Fornecedores como subcontratantes: o que exige, na prática, o art. 28.º do RGPD?

Subcontratante é quem trata dados pessoais por conta e segundo as instruções de um responsável pelo tratamento (art. 4.º, ponto 8, do RGPD). Casos típicos são o alojamento e os serviços de centro de dados, o software como serviço, a manutenção informática com acesso a dados ou o envio de correio e emails por conta de outrem.

Não existe subcontratação quando um prestador de serviços não tem qualquer acesso a dados pessoais ou decide ele próprio sobre as finalidades e os meios do tratamento.

Nos termos do art. 28.º, n.º 3, do RGPD, o contrato estabelece o objeto e a duração, a natureza e a finalidade do tratamento, o tipo de dados pessoais, as categorias dos titulares dos dados e as obrigações e direitos do responsável pelo tratamento. Em especial, o subcontratante compromete-se a tratar os dados apenas mediante instruções documentadas (alínea a)), a assegurar a confidencialidade (alínea b)), a adotar as medidas exigidas nos termos do art. 32.º (alínea c)), a respeitar as regras relativas aos subcontratantes ulteriores (alínea d)), a prestar assistência no exercício dos direitos dos titulares dos dados (alínea e)) e no cumprimento das obrigações previstas nos artigos 32.º a 36.º (alínea f)), a apagar ou devolver os dados no termo da prestação (alínea g)) e a disponibilizar todas as informações necessárias, bem como a permitir auditorias (alínea h)).

O contrato tem de ser celebrado por escrito, incluindo em formato eletrónico (art. 28.º, n.º 9). As cláusulas contratuais-tipo da Comissão Europeia podem servir de base (Decisão de Execução (UE) 2021/915).

Ainda antes do contrato, o cliente tem de verificar se o fornecedor apresenta garantias suficientes (art. 28.º, n.º 1). Destas fazem parte medidas técnicas e organizativas documentadas nos termos do art. 32.º – por exemplo, proteção de acessos, encriptação, cópias de segurança e procedimentos de verificação regular.

O cumprimento de códigos de conduta aprovados ou de procedimentos de certificação nos termos do RGPD pode ser utilizado como elemento para demonstrar garantias suficientes (art. 28.º, n.º 5). Não substitui, porém, a própria verificação.

O fornecedor só pode contratar outros subcontratantes mediante autorização prévia, específica ou geral, por escrito (art. 28.º, n.º 2). No caso de uma autorização geral, informa o cliente de quaisquer alterações pretendidas, e o cliente pode opor-se.

Ao subcontratante ulterior têm de ser impostas as mesmas obrigações em matéria de proteção de dados; se não as cumprir, o fornecedor continua a ser responsável perante o cliente (art. 28.º, n.º 4).

Muitas vezes, o contrato falta por completo, ou foi assinado uma vez e nunca mais revisto. Igualmente frequentes são listas de subcontratantes ulteriores desatualizadas, medidas técnicas e organizativas redigidas como textos genéricos sem relação com o serviço e a ausência de regras sobre o apagamento no termo do contrato.

Nos termos do art. 83.º, n.º 4, do RGPD, as infrações às obrigações do art. 28.º podem ser punidas com coimas até 10 milhões de euros ou até 2 % do volume de negócios anual a nível mundial, consoante o montante que for mais elevado.

O catálogo da Vendo4u pergunta pelos pontos que contam numa verificação nos termos do art. 28.º – se existe um contrato de subcontratação, onde são tratados os dados, que subcontratantes ulteriores são utilizados –, e os fornecedores carregam os documentos correspondentes. Os compradores veem estas informações de todos os fornecedores na mesma estrutura e arquivam-nas, com a exportação, no seu próprio processo.