1. Quando o tratamento dos dados for efetuado por sua conta, o responsável pelo tratamento recorre apenas a subcontratantes que apresentem garantias suficientes de execução de medidas técnicas e organizativas adequadas de uma forma que o tratamento satisfaça os requisitos do presente regulamento e assegure a defesa dos direitos do titular dos dados.
Artigo 28.º RGPD - Subcontratante
2. O subcontratante não contrata outro subcontratante sem que o responsável pelo tratamento tenha dado, previamente e por escrito, autorização específica ou geral. Em caso de autorização geral por escrito, o subcontratante informa o responsável pelo tratamento de quaisquer alterações pretendidas quanto ao aumento do número ou à substituição de outros subcontratantes, dando assim ao responsável pelo tratamento a oportunidade de se opor a tais alterações.
3. O tratamento em subcontratação é regulado por contrato ou outro ato normativo ao abrigo do direito da União ou dos Estados-Membros, que vincule o subcontratante ao responsável pelo tratamento, estabeleça o objeto e a duração do tratamento, a natureza e finalidade do tratamento, o tipo de dados pessoais e as categorias dos titulares dos dados, e as obrigações e direitos do responsável pelo tratamento. Esse contrato ou outro ato normativo estipulam, designadamente, que o subcontratante:
a) Trata os dados pessoais apenas mediante instruções documentadas do responsável pelo tratamento, incluindo no que respeita às transferências de dados para países terceiros ou organizações internacionais, a menos que seja obrigado a fazê-lo pelo direito da União ou do Estado-Membro a que está sujeito, informando nesse caso o responsável pelo tratamento desse requisito jurídico antes do tratamento, salvo se a lei proibir tal informação por motivos importantes de interesse público;
b) Assegura que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a adequadas obrigações legais de confidencialidade;
c) Adota todas as medidas exigidas nos termos do artigo 32.º;
d) Respeita as condições a que se referem os n.ºs 2 e 4 para contratar outro subcontratante;
e) Toma em conta a natureza do tratamento, e na medida do possível, presta assistência ao responsável pelo tratamento através de medidas técnicas e organizativas adequadas, para permitir que este cumpra a sua obrigação de dar resposta aos pedidos dos titulares dos dados tendo em vista o exercício dos seus direitos previstos no capítulo III;
f) Presta assistência ao responsável pelo tratamento no sentido de assegurar o cumprimento das obrigações previstas nos artigos 32.º a 36.º, tendo em conta a natureza do tratamento e a informação ao dispor do subcontratante;
g) Consoante a escolha do responsável pelo tratamento, apaga ou devolve-lhe todos os dados pessoais depois de concluída a prestação de serviços relacionados com o tratamento, apagando as cópias existentes, a menos que a conservação dos dados seja exigida ao abrigo do direito da União ou dos Estados-Membros; e
h) Disponibiliza ao responsável pelo tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no presente artigo e facilita e contribui para as auditorias, inclusive as inspeções, conduzidas pelo responsável pelo tratamento ou por outro auditor por este mandatado.
No que diz respeito ao primeiro parágrafo, alínea h), o subcontratante informa imediatamente o responsável pelo tratamento se, no seu entender, alguma instrução violar o presente regulamento ou outras disposições do direito da União ou dos Estados-Membros em matéria de proteção de dados.
4. Se o subcontratante contratar outro subcontratante para a realização de operações específicas de tratamento de dados por conta do responsável pelo tratamento, são impostas a esse outro subcontratante, por contrato ou outro ato normativo ao abrigo do direito da União ou dos Estados-Membros, as mesmas obrigações em matéria de proteção de dados que as estabelecidas no contrato ou outro ato normativo entre o responsável pelo tratamento e o subcontratante, referidas no n.º 3, em particular a obrigação de apresentar garantias suficientes de execução de medidas técnicas e organizativas adequadas de uma forma que o tratamento seja conforme com os requisitos do presente regulamento. Se esse outro subcontratante não cumprir as suas obrigações em matéria de proteção de dados, o subcontratante inicial continua a ser plenamente responsável, perante o responsável pelo tratamento, pelo cumprimento das obrigações desse outro subcontratante.
5. O facto de o subcontratante cumprir um código de conduta aprovado conforme referido no artigo 40.º ou um procedimento de certificação aprovado conforme referido no artigo 42.º pode ser utilizado como elemento para demonstrar as garantias suficientes a que se referem os n.ºs 1 e 4 do presente artigo.
6. Sem prejuízo de um eventual contrato individual entre o responsável pelo tratamento e o subcontratante, o contrato ou outro ato normativo referidos nos n.ºs 3 e 4 do presente artigo podem ser baseados, totalmente ou em parte, nas cláusulas contratuais-tipo referidas nos n.ºs 7 e 8 do presente artigo, inclusivamente quando fazem parte de uma certificação concedida ao responsável pelo tratamento ou ao subcontratante por força dos artigos 42.º e 43.º.
7. A Comissão pode estabelecer cláusulas contratuais-tipo para as matérias referidas nos n.ºs 3 e 4 do presente artigo pelo procedimento de exame a que se refere o artigo 93.º, n.º 2.
8. A autoridade de controlo pode estabelecer cláusulas contratuais-tipo para as matérias referidas nos n.ºs 3 e 4 do presente artigo e de acordo com o procedimento de controlo da coerência referido no artigo 63.º.
9. O contrato ou outro ato normativo a que se referem os n.ºs 3 e 4 devem ser feitos por escrito, incluindo em formato eletrónico.
10. Sem prejuízo do disposto nos artigos 82.º, 83.º e 84.º, o subcontratante que, em violação do presente regulamento, determinar as finalidades e os meios de tratamento, é considerado responsável pelo tratamento no que respeita ao tratamento em questão.
Considerandos relevantes
Perguntas frequentes
Respostas breves a perguntas frequentes sobre esta disposição. Constituem informação geral e não aconselhamento jurídico.
O artigo 28.º, n.º 1, só permite ao responsável pelo tratamento recorrer a subcontratantes que apresentem garantias suficientes de execução de medidas técnicas e organizativas adequadas de uma forma que o tratamento satisfaça os requisitos do regulamento e assegure a defesa dos direitos do titular dos dados. Nos termos do n.º 5, o cumprimento de um código de conduta aprovado referido no artigo 40.º ou de um procedimento de certificação aprovado referido no artigo 42.º pode servir de elemento para demonstrar essas garantias.
O artigo 28.º, n.º 3, exige um contrato vinculativo ou outro ato normativo que estabeleça o objeto e a duração do tratamento, a natureza e finalidade do tratamento, o tipo de dados pessoais, as categorias dos titulares dos dados e as obrigações e direitos do responsável pelo tratamento. Deve ainda estipular os deveres enumerados nas alíneas a) a h), incluindo o tratamento apenas mediante instruções documentadas, os compromissos de confidencialidade, as medidas de segurança do artigo 32.º, a assistência quanto aos direitos dos titulares dos dados e quanto aos artigos 32.º a 36.º, o apagamento ou a devolução dos dados no termo da prestação de serviços e o apoio às auditorias, e nos termos do n.º 9 deve ser feito por escrito, incluindo em formato eletrónico.
Apenas com autorização prévia por escrito, específica ou geral, do responsável pelo tratamento, nos termos do artigo 28.º, n.º 2, e em caso de autorização geral o subcontratante deve informar o responsável pelo tratamento das alterações pretendidas quanto ao aumento do número ou à substituição de subcontratantes, para que este se possa opor. Nos termos do n.º 4, devem ser impostas a esse outro subcontratante, por contrato, as mesmas obrigações em matéria de proteção de dados, continuando o subcontratante inicial plenamente responsável perante o responsável pelo tratamento caso o outro subcontratante não as cumpra.
Não. A própria alínea a) do artigo 28.º, n.º 3, excetua os casos em que o direito da União ou do Estado-Membro obriga o subcontratante a tratar os dados, devendo então este informar o responsável pelo tratamento desse requisito jurídico antes do tratamento, salvo se a lei proibir tal informação por motivos importantes de interesse público. O último parágrafo do artigo 28.º, n.º 3, obriga adicionalmente o subcontratante a informar imediatamente o responsável pelo tratamento se, no seu entender, alguma instrução violar o regulamento ou outras disposições do direito da União ou dos Estados-Membros em matéria de proteção de dados.
Nos termos do artigo 28.º, n.º 10, o subcontratante é então considerado responsável pelo tratamento no que respeita ao tratamento em questão, sem prejuízo do disposto nos artigos 82.º, 83.º e 84.º relativos à indemnização, às coimas e às sanções. Exceder o mandato do responsável pelo tratamento converte, assim, o subcontratante em responsável pelo tratamento, com todo o conjunto de obrigações deste quanto à atividade em causa.