Devo assinar um contrato de processamento de dados que meu cliente envia?

Assinar não é uma obrigação, verificar é

Não, não há nenhuma obrigação legal de assinar um contrato de processador apenas porque um cliente o fornece. Um contrato de processador é um acordo entre duas partes, e como em qualquer contrato: você verifica primeiro o que está escrito antes de assinar. O cliente que envia o contrato não determina automaticamente o seu conteúdo — esse conteúdo deve cumprir certos requisitos, e isso é diferente de "devo aceitar este documento".

O que é relevante: se você atua como processador e processa dados pessoais por conta desse cliente, o RGPD exige que exista um contrato de processador, com vários componentes obrigatórios. Portanto, não se trata de assinar ou não, mas se o texto que recebe cobre esses componentes e corresponde ao que realmente acontece na prática. Um conceito formulado de forma demasiado ampla, que regule questões que não se adequam ao serviço efetivamente prestado, ou que omita componentes, é uma razão para solicitar ajustes ou propor uma versão própria — não para assinar sem reservas.

O que o artigo 28.º do RGPD estabelece a este respeito

O artigo 28.º do RGPD determina que o tratamento por um processador deve ser regulado por um contrato ou outro acto jurídico, e enumera os temas que devem ser abordados — nomeadamente o objeto e a duração do tratamento, a natureza e a finalidade, o tipo de dados pessoais e as categorias de titulares, e as obrigações e direitos do responsável pelo tratamento. Este artigo não diz nada sobre quem elabora ou fornece o documento; apenas especifica o que deve constar. Para o texto completo, o regulamento em si é a fonte, e em caso de dúvida sobre um contrato concreto, a base de conhecimentos da Autoridade Nacional de Proteção de Dados pode servir como referência — embora essa autoridade não se pronuncie sobre contratos individuais.