RGPD – Processamento

O Regulamento Geral sobre a Proteção de Dados (GDPR) oferece uma possibilidade uniforme, em toda a Europa, para o chamado ‘processamento de dados por encomenda’, que é a coleta, processamento ou uso de dados pessoais por um processador de acordo com as instruções do controlador com base em um contrato.

Os regulamentos relevantes para o processamento de dados sob encomenda já se aplicam se o processamento estiver vinculado a atividades de um estabelecimento dentro da UE. Isso significa que é suficiente se o controlador ou o processador operar um estabelecimento na UE, e o processamento ocorrer no contexto de suas atividades. É necessário diferenciar entre processamento e controle conjunto (Art. 26 GDPR), onde ambas as partes definem conjuntamente os propósitos e meios para o processamento de dados e, portanto, são também conjuntamente responsáveis por isso.

Em uma relação de controlador-processador, este último só tem permissão para processar dados pessoais com base nas instruções documentadas do controlador. O processador não pode envolver outro processador para ajudar a cumprir um contrato específico, sem a autorização prévia específica ou geral por escrito do respectivo controlador. No caso de uma autorização geral, o processador deve informá-lo sobre quaisquer alterações relevantes relativas ao processamento.

Na maioria dos casos, o processamento de dados por encomenda é realizado com base em um contrato. O Art. 28(3) do GDPR estabelece seus requisitos mínimos. O contrato deve conter, entre outras coisas, que tipo de dados pessoais serão processados, bem como o objeto e a finalidade do processamento. Além disso, existem outras obrigações para o processador. Por exemplo, ele deve também manter um registro das atividades de processamento que inclui os nomes e dados de contato de cada controlador para quem ele está trabalhando, bem como as categorias de processamento realizadas para eles. Além disso, o índice deve incluir, se aplicável, a transferência de dados pessoais para países terceiros e, se possível, uma descrição geral das medidas técnicas e organizacionais. O controlador deve assegurar, ao selecionar o processador, que ele implementou medidas técnicas e organizacionais suficientes para garantir que o processamento atenda aos requisitos do Regulamento.

Basicamente, o controlador é o primeiro contato para o titular dos dados e responsável por garantir que o processamento de dados cumpra os requisitos legais. Isso não significa, no entanto, que o processador está livre de responsabilidade. De acordo com o Art. 82 do GDPR, ele é solidariamente responsável com o controlador. No entanto, a responsabilidade do processador é limitada, conforme o parágrafo 2, a violações de obrigações específicas a ele. Ambas as partes têm a capacidade de se exculpar. Para fazer isso, devem provar que não foram de forma alguma responsáveis pelo evento que levou aos danos.