§ INCISO 28.1 — O responsável pelo tratamento, ao recorrer a um subcontratante para efetuar operações de tratamento por sua conta, deve recorrer apenas a subcontratantes que apresentem garantias suficientes de aplicação de medidas técnicas e organizativas adequadas, de modo que o tratamento satisfaça os requisitos do presente regulamento e assegure a defesa dos direitos do titular dos dados.
§ INCISO 28.2 — O subcontratante não deve recorrer a outro subcontratante sem autorização prévia específica ou geral, por escrito, do responsável pelo tratamento. No caso de uma autorização geral por escrito, o subcontratante deve informar o responsável pelo tratamento de quaisquer alterações previstas quanto à adição ou substituição de outros subcontratantes, dando assim ao responsável pelo tratamento a oportunidade de se opor a essas alterações.
§ INCISO 28.3 — O tratamento por um subcontratante deve ser regido por um contrato ou outro ato jurídico ao abrigo do direito da União ou do Estado-Membro, que vincule o subcontratante em relação ao responsável pelo tratamento e que estabeleça, em particular, que:
A) O subcontratante só deve tratar os dados pessoais com base em instruções documentadas do responsável pelo tratamento, incluindo no que se refere às transferências de dados pessoais para um país terceiro ou uma organização internacional, salvo se tal lhe for exigido pelo direito da União ou do Estado-Membro a que o subcontratante está sujeito. Nesse caso, o subcontratante deve informar o responsável pelo tratamento dessa exigência legal antes do tratamento, salvo se o direito proibir essa informação por razões importantes de interesse público;
B) As pessoas autorizadas a tratar os dados pessoais se tenham comprometido a respeitar a confidencialidade ou estejam sujeitas a uma obrigação legal de confidencialidade;
C) O subcontratante deve tomar todas as medidas exigidas nos termos do artigo 32.º;
D) O subcontratante deve respeitar as condições referidas nos n.ºs 2 e 4 para recorrer a outro subcontratante;
E) O subcontratante deve, tendo em conta a natureza do tratamento, assistir o responsável pelo tratamento, através de medidas técnicas e organizativas adequadas, sempre que possível, no cumprimento da obrigação de responder aos pedidos para exercício dos direitos do titular dos dados previstos no capítulo III;
F) O subcontratante deve ajudar o responsável pelo tratamento a garantir o cumprimento das obrigações previstas nos artigos 32.º a 36.º, tendo em conta a natureza do tratamento e as informações de que o subcontratante dispõe;
G) O subcontratante deve, conforme a decisão do responsável pelo tratamento, apagar ou devolver todos os dados pessoais após o termo da prestação de serviços relacionados com o tratamento, e apagar as cópias existentes, salvo se o direito da União ou de um Estado-Membro exigir a conservação dos dados pessoais;
H) O subcontratante deve colocar à disposição do responsável pelo tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no presente artigo e para permitir e contribuir para a realização de auditorias, incluindo inspeções, por parte do responsável pelo tratamento ou de outro auditor por si mandatado, e informar de imediato o responsável pelo tratamento se, na sua opinião, uma instrução violar o presente regulamento ou outras disposições de direito da União ou dos Estados-Membros relativas à proteção de dados.
§ INCISO 28.4 — Quando um subcontratante recorrer a outro subcontratante para realizar operações de tratamento específicas por conta do responsável pelo tratamento, aplicam-se as mesmas obrigações de proteção de dados referidas no contrato ou noutro ato jurídico entre o responsável pelo tratamento e o subcontratante, conforme previsto no n.º 3, devendo o contrato ou outro ato jurídico ser celebrado entre o subcontratante inicial e o novo subcontratante, nos termos do artigo 28.º, n.º 3. O subcontratante inicial deve continuar inteiramente responsável perante o responsável pelo tratamento pelo cumprimento das obrigações do outro subcontratante.
§ INCISO 28.5 — O cumprimento de um código de conduta aprovado nos termos do artigo 40.º ou de um mecanismo de certificação aprovado nos termos do artigo 42.º pode ser utilizado como elemento para demonstrar garantias suficientes, tal como referido nos n.ºs 1 e 4.
§ INCISO 28.6 — Sem prejuízo de um contrato específico entre o responsável pelo tratamento e o subcontratante, o contrato ou outro ato jurídico a que se refere o n.º 3 do presente artigo pode basear-se, no todo ou em parte, nas cláusulas contratuais-tipo a que se referem os n.ºs 7 e 8 do presente artigo, incluindo quando forem celebradas entre o responsável pelo tratamento e o subcontratante inicial.
§ INCISO 28.7 — A Comissão pode estabelecer cláusulas contratuais-tipo para as questões referidas no n.º 3 e no n.º 4 do presente artigo, de acordo com o procedimento de exame a que se refere o artigo 93.º, n.º 2.
§ INCISO 28.8 — Uma autoridade de controlo pode adotar cláusulas contratuais-tipo para as questões referidas no n.º 3 e no n.º 4 do presente artigo, em conformidade com o procedimento de controlo da coerência a que se refere o artigo 63.º.
§ INCISO 28.9 — O contrato ou outro ato jurídico a que se referem os n.ºs 3 e 4 deve ser celebrado por escrito, incluindo por meios eletrónicos.
Pesquisa Científica
O Artigo 28º do Regulamento Geral sobre a Proteção de Dados (GDPR) estabelece um conjunto de obrigações jurídicas específicas para os operadores de dados, isto é, as entidades que processam dados pessoais em nome e sob as instruções do controlador. Esse artigo é essencial para garantir que a delegação de atividades de tratamento por parte do controlador não comprometa os direitos dos titulares de dados nem os princípios fundamentais do regulamento. A estrutura normativa imposta pelo artigo 28º visa assegurar que qualquer operador, mesmo que externo à organização do controlador, atue em estrita conformidade com as regras da GDPR, adotando medidas técnicas e organizacionais apropriadas para proteger os dados pessoais sob sua responsabilidade operacional. Assim, o artigo cria um regime de responsabilidade contratual e técnica que reforça a governança de dados e garante a integridade do tratamento, mesmo quando este é terceirizado.
O primeiro princípio fundamental do artigo 28º é a exigência de que o controlador apenas contrate operadores que ofereçam garantias suficientes de que implementarão medidas técnicas e organizativas adequadas para assegurar que o tratamento de dados pessoais esteja em conformidade com os requisitos da GDPR. Essas garantias devem considerar fatores como a natureza do tratamento, os riscos envolvidos, a sensibilidade dos dados e a escala da operação. O controlador é responsável por avaliar previamente o operador, podendo basear sua análise em certificações, auditorias, histórico de conformidade e estrutura técnica da entidade contratada. Essa análise pré-contratual é uma expressão do princípio da responsabilidade proativa (accountability) e não se esgota com a assinatura do contrato, exigindo também um acompanhamento contínuo da atuação do operador ao longo da vigência do acordo.
O segundo componente central do artigo 28º é a obrigatoriedade de formalização da relação entre controlador e operador por meio de contrato ou outro instrumento jurídico válido ao abrigo do direito da União ou dos Estados-Membros. Esse contrato deve estabelecer de forma clara e detalhada o objeto, a duração, a natureza e a finalidade do tratamento; os tipos de dados pessoais envolvidos; as categorias de titulares de dados; e as obrigações e direitos do controlador. Além disso, o contrato deve prever cláusulas específicas impondo ao operador a obrigação de processar os dados apenas com base em instruções documentadas do controlador, inclusive em casos de transferências internacionais, salvo disposição legal em contrário. O operador também deve garantir que as pessoas autorizadas a tratar os dados estejam submetidas a deveres de confidencialidade apropriados.
O artigo ainda estabelece que o operador deve adotar todas as medidas de segurança previstas no artigo 32º da GDPR, ou seja, medidas técnicas e organizativas adequadas para garantir a integridade, a confidencialidade, a disponibilidade e a resiliência contínuas dos sistemas e serviços de tratamento. O contrato deve prever, adicionalmente, que o operador não pode recorrer a outro subcontratante sem autorização prévia, específica ou geral, do controlador, e que, quando essa autorização for concedida, o operador deve assegurar que o subcontratante cumpra as mesmas obrigações estabelecidas no contrato principal. Essa cadeia de obrigações reforça a proteção sistêmica dos dados pessoais, evitando a dispersão de responsabilidades ou o surgimento de pontos cegos no tratamento delegado.
Outras disposições contratuais obrigatórias incluem a obrigação do operador de auxiliar o controlador a responder a solicitações dos titulares de dados relativas ao exercício de seus direitos; colaborar na realização de avaliações de impacto e consultas prévias com autoridades de proteção de dados, quando necessário; assegurar a devolução ou apagamento seguro dos dados pessoais ao término da prestação dos serviços; e permitir auditorias ou inspeções por parte do controlador ou de um auditor designado. Tais exigências transformam o operador não apenas em um prestador técnico, mas em um participante ativo na estrutura de conformidade da GDPR, com deveres específicos que complementam as obrigações do controlador.
Um exemplo prático da aplicação do Artigo 28º pode ser observado na contratação de um provedor de serviços de computação em nuvem por uma clínica médica para armazenar os prontuários eletrônicos de seus pacientes. A clínica, na qualidade de controladora dos dados, deve celebrar com a empresa de cloud computing um contrato que determine que o provedor apenas processará os dados sob instruções documentadas da clínica, que implementará medidas de segurança robustas, como criptografia e controle de acesso, e que as informações não poderão ser compartilhadas com terceiros sem autorização. O contrato deve também prever a possibilidade de auditorias e exigir que, ao final do contrato, todos os dados armazenados sejam devolvidos ou excluídos de forma segura. A clínica ainda deve verificar se o provedor oferece garantias suficientes de conformidade com a GDPR, como certificações de segurança da informação (por exemplo, ISO/IEC 27001) ou adesão a códigos de conduta reconhecidos.
O Artigo 28º da GDPR serve para assegurar que o tratamento de dados pessoais realizado por operadores externos ocorra sob condições de segurança jurídica, técnica e contratual adequadas, prevenindo riscos à privacidade e promovendo uma governança eficaz das relações entre controladores e prestadores de serviço. Ao exigir garantias sólidas, contratos detalhados e mecanismos de supervisão e controle, o artigo impõe uma arquitetura de responsabilidade compartilhada que impede a diluição de obrigações e promove a conformidade em todas as camadas da cadeia de tratamento de dados pessoais. Essa estrutura é fundamental para manter a confiança dos titulares, assegurar o cumprimento das finalidades legítimas e reduzir a probabilidade de violações ou abusos nas operações realizadas com dados sensíveis e estratégicos.
