{"id":7390,"date":"2023-05-23T15:36:04","date_gmt":"2023-05-23T15:36:04","guid":{"rendered":"https:\/\/viqtor.eu\/?p=7390"},"modified":"2026-06-04T15:07:34","modified_gmt":"2026-06-04T15:07:34","slug":"comprendre-le-role-du-sous-traitant-selon-le-rgpd-responsabilites-et-implications","status":"publish","type":"post","link":"https:\/\/viqtor.eu\/pt\/entendendo-o-papel-do-subcontratado-sob-o-rgpd-responsabilidades-e-implicacoes\/","title":{"rendered":"Compreendendo o papel do subcontratado no GDPR: responsabilidades e implica\u00e7\u00f5es"},"content":{"rendered":"
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t
<\/div>\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t

Subcontrata\u00e7\u00e3o de acordo com o RGPD: Por que avaliar seus fornecedores de servi\u00e7os se tornou uma quest\u00e3o vital para o seu neg\u00f3cio<\/h1>\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

A terceiriza\u00e7\u00e3o do processamento de dados para um provedor de servi\u00e7os nunca exime a empresa de suas responsabilidades. Desde 2021, a CNIL<\/strong> aumentou as san\u00e7\u00f5es contra organiza\u00e7\u00f5es que n\u00e3o avaliaram ou regulamentaram adequadamente seus servi\u00e7os. Subcontratado do RGPD<\/strong> \u20ac 1 milh\u00e3o contra a Mobius Solutions em dezembro de 2025, \u20ac 1,5 milh\u00e3o contra a Dedalus Biologie, \u20ac 600.000 contra o Canal+ Group, \u20ac 800.000 contra o Discord. A mensagem \u00e9 clara: terceirize o processamento de dados pessoais<\/strong> N\u00e3o se trata de delegar a conformidade.<\/p>\n

Para os gestores, a quest\u00e3o passou de assuntos jur\u00eddicos para gest\u00e3o de riscos. Avaliar fornecedores, formalizar o acordo de subcontrata\u00e7\u00e3o do RGPD<\/strong>Monitoramento da cadeia ao longo do tempo: essas s\u00e3o obriga\u00e7\u00f5es legais cujo descumprimento \u00e9 custoso.<\/p>\n

\n

<\/p>\n<\/div>\n

<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Entendendo o papel do subcontratado em conformidade com o RGPD e suas obriga\u00e7\u00f5es.<\/h2>

Quem \u00e9 considerado um subcontratado nos termos do RGPD?<\/h3>

O RGPD define um respons\u00e1vel pelo tratamento de dados como qualquer pessoa singular ou coletiva que processe dados. dados pessoais<\/strong> em nome de controlador de dados<\/strong>Assim que um provedor de servi\u00e7os acessa, hospeda, analisa ou armazena dados pessoais<\/strong> A quem voc\u00ea confia, ele \u00e9 um subcontratado: provedores de nuvem, editores de SaaS, fornecedores de folha de pagamento, ag\u00eancias de marketing, call centers, CRM, provedores de e-mail, empresas de manuten\u00e7\u00e3o de TI.<\/p>

A fronteira com o estatuto de controlador de dados<\/strong> Nem sempre \u00e9 \u00f3bvio. Um prestador de servi\u00e7os que decide sobre a finalidade ou os meios de processamento de dados passa a integrar uma categoria superior e, consequentemente, assume total responsabilidade. Foi precisamente nessa armadilha que a Mobius Solutions Ltd caiu, sendo multada em um milh\u00e3o de euros pela [autoridade reguladora]. CNIL<\/strong> Em dezembro de 2025, por reutilizar dados da Deezer para melhorar seus pr\u00f3prios servi\u00e7os, sem qualquer instru\u00e7\u00e3o de seu cliente.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

As obriga\u00e7\u00f5es do subcontratado, conforme estipulado no Artigo 28.<\/h3>

O Artigo 28 do RGPD lista especificamente o obriga\u00e7\u00f5es do subcontratado<\/strong> Agir somente mediante instru\u00e7\u00f5es documentadas, garantir a confidencialidade do pessoal autorizado, implementar medidas de seguran\u00e7a t\u00e9cnicas e organizacionais adequadas, auxiliar o controlador de dados<\/strong> na gest\u00e3o dos direitos dos indiv\u00edduos e na comunica\u00e7\u00e3o de viola\u00e7\u00f5es, na elimina\u00e7\u00e3o ou devolu\u00e7\u00e3o de dados no final do servi\u00e7o e na manuten\u00e7\u00e3o de um registro de atividades de processamento<\/strong> espec\u00edfico para sua atividade.<\/p>

Esta \u00faltima obriga\u00e7\u00e3o \u00e9 frequentemente negligenciada. No entanto, a CNIL (Autoridade Francesa de Prote\u00e7\u00e3o de Dados) a citou em diversas san\u00e7\u00f5es recentes, incluindo o caso da Mobius Solutions. A falta de um registo implica a priva\u00e7\u00e3o da principal prova de conformidade em caso de auditoria.<\/p>

Subcontrata\u00e7\u00e3o em cascata: autoriza\u00e7\u00e3o pr\u00e9via obrigat\u00f3ria<\/h3>

Um subcontratado s\u00f3 pode contratar um subcontratado subsequente ("cascata") com autoriza\u00e7\u00e3o pr\u00e9via por escrito, espec\u00edfica ou geral, do contratante. controlador de dados<\/strong>No caso de autoriza\u00e7\u00e3o geral, o provedor deve informar o cliente sobre quaisquer altera\u00e7\u00f5es para permitir que ele apresente obje\u00e7\u00f5es. Um provedor de SaaS que depende de um provedor de hospedagem em nuvem, que por sua vez utiliza um subprovedor de monitoramento, deve ser capaz de documentar cada elo da cadeia.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

A obriga\u00e7\u00e3o de avaliar subcontratados: um dever frequentemente negligenciado.<\/h2>

Uma obriga\u00e7\u00e3o expl\u00edcita e estruturante do RGPD<\/h3>

O artigo 28.\u00ba, par\u00e1grafo 1, do RGPD \u00e9 inequ\u00edvoco: controlador de dados<\/strong> "Utiliza apenas subcontratados que ofere\u00e7am garantias suficientes." Isso n\u00e3o \u00e9 uma recomenda\u00e7\u00e3o, mas sim uma obriga\u00e7\u00e3o. Antes de firmar um contrato, o gestor deve assegurar-se de que o prestador de servi\u00e7os possui as compet\u00eancias, os procedimentos e a organiza\u00e7\u00e3o necess\u00e1rios para processar os dados em conformidade com a regulamenta\u00e7\u00e3o.<\/p>

Isso implica um procedimento de avalia\u00e7\u00e3o formalizado: matriz de crit\u00e9rios, question\u00e1rio de conformidade, solicita\u00e7\u00e3o de documentos comprobat\u00f3rios (pol\u00edtica de seguran\u00e7a, certifica\u00e7\u00f5es, etc.). DPA<\/strong>, registro, designa\u00e7\u00e3o de um DPO<\/strong>), an\u00e1lise de subcontratados subsequentes, verifica\u00e7\u00e3o da localiza\u00e7\u00e3o do servidor e quaisquer potenciais transfer\u00eancias de dados<\/strong> fora da UE. Esta avalia\u00e7\u00e3o deve ser monitorizada e arquivada \u2014 sem ela, o gestor n\u00e3o poder\u00e1 demonstrar a sua dilig\u00eancia nem o seu cumprimento do princ\u00edpio da responsabiliza\u00e7\u00e3o.<\/p>

San\u00e7\u00f5es da CNIL que devem alertar os gestores<\/h3>

Em 2024, o CNIL<\/strong> A empresa aplicou 87 san\u00e7\u00f5es, totalizando mais de 55 milh\u00f5es de euros. Diversos casos recentes demonstram que a avalia\u00e7\u00e3o e a regulamenta\u00e7\u00e3o de seus prestadores de servi\u00e7os se tornaram uma \u00e1rea fundamental de controle.<\/p>

O caso da Dedalus Biologie (abril de 2022, 1,5 milh\u00f5es de euros) continua a ser emblem\u00e1tico. CNIL<\/strong> A Autoridade Francesa da Concorr\u00eancia sancionou esta editora de software para laborat\u00f3rios m\u00e9dicos ap\u00f3s uma enorme viola\u00e7\u00e3o de dados envolvendo informa\u00e7\u00f5es de sa\u00fade. Al\u00e9m da falha de seguran\u00e7a, a principal raz\u00e3o apontada foi a aus\u00eancia de cl\u00e1usulas obrigat\u00f3rias do Artigo 28 em seus contratos padr\u00e3o. Essa decis\u00e3o marcou uma virada: agora, um subcontratado pode ser penalizado diretamente por n\u00e3o formalizar adequadamente a rela\u00e7\u00e3o contratual, independentemente da responsabilidade do cliente.<\/p>

O caso Mobius Solutions Ltd \/ Deezer (dezembro de 2025, 1 milh\u00e3o de euros) ilustra as defici\u00eancias mais frequentes: reten\u00e7\u00e3o de dados ap\u00f3s o t\u00e9rmino do contrato, processamento fora das instru\u00e7\u00f5es do cliente, falta de registro, falta de medidas de seguran\u00e7a que levaram \u00e0 publica\u00e7\u00e3o dos dados de v\u00e1rios milh\u00f5es de usu\u00e1rios na darknet.<\/p>

O caso Discord (2022, \u20ac800.000) \u00e9 uma san\u00e7\u00e3o imposta ao partido controlador de dados<\/strong> A aus\u00eancia de um contrato em conformidade com o Artigo 28. O Grupo Canal+, multado em \u20ac 600.000 em 2022, foi penalizado, em particular, pela falta de acordos contratuais suficientes. A partir de 27 de janeiro de 2021, o CNIL<\/strong> inaugurou sua doutrina sancionando simultaneamente um controlador de dados<\/strong> (\u20ac150.000) e sua subcontratada (\u20ac75.000) por n\u00e3o tomarem medidas contra o preenchimento de credenciais.<\/p>

O que a CNIL examina em suas auditorias<\/h3>

\u00c0 medida que as decis\u00f5es s\u00e3o tomadas, a rede de controle do CNIL<\/strong> Os detalhes ficaram mais claros. A autoridade est\u00e1 verificando a exist\u00eancia de um Acordo de subcontrata\u00e7\u00e3o em conformidade com o RGPD<\/strong> redigida e em conformidade com o Artigo 28, a documenta\u00e7\u00e3o das instru\u00e7\u00f5es, a lista atualizada dos subcontratados subsequentes, as medidas t\u00e9cnicas e organizacionais efetivamente implementadas, os procedimentos de notifica\u00e7\u00e3o para um viola\u00e7\u00e3o de dados<\/strong>, as medidas para auxiliar os indiv\u00edduos no exerc\u00edcio de seus direitos, as condi\u00e7\u00f5es para a rescis\u00e3o do contrato e a rastreabilidade das auditorias realizadas.<\/p>

Para preparar sua organiza\u00e7\u00e3o para esses pontos de verifica\u00e7\u00e3o, nosso Um guia completo para auditorias de conformidade com o RGPD<\/a><\/strong> Detalha a metodologia a ser aplicada.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Deseja proteger sua cadeia de subcontrata\u00e7\u00e3o e demonstrar sua conformidade?\u00a0<\/strong><\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t<\/i>\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\tFale com um especialista da Viqtor\u00ae<\/span>\n\t\t\t\t\t<\/span>\n\t\t\t\t\t<\/a>\n\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Construindo uma estrutura contratual s\u00f3lida: o acordo de subcontrata\u00e7\u00e3o do RGPD<\/h2>

As cl\u00e1usulas obrigat\u00f3rias do Artigo 28, par\u00e1grafo 3<\/h3>

O DPA (Acordo de Processamento de Dados)<\/strong>, Ou Acordo de subcontrata\u00e7\u00e3o em conformidade com o RGPD<\/strong>deve incluir um conjunto essencial de cl\u00e1usulas exigidas pelo regulamento: objeto e dura\u00e7\u00e3o do tratamento, natureza e finalidade, tipo de dados e categorias de pessoas, obriga\u00e7\u00f5es e direitos do titular dos dados. controlador de dados<\/strong>O contrato tamb\u00e9m deve incluir oito compromissos espec\u00edficos do subcontratado: agir de acordo com as instru\u00e7\u00f5es documentadas, garantir a confidencialidade, tomar as medidas de seguran\u00e7a necess\u00e1rias, contratar subcontratados subsequentes somente com autoriza\u00e7\u00e3o, ajudar a responder \u00e0s solicita\u00e7\u00f5es de indiv\u00edduos, auxiliar em quest\u00f5es de seguran\u00e7a e notifica\u00e7\u00e3o, devolver ou excluir os dados ao t\u00e9rmino do contrato e disponibilizar todas as informa\u00e7\u00f5es necess\u00e1rias para auditorias.<\/p>

Os termos e condi\u00e7\u00f5es padr\u00e3o de uma editora geralmente s\u00e3o insuficientes, como por exemplo... CNIL<\/strong> A Dedalus e v\u00e1rios outros prestadores de servi\u00e7os, que j\u00e1 foram sancionados, foram criticados por isso. Uma revis\u00e3o contrato por contrato \u00e9 essencial.<\/p>

Armadilhas a evitar na escrita<\/h3>

Diversos erros comprometem regularmente o cumprimento das normas. Uma cl\u00e1usula que concede isen\u00e7\u00e3o total de responsabilidade ao subcontratado \u00e9 inexequ\u00edvel contra o contratante. CNIL<\/strong> quanto \u00e0 v\u00edtima de um vazamento. Uma lista ausente ou desatualizada de subcontratados subsequentes exp\u00f5e a controlador de dados<\/strong> ao fracasso. Medidas de seguran\u00e7a descritas de forma vaga s\u00e3o insuficientes: o CNIL<\/strong> Aguarda-se um documento de refer\u00eancia concreto, verific\u00e1vel e datado. A aus\u00eancia de um procedimento de notifica\u00e7\u00e3o de infra\u00e7\u00f5es, ou prazos incompat\u00edveis com as 72 horas impostas ao controlador de dados<\/strong>, \u00e9 sistematicamente retida contra subcontratados inadimplentes.<\/p>

O papel central do DPO e a governan\u00e7a de dados<\/h3>

O DPO<\/strong> O Encarregado da Prote\u00e7\u00e3o de Dados (DPO) desempenha um papel fundamental: lidera a avalia\u00e7\u00e3o dos prestadores de servi\u00e7os, valida as cl\u00e1usulas contratuais, supervisiona o cadastro de subcontratados e alerta a ger\u00eancia sobre os riscos. Na aus\u00eancia de DPO<\/strong>Essas miss\u00f5es devem ser executadas por uma fun\u00e7\u00e3o claramente identificada. governan\u00e7a de dados<\/a> depende em grande parte dessa capacidade de manter o relacionamento com os subcontratados ao longo do tempo.<\/p><\/div>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Gerenciando o relacionamento ao longo do tempo: auditorias, monitoramento e incidentes.<\/h2>

Uma obriga\u00e7\u00e3o cont\u00ednua, n\u00e3o uma mera formalidade de assinatura.<\/h3>

Incluir isso em um contrato n\u00e3o \u00e9 suficiente. controlador de dados<\/strong> deve assegurar, ao longo do tempo, que o seu prestador de servi\u00e7os respeite os seus compromissos: auditorias peri\u00f3dicas, revis\u00e3o anual do DPA<\/strong>Atualiza\u00e7\u00e3o sistem\u00e1tica em caso de altera\u00e7\u00e3o (novo subcontratado subsequente, novo escopo, nova localiza\u00e7\u00e3o do servidor).<\/p>

L\u00e1 CNIL<\/strong> \u00c9 expl\u00edcito: usar um subcontratado nunca isenta o controlador de dados<\/strong> de seu dever de cuidado. A san\u00e7\u00e3o imposta \u00e0 Canal+ baseou-se precisamente na constata\u00e7\u00e3o de que n\u00e3o houve supervis\u00e3o eficaz dos prestadores de servi\u00e7os. Por outro lado, uma empresa capaz de produzir relat\u00f3rios de auditoria, question\u00e1rios preenchidos e planos de a\u00e7\u00e3o demonstra sua dilig\u00eancia, mesmo em caso de incidente.<\/p>

O M\u00f3dulo de Subcontratados Viqtor<\/a> Centraliza a avalia\u00e7\u00e3o, o contrato, os subcontratados subsequentes, as auditorias e o hist\u00f3rico das trocas em um \u00fanico reposit\u00f3rio.<\/p>

Respondendo a uma viola\u00e7\u00e3o de dados envolvendo um provedor de servi\u00e7os.<\/h3>

Uma propor\u00e7\u00e3o significativa das viola\u00e7\u00f5es relatadas anualmente ao CNIL<\/strong> envolve um subcontratado. controlador de dados<\/strong> Portanto, um sistema de alerta r\u00e1pido deve ser inclu\u00eddo no contrato desde o in\u00edcio. O subcontratado \u00e9 obrigado a informar o cliente "o mais breve poss\u00edvel", o que na pr\u00e1tica significa entre 24 e 48 horas para permitir a notifica\u00e7\u00e3o dentro do prazo legal de 72 horas. CNIL<\/strong>Nossa p\u00e1gina dedicada a declara\u00e7\u00e3o de viola\u00e7\u00e3o de dados<\/a> Ele detalha os passos.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

O que voc\u00ea precisa observar<\/h2>