Quando organizações compartilham dados pessoais com prestadores de serviços terceirizados, o GDPR exige um acordo formal de processamento de dados (DPA) para reger como esses dados são tratados. Compreender os requisitos de DPA é essencial para qualquer empresa que utilize ferramentas ou serviços externos que lidem com dados pessoais.

O Que é um Acordo de Processamento de Dados?

Um DPA é um contrato legalmente vinculante entre um controlador de dados (a organização que determina por que e como os dados são processados) e um processador de dados (o terceiro que processa dados em nome do controlador). Relacionamentos comuns de processador incluem provedores de hospedagem em nuvem, serviços de e-mail, ferramentas de analytics e processadores de pagamento.

Requisitos Principais

Os DPAs devem especificar o objeto e a duração do processamento, a natureza e o propósito do processamento, os tipos de dados pessoais envolvidos e as categorias de titulares de dados. Eles também devem incluir obrigações vinculantes para o processador: processar dados apenas sob instruções documentadas do controlador, garantir a confidencialidade da equipe, implementar medidas de segurança adequadas, auxiliar com solicitações de titulares de dados, excluir ou devolver dados após o término do contrato e permitir auditorias.

Subprocessadores

Quando um processador contrata outro processador (um subprocessador), o processador original deve obter autorização do controlador. O DPA deve abordar a gestão de subprocessadores, incluindo requisitos de notificação e responsabilidade.

Implicações Práticas

Muitas empresas subestimam suas obrigações de DPA. Toda ferramenta SaaS, serviço em nuvem ou integração de terceiros que acessa dados pessoais requer um DPA. As organizações devem auditar seus relacionamentos com fornecedores, garantir que os DPAs estejam em vigor para todos os processadores e revisar regularmente esses acordos para assegurar que reflitam as práticas reais de processamento de dados.

A falha em manter DPAs adequados pode resultar em multas do GDPR e deixa as organizações expostas se um processador causar uma violação de dados.