Nearshoring em Portugal: RGPD com clientes fora da UE

Nearshoring · 4 min

Contratar uma equipa em Portugal não coloca automaticamente o cliente estrangeiro sob o RGPD. Saiba que obrigações recaem sobre o fornecedor e como enquadrar os fluxos de dados.

Nearshoring em Portugal: RGPD com clientes fora da UE

TL;DR

Contratar um fornecedor em Portugal não torna, por si só, o cliente fora da UE sujeito ao RGPD.
Quando atua como subcontratante, o fornecedor português deve cumprir as obrigações do RGPD que lhe são aplicáveis.
A devolução de dados ao cliente fora do Espaço Económico Europeu pode constituir uma transferência internacional.
As garantias necessárias dependem do destino, do destinatário e da existência de uma decisão de adequação aplicável.
Antes de iniciar o serviço, importa definir papéis, mapear dados e acessos e estabelecer responsabilidades contratuais.

Uma equipa na UE traz também regras da UE

Quando uma empresa dos Estados Unidos, do Reino Unido ou da Suíça contrata serviços de nearshoring em Portugal, a avaliação não deve limitar-se ao talento, aos custos e ao fuso horário. Importa perceber se a equipa terá acesso a dados pessoais e em que condições: informação de clientes, colaboradores, utilizadores de aplicações ou registos técnicos que permitam identificar pessoas. Também é necessário definir os papéis de cada entidade. Se o cliente determinar as finalidades e os meios essenciais do tratamento e o fornecedor tratar os dados por sua conta, este atuará, em regra, como subcontratante. Essa qualificação depende das funções efetivamente desempenhadas, não apenas da designação utilizada no contrato. Esclarecer estes aspetos antes do início do projeto facilita a definição de acessos, responsabilidades e medidas de segurança.

O regulamento aplica-se ao tratamento, não à empresa inteira

O RGPD estabelece o seu âmbito territorial no artigo 3.º. Um fornecedor estabelecido em Portugal está sujeito às obrigações que lhe sejam aplicáveis relativamente ao tratamento realizado no contexto das suas atividades, mesmo que o responsável pelo tratamento esteja fora da União Europeia. Porém, contratar esse fornecedor não torna, por si só, o cliente estrangeiro sujeito ao regulamento. O Comité Europeu para a Proteção de Dados confirma esta distinção nas Orientações 3/2018, utilizando o exemplo de uma empresa mexicana que contrata um subcontratante em Espanha. A situação do cliente deve ser analisada autonomamente: poderá estar abrangido se o tratamento estiver ligado às atividades de um estabelecimento na UE ou, nas condições do artigo 3.º, n.º 2, se oferecer bens ou serviços a pessoas que se encontrem na União ou monitorizar o respetivo comportamento. A avaliação deve incidir sobre cada tratamento concreto.

O fornecedor em Portugal assume obrigações próprias

Quando assume o papel de subcontratante, o fornecedor português tem obrigações próprias ao abrigo do RGPD. Entre elas contam-se o enquadramento contratual previsto no artigo 28.º, a adoção de medidas técnicas e organizativas adequadas, o controlo dos subcontratantes ulteriores e, quando aplicável, a manutenção de registos das categorias de tratamentos realizados. Deve igualmente informar o responsável pelo tratamento, sem demora injustificada, quando tenha conhecimento de uma violação de dados pessoais. O contrato deve identificar o objeto e a duração do tratamento, as categorias de dados e de titulares, as instruções documentadas, as condições de acesso e as responsabilidades na resposta a incidentes. As obrigações diretamente aplicáveis ao fornecedor não desaparecem pelo facto de o cliente estrangeiro não estar sujeito ao RGPD. Em Portugal, a Comissão Nacional de Proteção de Dados (CNPD) é a autoridade nacional de controlo.

Mapear os fluxos de dados antes de constituir a equipa

Antes de constituir a equipa, deve mapear-se o percurso dos dados: quem os fornece, onde são alojados, quem lhes acede, se são copiados para sistemas de tickets, repositórios ou ambientes de teste e a quem são posteriormente disponibilizados. Há um detalhe especialmente importante: se um fornecedor português devolver dados pessoais ao cliente situado fora do Espaço Económico Europeu, essa disponibilização pode constituir uma transferência internacional sujeita ao capítulo V do RGPD, mesmo quando os dados foram originalmente recebidos desse cliente. O Comité Europeu para a Proteção de Dados esclarece esta situação nas Orientações 05/2021, através de um exemplo específico. O acesso remoto por entidades situadas em países terceiros também deve ser analisado, mesmo sem descarregamento de ficheiros. Este mapeamento permite antecipar requisitos contratuais, controlos de acesso, políticas de conservação de registos e condições de utilização de subcontratantes.

Uma condição a gerir, não um obstáculo

Uma transferência internacional não significa que o projeto seja inviável. O mecanismo necessário varia conforme o destino e o destinatário. O Reino Unido e a Suíça beneficiam de decisões de adequação da Comissão Europeia. Nos Estados Unidos, a decisão associada ao EU–US Data Privacy Framework abrange as organizações certificadas, dentro do âmbito aplicável. Quando não exista uma decisão de adequação que cubra a transferência, poderá ser necessário recorrer a garantias adequadas, como as cláusulas contratuais-tipo, acompanhadas das avaliações exigíveis. Na relação entre um subcontratante estabelecido no Espaço Económico Europeu e um responsável pelo tratamento situado fora desse espaço, o módulo 4 das cláusulas contratuais-tipo pode ser relevante. Estas exigências devem articular-se com a legislação local do cliente e com eventuais regras setoriais, sem presumir que a contratação de uma equipa em Portugal resolve, por si só, todas as questões de conformidade.

Clarificar papéis antes do contrato reduz retrabalho

O melhor momento para tratar destas questões é antes da assinatura do contrato. Um processo de contratação sólido começa pela identificação do responsável pelo tratamento e do subcontratante, passando pela classificação dos dados e pela documentação dos acessos, localizações, subcontratantes, períodos de conservação e regras de eliminação ou devolução. Deve também prever medidas de segurança, comunicação de incidentes, responsabilidades das partes e, quando necessário, mecanismos de transferência internacional. Em projetos de suporte, desenvolvimento e operação continuada, importa evitar que registos técnicos, cópias de diagnóstico e ambientes de teste criem fluxos de dados não previstos. O objetivo não é acrescentar burocracia indiscriminada, mas estabelecer um modelo operativo que permita prestar o serviço com segurança e previsibilidade. O enquadramento deve ser confirmado à luz do caso concreto e, quando necessário, com aconselhamento jurídico especializado.