O essencial para o EPD
A CNPD escreve que a verificação dos requisitos do n.º 3 do art. 28.º deve ser SUBSTANTIVA e não formal, não se limitando à escolha de um qualquer clausulado-padrão. É a frase que vale a coima: assinar o contrato do fornecedor sem o ler não é cumprimento, é prova documental do contrário.
As cinco contraordenações
- Tratamento ilícito de dados relativos à saúde e à religião: o questionário não deixava claro que aquelas respostas eram facultativas, pelo que os cidadãos não puderam formar a sua vontade.
- Incumprimento dos deveres de informação aos respondentes do questionário.
- Incumprimento do dever de diligência na escolha do subcontratante.
- Infração das disposições relativas à transferência internacional de dados, arts. 44.º e 46.º, n.º 2.
- Incumprimento da obrigação de realizar uma avaliação de impacto sobre a proteção de dados relativa à operação censitária.
O ponto do art. 28.º
O INE confiou a infraestrutura a um fornecedor que tinha escritório em Lisboa. O contrato, porém, foi feito com a empresa sediada nos EUA, tendo sido contratualizado que o foro para dirimir conflitos é o Tribunal da Califórnia. Esse mesmo contrato admite o trânsito de dados pessoais por qualquer dos duzentos servidores da empresa, antecipando as partes que os dados podem ser tratados fora do Espaço Económico Europeu.
As cláusulas existiam. Não bastaram.
O contrato incluía as cláusulas contratuais-tipo aprovadas pela Comissão Europeia para a transferência de dados para os EUA. Ainda assim a CNPD concluiu pela infração dos arts. 44.º e 46.º, n.º 2, por não se preverem quaisquer medidas complementares que prevenissem o acesso aos dados por entidades governamentais do país terceiro, em consonância com o Acórdão Schrems II. É exatamente o salto lógico que se vê por todo o lado: juntam-se as cláusulas e dá-se o assunto por encerrado, sem avaliar o contexto jurídico do destino.
O que tinha acontecido antes
No decurso dos Censos 2021, após a receção de várias queixas, a CNPD iniciou de imediato uma averiguação e deu ordem de suspensão do envio de dados pessoais da operação censitária para os EUA e para outros Estados terceiros sem um nível de proteção adequado. O processo só ficou concluído com a deliberação final, que aplicou em cúmulo jurídico a coima única pelas cinco contraordenações.
O que fazer agora, nos seus clientes
1) Para cada fornecedor no registo de subcontratantes, veja com que entidade jurídica foi assinado o contrato, e não que escritório atende o telefone. Um escritório europeu não basta se a contraparte contratual estiver fora da UE. 2) Leia a cláusula de foro: se remete para um tribunal fora da UE, pergunte-se como tenciona fazer valer as obrigações do art. 28.º no dia em que for preciso. 3) Se o contrato admite o trânsito dos dados por infraestruturas não especificadas, isso é uma transferência e tem de ser avaliada, não ignorada. 4) As cláusulas contratuais-tipo são o ponto de partida da avaliação, nunca o de chegada: sem medidas complementares documentadas, o art. 46.º não está cumprido. 5) Documente a verificação do n.º 3 do art. 28.º com evidências e com data: é a única forma de demonstrar que foi substantiva.
Looking for a workspace for your DPO work?
DPO Workspace is built by a certified DPO. 30-day free trial.
Start free
