonas cinzentas jurídicas.
Para o cumprimento de todos os requisitos de privacidade, ComLayer disponibiliza um contrato de subcontratação verificado. Os prestadores de serviços utilizados são nomeados abertamente. A IA não usa os dados dos clientes para fins de treino próprios. Assim é possível usar IA em conformidade com o RGPD no suporte sem criar insegurança jurídica.
O modelo de preços flexível permite a equipas de qualquer tipo dar o primeiro passo. A oferta começa com a variante Free por 0 euros por mês para experimentar. Para suporte com IA em produção existe o plano Pro a partir de 49 euros por mês mais 12 euros por lugar, enquanto o plano Scale cobre volumes maiores por 199 euros por mês.
- Alojamento na UE: todos os conteúdos permanecem em servidores europeus.
- DPA transparente: modelos de contrato prontos nos termos do art. 28 RGPD disponíveis.
- Sem treino de modelos: a tua base de conhecimento continua a ser propriedade tua e protegida.
- Comunicação aberta: todos os subprestadores são indicados de forma transparente.
Perguntas frequentes
Quando é que preciso exatamente de um DPA?
Um DPA é sempre obrigatório nos termos do art. 28 RGPD quando um prestador de serviços externo, por exemplo um fornecedor de software na nuvem, trata dados pessoais por tua conta e segundo as tuas instruções.
Quem tem de disponibilizar o DPA?
Na prática, é normalmente o prestador de serviços que apresenta o projeto de contrato. Como cliente, continuas porém a ser o responsável legal por que o DPA cumpra as exigências rigorosas do RGPD.
O que acontece se não celebrar um DPA?
A falta de DPA é um risco de conformidade sério. Num caso de Hamburgo, a autoridade de controlo aplicou a uma empresa de venda por correspondência uma coima de 5 000 euros acrescida de 250 euros de taxas. O máximo legal situa-se em 10 milhões de euros ou 2 por cento do volume de negócios anual mundial.
Posso substituir os direitos de auditoria por certificados?
Sim. Como os controlos no local são muitas vezes impossíveis junto dos grandes fornecedores de SaaS, os direitos de auditoria podem ser cobertos por certificados reconhecidos como a ISO 27001 ou por relatórios de auditores independentes.
Quanto tempo tenho para notificar uma violação de dados no prestador de serviços?
Se uma violação de dados pessoais representar um risco para as pessoas em causa, tens de a notificar à autoridade de controlo competente no prazo de 72 horas, nos termos do art. 33 RGPD.