o que acontece se eu não tiver um contrato de processador com meu fornecedor

Sem contrato de processamento, não cumpre o artigo 28 RGPD

Se um fornecedor processa dados pessoais em seu nome e não existe contrato de processamento, isso é por si só uma violação do RGPD — independentemente de outras questões que possam surgir com esses dados. O artigo 28 do RGPD estabelece que a contratação de um processador deve ser documentada num contrato ou outro ato jurídico; sem essa documentação, falta a base legal para a cooperação, mesmo que o fornecedor trate os dados com cuidado.

Isto aplica-se, por exemplo, a software onde dados de clientes, dados de pessoal ou dados de faturas são introduzidos: pacotes de contabilidade, ferramentas de mailing, fornecedores de hosting. Quem não tem certeza se uma determinada ferramenta está sujeita a esta obrigação, pode verificar através de como sei se o software que uso cumpre o RGPD averiguar; e a questão de se isto também se aplica a um contador volta a aparecer em preciso celebrar um contrato de processador com meu contador. A ausência de um contrato geralmente não é algo que venha à luz por si só, até que haja uma falha de dados, uma reclamação de um cliente ou uma inspeção — e então verifica-se que os acordos não existem.

Onde isto decorre do artigo 28 RGPD

O artigo 28 do RGPD estabelece que o processamento por um processador é regulado por um contrato que deve documentar obrigatoriamente várias matérias, como o objectivo do processamento, a duração e as obrigações do processador; as matérias exactas estão descritas em o que deve conter um contrato de processamento. A obrigação de ter este contrato recai tanto sobre o responsável pelo processamento como sobre o processador, e aplica-se em toda a UE diretamente do regulamento; quem deve garantir o cumprimento varia de país para país — nos Países Baixos é a Autoridade de Proteção de Dados, noutros Estados-Membros é a autoridade de supervisão desse país. Mais informações sobre a autoridade de supervisão podem ser encontradas através da Autoridade de Proteção de Dados.