Sim, pode elaborar um contrato de processamento de dados por sua conta. O RGPD não prescreve um formato obrigatório: não existe um modelo oficial que deva usar, apenas uma série de tópicos que o contrato deve necessariamente cobrir. Para uma relação simples com um serviço claramente definido, sem subcontratantes e sem dados transferidos para fora da UE, elaborar por conta própria é frequentemente uma tarefa viável de uma tarde.
A questão não é tanto se é permitido, mas se a situação é simples o suficiente para fazer bem sem ajuda. Assim que há múltiplas partes na cadeia, dados sensíveis estão sendo processados, ou a outra parte envia um seu próprio projeto de contrato que se afasta do que precisa, a elaboração própria torna-se mais difícil de acompanhar. Nesse caso, aconselhamento jurídico, ou pelo menos uma revisão estruturada, é mais sensato do que preencher um modelo e esperar que funcione.
O que obrigatoriamente deve constar
Independentemente de quem elabora o contrato, um contrato de processamento de dados regula um conjunto fixo de tópicos. Nele constam qual é o objeto e a duração do processamento, quais categorias de dados pessoais e de titulares de dados estão envolvidas, e qual é o objetivo do processamento. Além disso, o contrato estabelece que o processador atua apenas sob instrução do responsável pelo tratamento de dados, que os funcionários do processador estão obrigados ao sigilo, quais medidas de segurança se aplicam, como os subcontratantes são envolvidos e notificados, como o processador coopera com solicitações de titulares de dados e com notificações de violações de dados, e o que acontece com os dados após o término do contrato. Estes componentes estão literalmente na regulamentação; quem os omitir de um projeto, está omitindo algo que deveria estar lá.
Quando a elaboração própria funciona na prática
A elaboração própria funciona bem quando a relação é clara: você é o responsável pelo tratamento de dados, contrata um fornecedor para um serviço claramente definido, não há subcontratantes conhecidos fora da UE, e os dados não são particularmente sensíveis. Pense numa solução de contabilidade, numa ferramenta de envio de e-mails ou num sistema de agendamento cuja versão padrão o fornecedor já oferece. Nesse caso, seu trabalho é principalmente verificar se o texto padrão cobre os componentes obrigatórios, e se as disposições feitas correspondem ao que a ferramenta realmente faz. Quem quiser ter essa visão geral das ferramentas usadas diariamente encontra na biblioteca de conhecimentos com os componentes obrigatórios por situação uma estrutura para se orientar.
Quando é mais sensato contratar ajuda externa
O limite muda assim que a cadeia se torna mais complexa: múltiplos subcontratantes, transferência para países fora da UE, processamento de dados de saúde, dados biométricos ou dados de menores, ou uma contraparte que envia seu próprio projeto que se afasta do que esperava. Nesses casos, o risco não é não ter um contrato, mas assinar ou elaborar um que não cubra o que realmente acontece. Um jurista ou consultor especializado pode então avaliar se as disposições se adequam ao fluxo de dados real, algo que um modelo não faz por você.
Usar um modelo é diferente de elaborar por sua conta
Há diferença entre usar um modelo como ponto de partida e escrever um contrato completamente por sua conta. Um modelo a força a rever os componentes obrigatórios, mas não os preenche automaticamente de forma correta para sua situação. O inverso também se aplica a um contrato que um cliente ou fornecedor lhe envia: pode parecer completo e ainda assim omitir um componente, ou conter uma disposição que não se adequa ao que realmente acontece na prática. Respostas a perguntas frequentes sobre isso, como o que um cliente pode razoavelmente exigir e o que não pode, estão reunidas em as perguntas frequentes sobre acordos de processamento de dados.
O que gdpria.eu faz nesse contexto
Verificar um contrato de processamento que alguém lhe envia e consultar os componentes padrão na base de conhecimento é gratuito e sem conta. O sistema envolvido — o conjunto de documentos com modelos, o monitoramento de contratos em vigor e os prazos associados — está incluído na subscrição. O que está incluído é apresentado de forma clara em a visão geral das formas de subscrição. Fornecemos orientação e estrutura, não aconselhamento jurídico: você decide por si próprio se redige o documento, utiliza um modelo ou contrata um jurista.
Quer ver primeiro como funciona na prática antes de criar algo? Consulte os tópicos na base de conhecimento, ou crie uma conta comercial para configurar o registro e o monitoramento dos seus próprios contratos de processamento.