O que deve constar num contrato de processamento de dados?

O que um contrato de processamento deve regular em qualquer caso

Um contrato de processamento deve descrever o que o processador faz com dados pessoais em nome do controlador de dados e sob quais condições. Isso começa com o básico: o objeto e a duração do processamento, a natureza e o objetivo, o tipo de dados pessoais envolvido e as categorias de titulares de dados relevantes. Sem essa descrição, não é possível estabelecer se um fornecedor cumpre os acordos.

Além disso, deve incluir uma série de obrigações que derivam diretamente do RGPD. O processador processa dados apenas com base em instruções escritas do controlador de dados, garante que as pessoas que processam os dados estejam vinculadas pelo sigilo, e implementa medidas de segurança apropriadas. Também deve estar regulado o que acontece quando o processador contrata outra parte (um subprocessador), como o processador auxilia nas solicitações de titulares de dados e na notificação de violações de dados, e o que acontece com os dados quando a prestação de serviços termina — destruição ou devolução. Frequentemente também consta que o controlador de dados pode verificar se os acordos estão sendo cumpridos, por exemplo através de uma auditoria.

De onde isto decorre: artigo 28.º do RGPD

Esta enumeração segue diretamente do artigo 28.º do RGPD, que descreve especificamente o que um contrato de processamento deve conter quando um controlador de dados contrata um processador. As orientações do EDPB fornecem esclarecimentos adicionais sobre como essas disposições podem ser implementadas na prática, por exemplo ao avaliar medidas de segurança ou ao contratar subprocessadores. Para a formulação exata de cada obrigação, o texto do artigo 28.º em si permanece como referência.