Contratos de Subcontratação para Serviços de Partilha

Um Contrato de Subcontratação (CS) válido ao abrigo do RGPD para um serviço de partilha de ficheiros deve cobrir as oito matérias obrigatórias do Artigo 28.º(3): objeto e duração, natureza e finalidade do tratamento, tipos de dados pessoais, categorias de titulares, direitos e obrigações do responsável, instrução ao subcontratante, regras de sub-subcontratação, e eliminação ou devolução no final do contrato. A ausência de qualquer uma dessas oito matérias torna o contrato não conforme e expõe ambas as partes a medidas de execução. Para além do Artigo 28.º, um CS sólido define também medidas de segurança, prazos de notificação de violações, direitos de auditoria e garantias de transferência internacional ao abrigo dos Artigos 32.º, 33.º e do Capítulo V.

Quando precisa de um Contrato de Subcontratação

Sempre que um terceiro trate dados pessoais em seu nome, precisa de um CS — mesmo que o tratamento se limite ao armazenamento transitório de um .zip carregado durante sete dias. Isso inclui o SwissTransfer, WeTransfer, Dropbox Transfer, Smash, Tresorit, Box e HexaTransfer. O limiar não é "dados sensíveis" — é "dados pessoais", o que inclui os e-mails de clientes em listas de destinatários. Se utilizar um serviço de transferência para qualquer ficheiro profissional que identifique uma pessoa, o CS é obrigatório ao abrigo do Artigo 28.º(3). Sem CS, o tratamento carece de base contratual válida, o que é ilícito ao abrigo do Artigo 5.º(1)(a).

As oito matérias obrigatórias do Artigo 28.º(3)

O Artigo 28.º(3) funciona como uma lista de verificação. (a) Objeto e duração: que tratamento, por quanto tempo. (b) Natureza e finalidade: transferência de ficheiros e armazenamento de curta duração para entrega. (c) Tipos de dados pessoais: nomes, e-mails, conteúdo de ficheiros, metadados. (d) Categorias de titulares: colaboradores, clientes e contrapartes do responsável. (e) Obrigações e direitos do responsável. (f) Tratamento apenas por instruções documentadas. (g) Compromissos de confidencialidade pelo pessoal autorizado. (h) Medidas de segurança adequadas ao risco, regras de sub-subcontratação, assistência para direitos dos titulares, notificação de violações, assistência em AIPD, e eliminação no final do contrato.

Cláusulas de sub-subcontratação e os 30 dias de aviso prévio

Os Artigos 28.º(2) e 28.º(4) exigem que os subcontratantes divulguem os sub-subcontratantes e que concedam aos responsáveis a possibilidade de se opor a alterações. Prática de mercado: uma lista pública dos sub-subcontratantes atuais (Cloudflare para CDN, OVH para alojamento, SendGrid para e-mail), 30 dias de aviso prévio para alterações relevantes, e um direito contratual para o responsável se opor por motivos razoáveis. Se o responsável se opuser, o subcontratante pode encontrar uma alternativa ou permitir a rescisão do serviço afetado sem penalização. Esteja atento a CS que reclamem substituição ilimitada de sub-subcontratantes sem aviso prévio — esses são não conformes.

Direitos de auditoria ao abrigo do Artigo 28.º(3)(h)

Os responsáveis têm o direito de auditar os subcontratantes. Para responsáveis de menor dimensão, isto significa habitualmente aceitar o relatório SOC 2 Type 2, ISO 27001 ou ISAE 3402 do subcontratante em vez de enviar um auditor. Responsáveis de maior dimensão (bancos, hospitais, entidades governamentais) mantêm direitos de auditoria presencial. Os CS devem especificar a forma: direito de rever atestações publicadas, direito de solicitar informações adicionais, e — para tratamento de alto risco — direito de encomendar uma auditoria independente a expensas do responsável. Recusar todos os direitos de auditoria é não conforme; restringi-los a revisões anuais com 30 dias de aviso é razoável.

Medidas de segurança e alinhamento com o Artigo 32.º

O Artigo 32.º(1) lista quatro medidas exemplificativas: pseudonimização e encriptação (a), confidencialidade, integridade, disponibilidade e resiliência dos sistemas (b), restauro atempado após incidente (c), e testes e avaliação regulares (d). Um bom CS para partilha de ficheiros inclui em anexo um calendário de Medidas de Segurança com especificações: AES-256-GCM em repouso, TLS 1.3 em trânsito, MFA para acesso administrativo, certificação ISO 27001, gestão de vulnerabilidades com SLAs de aplicação de patches e testes de penetração anuais. Linguagem vaga — "segurança de nível industrial" — não passa em auditorias porque não é mensurável.

Prazos de notificação de violações entre subcontratante e responsável

O Artigo 33.º(2) exige que os subcontratantes notifiquem os responsáveis de uma violação de dados pessoais "sem demora injustificada". A maioria dos CS especifica 24 a 48 horas. A função do subcontratante é a notificação rápida, não o prazo de 72 horas — esse é o prazo do responsável ao abrigo do Artigo 33.º(1). Um CS bem redigido especifica: o que constitui uma violação (perda, divulgação não autorizada, acesso não autorizado), o conteúdo da notificação (natureza da violação, categorias e número aproximado de titulares e registos afetados, consequências prováveis, medidas tomadas), e o modo de entrega (contacto nomeado, canal alternativo se o e-mail estiver comprometido).

Garantias de transferência internacional no CS

Se o subcontratante armazenar ou aceder a dados fora do EEE, o Artigo 44.º aplica-se. O CS deve incorporar as Cláusulas Contratuais-Tipo de 2021 (Decisão de Execução da Comissão 2021/914), especificar o módulo aplicável (Módulo 2: Responsável para Subcontratante) e incluir uma Avaliação de Impacto na Transferência por referência. Para sub-subcontratantes nos EUA, acrescente o estado de certificação DPF (Data Privacy Framework) ou uma descrição específica das medidas suplementares. As transferências para o Reino Unido requerem o Aditamento de Transferência Internacional de Dados da ICO às CCT de 2021, em vigor desde março de 2022.

Eliminação ou devolução no final do contrato

O Artigo 28.º(3)(g) exige que o subcontratante elimine ou devolva todos os dados pessoais no final do serviço, salvo se o direito da UE ou de um Estado-Membro exigir retenção. Clarifique qual: a maioria dos serviços de transferência de ficheiros opta pela eliminação com um curto período de carência (7 a 30 dias). Se o responsável pretende a devolução (todos os ficheiros exportados), especifique o formato e o prazo. A eliminação deve abranger as cópias de segurança — cite o ciclo de rotação (90 dias é o padrão) e documente que os dados restaurados são re-tratados ou re-eliminados de acordo com o pedido de apagamento.

Responsáveis conjuntos e cenários multiparticipantes

A partilha de ficheiros envolve por vezes responsáveis conjuntos ao abrigo do Artigo 26.º — por exemplo, uma plataforma de recrutamento onde tanto o empregador como a plataforma decidem as finalidades e os meios. O acordo do Artigo 26.º é diferente de um CS e deve alocar responsabilidades de forma transparente. Se for a plataforma e se posicionar como subcontratante, mas exercer controlo genuíno (treinar a sua IA com conteúdo dos utilizadores, monetizar metadados), as autoridades de supervisão podem reclassificá-lo como responsável conjunto. Acerte a classificação desde o início; tanto a CNIL como a ICO já emitiram coimas por classificação incorreta.

Modelos práticos e onde encontrá-los

A Comissão Europeia publica Cláusulas Contratuais-Tipo entre responsáveis e subcontratantes (Decisão de Execução da Comissão 2021/915). A maioria dos fornecedores de transferência de ficheiros de confiança publica um CS pré-assinado com base nestas cláusulas — descarregue, assine em contra, concluído. O Tresorit, o Proton Business, o Box, a Microsoft, o Google Workspace e a HexaTransfer fazem todos isso. Para negociações personalizadas, a IAPP e o CIPL publicam modelos de CS. Nunca redija a partir do zero, salvo se tiver assessoria jurídica especializada em privacidade; os casos extremos (responsáveis conjuntos, cadeias de sub-subcontratação, linguagem de TIA) têm uma formulação específica esperada.

Verifique cada cláusula em confronto com a lista de oito pontos do Artigo 28.º(3). Experimente em hexatransfer.com — gratuito, sem conta, até 10 GB.