O Contrato Deve Descrever o Processamento Efetivo
Um contrato de processamento de dados, frequentemente chamado de DPA, complementa o contrato de serviço. Ele se torna relevante quando um provedor processa dados pessoais em nome de seu cliente. Isso pode ocorrer em serviços de hospedagem, suporte, distribuição de newsletters ou aplicativos em nuvem. O fator decisivo é o uso real dos dados, não o título do documento.
O contrato deve esclarecer as responsabilidades. Entre outras coisas, ele explica quais atividades de processamento estão sendo realizadas, quais instruções se aplicam e como o fornecedor apoia a proteção de dados. Um texto padrão extenso é ineficaz se descrever um produto completamente diferente. Portanto, os compradores devem revisar os termos e condições juntamente com a oferta, a documentação técnica e o uso planejado.
A existência de processamento de dados em nome de um controlador e as regulamentações aplicáveis dependem da relação específica e da legislação pertinente. Uma lista de verificação genérica não substitui essa classificação jurídica. Portanto, recomenda-se a consulta a especialistas em casos de funções pouco claras, dados sensíveis ou atividades de processamento incomuns. Fluxos de dados, responsabilidades e detalhes contratuais bem documentados fornecem uma base factual confiável para essa avaliação.
Controladores e processadores têm funções diferentes.
O controlador determina as finalidades e os meios essenciais do processamento. O processador processa dados pessoais em nome do controlador e de acordo com suas instruções documentadas. Esses termos descrevem as funções de proteção de dados e não estabelecem uma hierarquia geral entre as empresas. Um grande provedor de plataforma pode ser um processador, enquanto um pequeno cliente atua como controlador para o processamento em questão.
As funções podem variar dependendo da finalidade. Um provedor pode processar dados do cliente em nome de terceiros, mas usar determinados dados contratuais ou de faturamento para seus próprios fins. Nesses casos, deve explicar qual função assume para cada processamento. Uma declaração genérica de que todos os dados são processados apenas em nome de terceiros não é muito útil se as descrições dos produtos ou os avisos de privacidade também mencionarem seus próprios usos.
Um contrato não pode alterar as funções reais simplesmente mudando seu rótulo. Portanto, deve ficar claro quem decide sobre o uso dos dados antes da assinatura do contrato. Se o fornecedor definir uma nova finalidade independentemente do cliente, isso pode ficar fora do escopo do acordo de processamento de dados previamente estabelecido. Tais limites exigem uma explicação compreensível para que as responsabilidades, as informações para os titulares dos dados e outras bases legais possam ser corretamente avaliadas.
O objeto, a duração e os tipos de dados exigem detalhes específicos.
O contrato deve identificar claramente qual serviço é prestado e com quais dados pessoais. Formulações genéricas como "prestação dos serviços acordados" são frequentemente insuficientes para compreender o fluxo de dados. Em um sistema de suporte, dados de contato, conteúdo de mensagens e dados técnicos de uso podem ser afetados. As categorias de titulares dos dados, como clientes, funcionários ou candidatos, também devem corresponder ao uso real.
O tipo e a finalidade do processamento são igualmente importantes. Armazenar, transmitir, avaliar e excluir descrevem processos diferentes. A finalidade explica por que eles ocorrem, por exemplo, para processar solicitações de suporte ou para operar uma plataforma de clientes. Quanto mais precisamente essa conexão for descrita, mais fácil será determinar posteriormente se um novo recurso do produto ainda está coberto pelo contrato ou se requer uma nova decisão.
A duração deve ser adequada ao serviço e ao processo de exclusão. Às vezes, o processamento continua durante todo o período do contrato, enquanto as cópias de segurança permanecem por um período limitado. Isso não deve ser obscurecido por um período de retenção indefinido. Os compradores precisam de uma visão realista de quando os dados ativos são removidos, por quanto tempo as cópias técnicas persistem e quais obrigações legais podem impedir a exclusão imediata.
As instruções devem funcionar na prática.
Os processadores de dados devem processar os dados pessoais de acordo com as instruções documentadas, a menos que uma obrigação legal exija o contrário. Em softwares padrão, grande parte dessas instruções já está incorporada no contrato principal, na seleção do produto e nas configurações. O contrato de processamento de dados (DPA) deve estar alinhado a isso. Uma cláusula geral sobre instruções individuais arbitrárias é de pouca utilidade se ninguém souber por meio de qual contato e em qual estrutura técnica elas podem ser implementadas.
Esclareça quais alterações são consideradas novas instruções. A ativação de uma função analítica, um novo local de armazenamento ou períodos de retenção mais longos podem alterar o processamento. Algumas configurações são controladas pelo cliente, outras apenas pelo fornecedor. Os compradores devem entender quais opções estão disponíveis e quais são as consequências. Um contrato não pode compensar controles de produto ausentes ou enganosos com direitos abstratos.
De acordo com o Regulamento Geral de Proteção de Dados (RGPD), o fornecedor deve informar o cliente se considerar uma instrução ilegal. O contrato deve descrever um procedimento prático para esse caso. Quem será informado, o que acontece até que a questão seja esclarecida e quais atividades de processamento podem ser suspensas? Pessoas de contato e canais de escalonamento claramente definidos são mais valiosos do que uma formulação que simplesmente reitera o princípio legal.
A confidencialidade e a segurança devem ser adequadas ao risco.
Os indivíduos que processam dados para o provedor devem estar vinculados por acordos de confidencialidade ou sujeitos a uma obrigação legal correspondente. Também é importante que os compradores entendam como o acesso é limitado no uso diário. O suporte exige acesso padrão ao conteúdo ou o acesso é concedido apenas para casos específicos? Funções, permissões e registro de logs devem estar alinhados com o serviço prometido.
As medidas técnicas e organizacionais descrevem a proteção do processamento de dados. Isso pode incluir controle de acesso, criptografia, backups, recuperação e auditorias regulares. Uma mera lista de termos de segurança conhecidos diz pouco sobre sua aplicação. Os compradores devem ser capazes de entender quais dados são protegidos e quando, quem controla as chaves ou o acesso e quais medidas realmente se aplicam ao produto escolhido.
Segurança não é um ativo estático. Os sistemas e os riscos evoluem à medida que os provedores adaptam sua infraestrutura. O acordo deve permitir melhorias significativas sem reduzir sutilmente o nível de proteção acordado. Os clientes precisam de informações suficientes sobre mudanças significativas. O que constitui uma mudança significativa depende do serviço, mas pode incluir novos locais de armazenamento, diferentes métodos de acesso ou a remoção de uma medida de segurança central.
Outros provedores de serviços não devem permanecer invisíveis.
Muitos fornecedores não prestam seus serviços sozinhos. Eles utilizam centros de dados, serviços de e-mail ou empresas de suporte que podem atuar como processadores de dados adicionais. O contrato de processamento de dados (DPA) deve esclarecer se a autorização aplicada é específica ou geral. Com a autorização geral, os clientes devem ser informados sobre quaisquer alterações pretendidas e ter uma oportunidade genuína de se opor.
Uma lista de processadores de dados adicionais só é útil se permanecer compreensível. O nome, a função e o local de processamento ajudam a avaliar qual parte do serviço a empresa gerencia. Uma mera coleção de nomes de empresas sem função obscurece o fluxo de dados. Também deve ficar claro onde as informações atuais podem ser encontradas e como os clientes serão notificados sobre fornecedores novos ou substituídos.
O fornecedor principal continua responsável por impor essencialmente as mesmas obrigações de proteção de dados aos seus processadores de dados adicionais. Os compradores não precisam negociar cada subcontrato individualmente, mas precisam de garantias suficientes em toda a cadeia. Uma objeção a um novo fornecedor não deve ser puramente teórica. As consequências contratuais, as possíveis alternativas e qualquer direito de rescisão devem ser claramente explicados no contexto do contrato principal.
O suporte deve estar prontamente disponível para os direitos e incidentes do titular dos dados.
Os indivíduos podem exercer seus direitos em relação aos seus dados pessoais. O controlador de dados permanece responsável pelo processamento, mas frequentemente necessita de suporte do provedor de serviços. O contrato deve descrever como os dados podem ser encontrados, corrigidos, exportados ou excluídos. Para uma função de autoatendimento, é importante esclarecer se ela abrange todos os dados relevantes ou se solicitações adicionais ao provedor são necessárias.
Em caso de violação de dados pessoais, o processador de dados deve informar o controlador de dados sem demora injustificada após tomar conhecimento do ocorrido. Para o comprador, as informações que recebe e a forma como as recebe são cruciais. Um formulário de suporte difícil de encontrar pode desperdiçar tempo valioso. Contatos de emergência designados e atualizações contínuas ajudam a avaliar o impacto, os dados afetados e as medidas tomadas.
O suporte também pode ser necessário para avaliações de impacto sobre a proteção de dados e para consultas de autoridades de supervisão. O escopo e as limitações práticas dependem do serviço e das informações disponíveis. Portanto, as promessas de suporte abrangente devem estar alinhadas com os termos de suporte e os custos potenciais. Os compradores devem poder ver quais evidências são fornecidas por padrão e quando uma investigação especial ou assistência especializada será acordada separadamente.
A exclusão, a devolução e a revisão exigem uma abordagem realista.
Após o término do serviço, os dados pessoais devem ser excluídos ou devolvidos a critério do controlador, desde que não haja obrigação legal de retê-los. Essa escolha deve ser tecnicamente viável. Os compradores devem saber o formato dos dados em que os receberão, por quanto tempo uma exportação permanece disponível e quando os sistemas ativos são esvaziados. Um formato de exportação ilegível torna o direito formal de devolução praticamente inútil.
As cópias de segurança geralmente não podem ser excluídas individualmente de imediato. Portanto, é necessário um período de retenção limitado, proteção contra o uso normal e uma rotina de exclusão rastreável. As declarações referentes à remoção posterior dentro do ciclo regular devem especificar um prazo compreensível. Também deve ficar claro se os registros, anexos de suporte e cópias de teste seguem as mesmas regras ou se são armazenados por mais tempo devido a outras obrigações.
O provedor deve disponibilizar informações para demonstrar a conformidade com suas obrigações e permitir auditorias. Em serviços de nuvem comuns, relatórios independentes, certificados e divulgações padronizadas são frequentemente usados para esse fim. Eles podem ser informativos se o escopo, o período e o serviço afetado forem apropriados. Um direito de auditoria mais abrangente continua sendo importante, mas deve considerar a segurança de outros clientes, a confidencialidade e um processo proporcional.
Um contrato de processamento de dados (DPA) não resolve automaticamente as transferências internacionais de dados.
Se os dados forem processados fora do Espaço Econômico Europeu (EEE) ou disponibilizados a partir de lá, surgem questões adicionais. Um DPA nos termos do Artigo 28 não constitui automaticamente a base completa para isso. Os compradores devem estar cientes dos locais de processamento, do potencial acesso remoto e das empresas envolvidas. Simplesmente declarar "hospedagem na UE" é insuficiente se o suporte ou a administração puderem ser realizados regularmente a partir de um país terceiro.
Dependendo do país e das circunstâncias específicas, uma decisão de adequação, cláusulas contratuais padrão ou outros instrumentos podem ser relevantes. A base legal apropriada e as medidas adicionais necessárias devem ser avaliadas para cada transferência individual. O contrato não deve misturar documentos diferentes com abreviações semelhantes. Um Acordo de Processamento de Dados (DPA) rege o processamento de dados em nome de um controlador, enquanto as cláusulas contratuais padrão abordam diferentes questões de transferência, dependendo de sua aplicação.
Alterações também devem ser consideradas. Um novo subcontratado ou local de suporte pode alterar uma avaliação anterior. Portanto, os clientes precisam de informações antes do início do novo processamento e tempo suficiente para uma revisão adequada. A assessoria jurídica é particularmente recomendável para cadeias complexas de transferência de dados. Detalhes contratuais claros e concisos estabelecem a base factual, mas não substituem a avaliação jurídica necessária.
Um bom acordo pode ser explicado usando o produto.
Antes da assinatura, uma pessoa com conhecimento na área deve ser capaz de descrever o fluxo de dados em termos simples. Quais dados chegam ao provedor, para que são usados, quem tem acesso a eles e quando são excluídos? As respostas devem ser consistentes em todo o produto, o contrato principal, o acordo de processamento de dados (DPA) e a documentação de segurança. Inconsistências exigem esclarecimentos, e não a suposição de que um anexo mais específico resolverá tudo automaticamente.
Envolva a proteção de dados, a segurança da informação, o departamento de compras e o departamento responsável, de acordo com o risco. Cada perspectiva identifica diferentes lacunas: responsabilidades legais, salvaguardas, implicações contratuais ou uma funcionalidade inadequada do produto. Para um serviço pequeno e de baixo risco, a revisão pode ser gerenciável. O processamento extenso ou sensível exige uma análise mais aprofundada. O essencial é uma revisão adequada, e não a mesma quantidade de documentação para todos os fornecedores.
Um contrato de processamento de dados (DPA) claro e compreensível não garante a segurança por si só, mas torna transparentes as expectativas verificáveis. Ele vincula o processamento contratado com instruções, proteção, suporte, subcontratados e a finalidade do uso. Quando essas declarações refletem com precisão o serviço real, os compradores podem avaliar melhor as responsabilidades e identificar mudanças mais cedo. Quaisquer dúvidas jurídicas remanescentes devem ser tratadas por meio de assessoria jurídica qualificada, e não com base em suposições sobre cláusulas padrão.