Se o fornecedor com o qual você celebra um contrato de processamento estiver localizado fora da União Europeia ou do Espaço Económico Europeu, o próprio contrato de processamento não muda fundamentalmente. Os mesmos componentes que o RGPD prescreve — o objeto e a duração do processamento, a natureza e o propósito, o tipo de dados, as categorias de pessoas singulares, e as obrigações e direitos seus enquanto responsável pelo tratamento — devem continuar presentes, independentemente de onde o fornecedor esteja estabelecido.
O que é adicionado é uma camada separada de regras: o RGPD estabelece condições adicionais para a transferência de dados pessoais para um país fora da UE ou do EEE. Esta camada obriga você a verificar se, para esse país específico, é necessária uma salvaguarda além dos acordos habituais no contrato de processamento, e, em caso afirmativo, qual.
O que permanece igual
O núcleo de um contrato de processamento diz respeito à relação entre você e a parte que processa dados em seu nome: quem faz o quê, com que objetivo, por quanto tempo, e o que acontece em caso de violação de dados ou término da colaboração. Esses acordos aplicam-se a cada processador, quer esteja em Roterdão, Dublin ou São Francisco. Um fornecedor fora da UE, portanto, não o dispensa da avaliação habitual de um contrato de processamento; essa avaliação continua necessária, apenas algo é adicionado.
As regras de transferência: a camada adicional
O RGPD regula separadamente sob quais condições os dados pessoais podem sair do território da UE ou do EEE. O princípio fundamental é que o nível de proteção dos dados não deve diminuir pelo facto de serem transferidos para outro país. Para vários países, a Comissão Europeia determinou que o nível de proteção lá é adequado; isso é chamado de decisão de adequação, e não se aplica automaticamente a todo um país, mas às vezes apenas a um setor ou regime específico. Se não houver decisão de adequação, um mecanismo amplamente utilizado são as cláusulas contratuais-padrão que a Comissão Europeia publica: um modelo estabelecido que é utilizado como suplemento junto ao contrato de processamento ou como anexo. A variante aplicável e se é atual muda ocasionalmente; a localização das listas e modelos atuais está na Comissão Europeia e na Autoridade de Proteção de Dados, não num texto fixo que você possa memorizar.
A nuvem torna mais complicado do que parece
Com muitas ferramentas de SaaS, a questão 'meu fornecedor está localizado dentro da UE' parece mais simples do que realmente é. Um fornecedor pode ter uma sede europeia e ainda assim utilizar sub-processadores, centros de dados para cópia de segurança ou pessoal de apoio fora da UE. Isso também conta como transferência, mesmo que a sede principal esteja na Holanda ou na Alemanha. Portanto, a questão não é apenas onde o fornecedor está estabelecido, mas onde os dados são realmente processados, incluindo os intermediários envolvidos.
O que você pode investigar na prática
Um fornecedor que tem os seus assuntos em ordem pode normalmente indicar onde os dados são processados e armazenados, se sub-processadores fora da UE são utilizados e qual mecanismo de transferência foi aplicado para isso. Este tipo de perguntas deve fazer parte da mesma avaliação que o resto do contrato de processamento: não como um exercício separado posteriormente, mas como parte da leitura do próprio contrato. Quem busca estrutura nisso encontra explicado por tópico na base de conhecimento como as diferentes situações se relacionam uma com a outra.
Por que a localização é especialmente importante aqui
Como as listas de decisões de adequação e modelos de cláusulas contratuais tipo mudam ao longo do tempo, o risco de uma premissa desatualizada é aqui maior do que na maioria dos outros tópicos do RGPD. Um texto que está correto hoje pode não estar mais dentro de um ano. Por isso, nestes tipos de tópicos, sempre nos referimos diretamente à fonte em vez de usarmos um resumo que deva ser independente; como exatamente isso se apresenta, pode ler em a página sobre de onde vêm nossas informações.
O que isto significa para o seu registo e os seus contratos
Se mantiver um registo dos fornecedores que utiliza e onde estão estabelecidos, vê num relance quais dos contratos com subcontratantes de processamento têm as regras de transferência de dados relevantes e quais não têm. É exatamente por isso que o país de estabelecimento é uma parte fixa da forma como registamos um fornecedor no sistema. As perguntas que surgem com mais frequência sobre este tema estão reunidas em perguntas frequentes sobre fornecedores e dados fora dos Países Baixos.
Se uma salvaguarda complementar adicional é efetivamente necessária para a sua situação, e qual é, é em última análise para si ou para o seu jurista decidir; fornecemos esclarecimentos e estrutura, não aconselhamento jurídico. Em caso de dúvida sobre a aplicação num caso concreto, pode também contactar a Autoridade da Proteção de Dados.
Quer obter uma visão clara sobre quais dos seus fornecedores estão dentro e quais fora da UE, e se existe um contrato com subcontratante de processamento com as salvaguardas corretas para isso? Faça a verificação gratuita de um contrato com subcontratante de processamento ou abra uma conta comercial para o manter no seu registo.