Um acordo de processamento de dados é um contrato escrito entre duas partes: aquela que determina por que e como os dados pessoais são processados, e aquela que executa isso em seu nome. A primeira é chamada de controlador de dados na RGPD, a segunda é o processador de dados. Você precisa de tal acordo sempre que terceirizar o processamento de dados pessoais para outra empresa, por exemplo, um bureau de folha de pagamento, um provedor de hospedagem ou uma ferramenta SaaS que contém dados de clientes.
O princípio é simples: a lei obriga este acordo porque o controlador de dados permanece responsável pelo que acontece com os dados, mesmo que outra empresa execute o trabalho técnico. Sem acordos claros, não fica estabelecido o que a outra parte pode ou não fazer com os dados, quanto tempo são retidos e o que acontece em caso de vazamento de dados. Um acordo de processamento de dados torna essa divisão visível.
Quando há um processador de dados
Nem toda parte com a qual você trabalha é um processador de dados. Um contabilista que prepara seu demonstrativo financeiro com sua própria responsabilidade profissional é geralmente ele próprio controlador de dados para essa tarefa. Um serviço em nuvem que armazena e processa sua lista de clientes conforme suas instruções é geralmente um processador de dados. A distinção está em quem determina o propósito e os meios do processamento. Se você tem dúvidas sobre se uma parte é um processador de dados, a base de conhecimento da Autoridade Nacional de Proteção de Dados oferece orientações, e você também pode analisar isso situação por situação em base de conhecimento com tópicos de RGPD por situação.
O que deve estar incluído no mínimo
A RGPD menciona vários tópicos que devem ser tratados em um acordo de processamento de dados: o assunto e a duração do processamento, a natureza e o propósito dele, o tipo de dados pessoais e categorias de titulares dos dados, as obrigações e direitos do controlador de dados, e acordos sobre segurança, confidencialidade, subcontratados e a forma como se coopera com auditorias. Também está previsto como será tratado um possível vazamento de dados pelo processador de dados, e o que acontece com os dados assim que a colaboração termina.
Esta lista está literalmente no regulamento; se quiser reler a formulação exata, encontrará em EUR-Lex. As autoridades supervisoras como o EDPB publicaram além disso diretrizes sobre como essas disposições são interpretadas na prática, por exemplo em relação à questão de quando um subcontratado deve ou não ser notificado antecipadamente.
Quem elabora o acordo
Na prática, a parte maior frequentemente fornece o modelo: um fornecedor de software envia seu próprio acordo de processamento de dados juntamente com uma assinatura, ou um cliente o envia para você porque você processa dados para ele. Isso não significa que você deva simplesmente assinar um texto fornecido. É recomendável verificar se todos os tópicos mencionados estão lá, se os acordos de segurança estão alinhados com o que você espera da outra parte, e se a responsabilidade está razoavelmente distribuída. Em caso de dúvida sobre uma cláusula específica, é sensato submetê-la a um advogado.
Por que isso é mais do que uma assinatura
Um acordo de processamento de dados não é uma formalidade que você resolve uma única vez e depois esquece. Assim que um fornecedor de ferramenta muda, você envolve um subcontratado fora da UE, ou a natureza do processamento de dados muda, o acordo existente pode ficar desatualizado. Empresas que trabalham com várias ferramentas SaaS logo têm dez a vinte desses acordos em vigor, cada um com seu próprio prazo e seus próprios termos. Manter o controle de quais acordos existem, quais estão desatualizados e quais faltam é uma tarefa separada além das operações comerciais diárias.
Os acordos de segurança incluídos no contrato também merecem atenção: eles dizem algo sobre como um processador de dados lida com acesso, criptografia e notificações em caso de incidentes. Leia mais sobre o que é relevante neste contexto na página sobre segurança de dados pessoais com processadores de dados.
O que você pode fazer
Verifique em cada nova colaboração se dados pessoais estão sendo compartilhados e, em caso afirmativo, se um contrato de processamento de dados é necessário e está presente. Mantenha esses contratos organizados, juntamente com o registro de atividades de processamento que indicam qual ferramenta processa quais dados. Se tiver dúvidas sobre se um contrato específico está completo, você pode verificá-lo gratuitamente nos componentes principais. Para perguntas frequentes sobre este tópico, como o que fazer se um fornecedor não quiser assinar um contrato, há uma visão geral na página com perguntas frequentes sobre o RGPD.
Gostaria de saber como isso se encaixa na sua situação específica, por exemplo, quantos contratos de processamento de dados você provavelmente precisará e quais deles exigem atenção? Faça a verificação rápida gratuita ou registre uma conta comercial para acompanhar a visão geral. Assim você vê em poucos minutos onde está, sem estar imediatamente obrigado a nada.