O núcleo do acordo de processamento de dados está na própria RGPD, e esse texto não muda a cada ano. O que muda é a prática envolvente: quais os fornecedores que utiliza, como esses fornecedores por sua vez contratam subempreiteiros, e as regras sobre a transferência de dados fora da União Europeia, que a Comissão Europeia ajusta de tempos em tempos. Para a maioria das pequenas e médias empresas, isso não se reflete no seu próprio contrato, mas no anexo: a lista de sub-processadores que o seu fornecedor contrata.
Isto torna a distinção importante. A obrigação de celebrar um acordo de processamento de dados com cada parte que processa dados pessoais em seu nome permanece inalterada. O que muda situa-se nos detalhes subjacentes a essa obrigação: quais os sub-processadores ativos, se um fornecedor processa dados fora da UE, e que acordos sobre isso são considerados adequados em determinado momento.
O que não muda na lei em si
A obrigação de um acordo de processamento de dados, os elementos mínimos que deve incluir, e o papel do responsável pelo tratamento perante o processador: estes são componentes fixos da RGPD. Neste momento não existe nenhuma alteração anunciada a estas disposições. Quando isso acontecer, será através de uma alteração ao próprio regulamento ou através de uma decisão do Tribunal de Justiça Europeu, não através de uma comunicação isolada de uma autoridade supervisora.
O que muda na prática
Três coisas mudam normalmente, e frequentemente sem que o note imediatamente. Primeiro, os fornecedores de software ampliam a sua funcionalidade, por exemplo com funcionalidades de IA que são adicionadas a uma ferramenta existente. Isto pode significar que surge um novo sub-processador que ainda não conhecia. Segundo, as autoridades supervisoras e o EDPB alteram regularmente as suas orientações sobre tópicos específicos, como armazenamento em nuvem ou transferência internacional, sem que a lei em si mude. Terceiro, a Comissão Europeia por vezes ajusta as cláusulas-tipo utilizadas para a transferência de dados para países fora da UE.
Sub-processadores: a mudança silenciosa
A maior parte da mudança num acordo de processamento de dados não está no documento principal, mas no anexo com sub-processadores. Um pacote de contabilidade que contrata um novo parceiro de alojamento, uma ferramenta de RH que externaliza o atendimento ao cliente para um contact center noutro país: estas são alterações que, de acordo com a RGPD, devem ser comunicadas, para que possa avaliar se se opõe a isso. Na prática, esta é precisamente a parte que as empresas mais facilmente perdem de vista, porque muitas vezes é mencionada num e-mail com uma atualização de produto e não numa notificação jurídica separada.
Transferência fora da UE
Se um fornecedor processa dados fora da União Europeia, deve existir uma base legal separada para isso, por exemplo cláusulas-tipo da Comissão Europeia ou uma decisão de que um país oferece um nível adequado de proteção. Estas bases legais são revistas de tempos em tempos; o que era considerado adequado num determinado momento pode ser ajustado posteriormente. Para si como cliente de um fornecedor SaaS, isto significa que a base legal de um contrato existente pode mudar sem que o contrato em si seja alterado. O que isto significa concretamente para os seus próprios fornecedores não pode ser dito em termos gerais; requer uma análise do contrato específico e da situação atual na Autoridade da Proteção de Dados.
O que isto significa para os seus próprios contratos
A questão prática não é se a lei foi alterada, mas se os sub-processadores e as regras de transferência de dados sob seus contratos existentes ainda correspondem ao que foi acordado ou controlado anteriormente. Isso significa verificar periodicamente se um fornecedor notificou novos sub-contratantes e se os anexos aos seus contratos de processamento ainda estão atualizados. Para uma primeira orientação sobre o que exatamente deve constar em tal contrato, você pode consultar a base de conhecimento sobre contratos de processamento; que é de acesso gratuito e organizada por assunto, com a referência à legislação incluída.
É sensato não ver isso como uma verificação única, mas como algo que continua enquanto você utiliza fornecedores que processam dados em seu nome. Quem usa múltiplas ferramentas SaaS e não sabe exatamente quais sub-processadores estão envolvidos pode encontrar isso nas perguntas frequentes sobre contratos de processamento em andamento. E em caso de dúvida sobre se uma alteração notificada por um fornecedor tem implicações para sua própria responsabilidade, é recomendável que seja verificada por um jurista ou, em caso de dúvida sobre a autoridade supervisora correta, você entre em contato com a Autoridade de Proteção de Dados.
Empresários que querem saber como essa monitorização funciona na prática podem ler de onde as informações em gdpria.eu vêm e como as alterações dos fornecedores são acompanhadas.
Verificar sua própria situação
A maioria das dúvidas sobre "o que mudou este ano" não resulta de uma alteração legal, mas de um fornecedor que fez algo sem que você percebesse. Se quiser ver em alguns minutos se sua própria situação precisa de atenção, você pode fazer a verificação rápida gratuita ou consultar a base de conhecimento sobre os assuntos relevantes para sua empresa.