O cliente vai à falência, o fornecedor fica sozinho com os dados: e passa a ser responsável pelo tratamento

O que aconteceu

A 24 de março de 2020 uma cadeia de lojas norueguesa vai à falência. Os ex-trabalhadores pedem ao administrador de insolvência a cobertura dos salários pelos dias trabalhados e, para isso, precisam dos registos de horas: horas, turnos, presenças. Esses dados estão, porém, no sistema de um fornecedor externo, que os tratava por conta da empresa. O administrador não tem acesso ao sistema. A 18 de junho um ex-trabalhador apresenta um pedido de acesso aos seus próprios dados; ao todo chegam oitenta. A 23 de junho o fornecedor responde por escrito que não tem qualquer poder autónomo de disposição e que não lhe é permitido comunicar dados a ninguém, «nem sequer aos próprios titulares».

Um tratamento sem responsável não existe

O artigo 28.º, n.º 10, determina que o subcontratante que define finalidades e meios passa a ser responsável por esse tratamento. Após a falência, o fornecedor era o único com acesso aos sistemas, decidia se e a quem comunicava os dados, fixava o prazo de conservação e tratava sozinho os pedidos dos titulares. São decisões sobre os meios essenciais do tratamento, e essas cabem ao responsável. O regulamento não conhece a figura do subcontratante sem responsável: por cada tratamento alguém tem de responder.

A fatura não suspende os direitos

O fornecedor exigira ao administrador que liquidasse os seus créditos antes de entregar os registos, e dispôs-se a fornecer os «dados em bruto» apenas mediante nova adjudicação remunerada. A autoridade separou as duas questões: se ao fornecedor é devida uma remuneração é matéria contratual que o RGPD não regula, ao passo que o acesso deve ser respondido no prazo de um mês (artigo 12.º, n.º 3) e gratuitamente por regra (artigo 12.º, n.º 5). Uma conta em aberto com um cliente insolvente não é fundamento de licitude para recusar a alguém os seus próprios dados.

• O que acontece aos dados se o responsável entrar em insolvência ou cessar. A cláusula-tipo «devolver ou apagar no final do contrato» não basta quando esses dados servem aos trabalhadores para fazer valer um crédito: tem de ficar escrito quem responde aos pedidos de acesso entretanto.
• Se o seu cliente for um fornecedor, verifique se sabe reconhecer o momento em que já ninguém lhe dá instruções. A partir daí, ou identifica o sucessor — em regra o administrador de insolvência — ou assume que o responsável é ele.
• Nenhum pedido de acesso pode ficar condicionado a um pagamento. Foi neste ponto que o fornecedor perdeu, e é também o mais simples de inscrever num procedimento interno.

A coima, e porque é mais baixa do que teria sido

Duzentas e cinquenta mil coroas norueguesas, cerca de vinte e cinco mil euros. Na carta de abril de 2025 a autoridade anunciara setecentas e cinquenta mil, reduzindo depois o montante em razão da duração do procedimento: a reclamação chegara a 30 de junho de 2020 e o primeiro pedido de esclarecimentos à empresa só saiu a 15 de outubro de 2024. O caso foi tratado como transfronteiriço, com a Suécia, a Dinamarca e a Espanha entre as autoridades interessadas.