Conformidade RGPD em Transferências: O Guia Completo
Guia completo para transferências de ficheiros em conformidade com o RGPD, cobrindo bases legais, proteção de dados, gestão de consentimentos e implementação.
As transferências de ficheiros em conformidade com o RGPD requerem quatro elementos: uma base jurídica documentada ao abrigo do Artigo 6.º, salvaguardas técnicas adequadas (encriptação em repouso e em trânsito), um contrato de tratamento de dados com o seu fornecedor de transferência ao abrigo do Artigo 28.º, e uma pista auditável de quem enviou o quê a quem e quando. Se os dados pessoais saírem do EEE, necessita também de ferramentas de transferência do Capítulo V — Cláusulas Contratuais Tipo ou uma decisão de adequação. Falhar qualquer um destes elementos expõe-no a coimas de até 4% do volume de negócios global ou 20 milhões de euros, conforme o valor mais elevado.
Base Jurídica do Artigo 6.º Antes de Anexar o Ficheiro
Cada transferência de dados pessoais necessita de uma base jurídica registada antes de o ficheiro sair do seu computador. Para ficheiros internos de RH, o Artigo 6.º(1)(b) cobre os contratos com colaboradores. Os entregáveis a clientes situam-se normalmente também no 6.º(1)(b). As listas de marketing movem-se ao abrigo do consentimento 6.º(1)(a) ou dos interesses legítimos 6.º(1)(f) após um teste de ponderação. Se enviar uma pasta de 500 MB de CVs a um recrutador sem registar qual a base aplicável, já violou a responsabilidade do Artigo 5.º(2). Mantenha uma justificação de uma linha no seu sistema de gestão de tickets ou pasta partilhada — os auditores pedem-na.
Expetativas de Encriptação ao Abrigo do Artigo 32.º
O Artigo 32.º(1)(a) nomeia a encriptação como exemplo de medida técnica adequada. A ICO, a CNIL e a BfDI da Alemanha interpretam "adequado" como AES-256 para dados em repouso e TLS 1.3 para dados em movimento. A encriptação ponta-a-ponto usando AES-256-GCM com chaves derivadas via PBKDF2-SHA-256 a 600.000 iterações ou Argon2id cumpre o requisito mesmo para dados de categoria especial ao abrigo do Artigo 9.º. Os serviços que terminam TLS e reencriptam na camada de aplicação — o modelo WeTransfer e Dropbox Transfer — são conformes mas não se qualificam para isenções de notificação de violação ao abrigo do Considerando 87 da forma que a E2EE verdadeira qualifica.
Obrigações de Subcontratante do Artigo 28.º
No momento em que um serviço de terceiros toca dados pessoais em seu nome, necessita de um contrato escrito que cubra os oito itens do Artigo 28.º(3): objeto, duração, natureza e finalidade, tipos de dados pessoais, categorias de titulares de dados, obrigações do responsável, regras de subcontratante e eliminação ou devolução no final do tratamento. A maioria dos serviços de boa reputação — SwissTransfer, Tresorit, Proton Drive — publica um DPA que pode contra-assinar em minutos. Se um fornecedor se recusar ou o seu DPA omitir os direitos de auditoria do Artigo 28.º(3)(h), abandone o processo.
Minimização de Dados ao Nível do Ficheiro
O Artigo 5.º(1)(c) estabelece que deve limitar os dados ao necessário. Isso aplica-se dentro do ficheiro .xlsx, não apenas na camada de transferência. Se a equipa de marketing pede uma lista de clientes ativos, não envie a exportação completa do CRM com números de telefone, datas de nascimento e histórico de compras — filtre as colunas para nome e e-mail primeiro. Remova coordenadas GPS EXIF das fotos antes de enviar. Redija números de segurança social em PDFs digitalizados com redação adequada de PDF, não retângulos pretos por cima. A transferência é a última linha de defesa, não a única.
Transferências do Capítulo V Fora do EEE
Enviar um ficheiro a um subcontratante nos Estados Unidos, na Índia ou em qualquer país sem decisão de adequação desencadeia o Capítulo V. Desde o Schrems II (julho de 2020) e o Quadro de Privacidade de Dados UE-EUA (julho de 2023), o caminho para transferências para os EUA passa pelos destinatários certificados pelo DPF ou pelas Cláusulas Contratuais Tipo de 2021 mais uma Avaliação de Impacto da Transferência. A AIT documenta se a legislação de vigilância dos EUA (FISA 702, EO 12333) poderia compelir o acesso aos seus dados, e quais as medidas suplementares — tipicamente encriptação em que o subcontratante não pode desencriptar — que adicionou. Uma transferência encriptada do lado do cliente satisfaz os requisitos de medida suplementar porque o subcontratante nos EUA detém apenas texto cifrado.
Notificação de Violação em 72 Horas
O Artigo 33.º dá-lhe 72 horas desde o momento em que toma conhecimento para notificar a autoridade de supervisão de uma violação de dados pessoais. Se um colaborador enviou o .csv errado ao destinatário errado, isso é uma violação. A sua ferramenta de transferência de ficheiros deve registar o suficiente para reconstruir o evento: remetente, destinatário, hash do ficheiro, timestamp, IP e se a ligação foi aberta antes de a revogar. O formulário de notificação online da CNIL pede precisamente estes campos. Os serviços com controlos de expiração de ligação e registos de acesso — incluindo o HexaTransfer, que expira as ligações após sete dias e regista os eventos de transferência — tornam a janela de 72 horas muito mais fácil de cumprir.
Direitos dos Titulares de Dados sobre Ficheiros Partilhados
Os Artigos 15.º a 22.º conferem aos titulares de dados direitos sobre os seus dados onde quer que estejam, incluindo dentro de uma ligação de transferência. Se alguém apresentar um pedido de apagamento ao abrigo do Artigo 17.º e o seu CV estiver numa pasta partilhada que foi enviada a três recrutadores no mês passado, precisa de eliminar o original e documentar que as cópias a jusante estão fora do seu controlo apenas se puder demonstrar que notificou os destinatários (Artigo 17.º(2)). Os serviços com expiração de ligação tratam disto automaticamente — assim que a ligação expira, a cópia no serviço de transferência desaparece. O SFTP auto-hospedado e as pastas cloud partilhadas requerem limpeza manual e um registo de quem recebeu o quê.
Registos de Atividades de Tratamento
O Artigo 30.º exige que os responsáveis com 250 ou mais colaboradores — e organizações menores que tratem regularmente ou lidem com categorias especiais — mantenham um Registo de Atividades de Tratamento. As transferências de ficheiros pertencem a esse registo. Para cada fluxo recorrente, documente a finalidade, as categorias de titulares de dados e de dados pessoais, os destinatários, as transferências internacionais, os períodos de retenção e as medidas de segurança. Uma transferência encriptada do lado do cliente com expiração de sete dias e AES-256-GCM torna-se uma entrada de uma linha: "Entregáveis a clientes via [fornecedor], E2EE, eliminação automática ao dia 7, armazenamento EEE." Este é o nível de especificidade que as autoridades de supervisão pretendem.
Lista de Verificação Prática de Conformidade
Antes de implementar qualquer ferramenta de transferência de ficheiros na sua organização, verifique: (1) o DPA cobre integralmente o Artigo 28.º(3); (2) a encriptação é AES-256 em repouso e TLS 1.3 em trânsito no mínimo; (3) a residência de dados está documentada e contratualmente fixada; (4) os registos de acesso e transferência são retidos por pelo menos seis meses; (5) a expiração e revogação de ligações funcionam conforme anunciado; (6) o fornecedor publica listas de subcontratantes e notifica de alterações; (7) uma AIPD ao abrigo do Artigo 35.º está arquivada se as transferências envolvem dados de categoria especial ou perfilagem em larga escala.
Execute estas sete verificações trimestralmente e mantenha o resultado no seu registo de conformidade. Experimente em hexatransfer.com — gratuito, sem conta, até 10 GB.
Envie arquivos grandes com segurança e criptografia de ponta a ponta
Transfira arquivos de até 10 GB gratuitamente com criptografia de ponta a ponta. Sem necessidade de conta. Seus arquivos são criptografados no navegador antes do envio — ninguém mais pode lê-los.
Enviar um arquivo