RGPD e externalização offshore: guia prático para empresas

Externalizar para Marrocos, Tunísia ou Madagáscar mantendo-se em conformidade com o RGPD é possível, mas exige uma preparação rigorosa. O regulamento europeu de proteção de dados aplica-se plenamente aos tratamentos realizados fora da UE por conta de um responsável pelo tratamento estabelecido na Europa. Eis os pilares a verificar antes de assinar um contrato de externalização.

O princípio é claro: deslocalizar o tratamento nunca isenta das obrigações do RGPD. O responsável pelo tratamento mantém-se responsável pelos dados dos seus clientes, onde quer que sejam tratados. A boa notícia é que, com um parceiro estruturado, garantias adequadas e documentação cuidada, a externalização offshore é plenamente compatível com o regulamento.

1. O quadro jurídico: decisão de adequação ou não?

A transferência de dados pessoais para um país terceiro (fora da UE) só é possível em dois cenários, enquadrados pelo capítulo V do RGPD (artigos 44 a 49). Ou a Comissão Europeia adotou uma decisão de adequação que reconhece que o país assegura um nível de proteção essencialmente equivalente — por exemplo, o Japão, a Suíça ou a Nova Zelândia. Ou, na falta dela, a transferência deve basear-se em garantias adequadas.

Marrocos, a Tunísia e Madagáscar não têm decisão de adequação. Qualquer transferência para estes destinos deve, pois, fundamentar-se em cláusulas contratuais padrão (SCC), regras empresariais vinculativas (BCR) ou, em certos casos, códigos de conduta e certificações. Na Altavista360 utilizamos as cláusulas contratuais padrão da Comissão Europeia (SCC 2021), atualizadas após o acórdão Schrems II do Tribunal de Justiça da UE. Estas cláusulas estão integradas em cada contrato de serviço e complementadas por uma análise de impacto das transferências (TIA) quando a situação local o exige.

2. O contrato de subcontratante (artigo 28)

O artigo 28 do RGPD obriga o subcontratante a tratar os dados pessoais apenas segundo as instruções documentadas do responsável pelo tratamento. Na prática, isto traduz-se num contrato de subcontratação (DPA, Data Processing Agreement) que formaliza: o objeto, a duração, a natureza e a finalidade do tratamento; o tipo de dados e as categorias de pessoas em causa; e as obrigações de segurança, confidencialidade e cooperação com a autoridade de controlo.

Este contrato deve também prever as condições para recorrer a um eventual subsubcontratante (com autorização prévia), as modalidades de assistência para responder aos direitos das pessoas em causa, e a supressão ou restituição dos dados no fim do contrato. Sem este artigo 28 corretamente contratualizado, o projeto de externalização é juridicamente frágil.

3. Segurança, pseudonimização e artigo 32

O artigo 32 do RGPD exige medidas técnicas e organizativas adequadas ao risco. Num centro offshore, isto concretiza-se em vários controlos complementares. Os dados dos clientes transitam através de ligações cifradas (VPN, TLS). Internamente, os dados são pseudonimizados sempre que possível: os agentes veem um identificador de cliente, não o nome completo. Os acessos são controlados por função (RBAC) segundo o princípio do menor privilégio, e qualquer consulta é registada num diário de auditoria imutável.

No plano organizativo, juntam-se instalações com acesso controlado, proibição de telemóveis pessoais e pens USB, uma política de secretária limpa e um procedimento formalizado de notificação de violação de dados (artigo 33) ao responsável pelo tratamento. A certificação ISO/IEC 27001 do centro é a norma de referência: garante que está implementado um sistema de gestão da segurança da informação, sujeito a auditoria.

4. A responsabilidade: quem responde por quê?

No âmbito da externalização, a Altavista360 atua como subcontratante na aceção do RGPD. O cliente permanece o responsável pelo tratamento e assume a responsabilidade principal perante as pessoas em causa e a autoridade de controlo. Esta distinção é claramente formalizada no contrato: não tomamos qualquer decisão sobre as finalidades e os meios do tratamento — executamos segundo as instruções documentadas do cliente.

Esta repartição não exonera, contudo, o subcontratante: deve poder demonstrar a sua conformidade (princípio da responsabilidade, artigo 5.º §2), conservar um registo das atividades de tratamento (artigo 30) e cooperar com o responsável. O acompanhamento operacional destas obrigações é o que separa um parceiro sério de um fornecedor vulgar.

5. Os direitos das pessoas em causa

Os clientes dos seus clientes mantêm os mesmos direitos RGPD, independentemente do país onde o tratamento é realizado: direito de acesso, retificação, apagamento, limitação, portabilidade e oposição (artigos 15 a 22). Por isso, implementámos procedimentos para transmitir e tratar estes pedidos dentro dos prazos legais (em princípio um mês), incluindo dados alojados em Marrocos ou na Tunísia. O centro offshore está integrado no fluxo de gestão de direitos, com um ponto de contacto designado e um prazo contratual de transmissão.

Setores que exigem especial vigilância

Nem todos os setores são iguais perante o RGPD offshore. Dois merecem atenção particular. A banca e as fintech lidam com dados financeiros sensíveis e estão sujeitas a obrigações sobrepostas (RGPD, segredo bancário, PSD2, PCI-DSS) que exigem salvaguardas reforçadas. A saúde e os seguros de saúde tratam dados de saúde, considerados uma categoria especial de dados (artigo 9 do RGPD) que exige garantias adicionais e, na maioria dos casos, uma avaliação de impacto (artigo 35).

Nestes contextos, é geralmente exigida uma avaliação de impacto relativa à proteção de dados (AIPD/DPIA) antes do arranque. Documenta os riscos para os direitos e liberdades das pessoas e as medidas tomadas para os mitigar. É um exercício que conduzimos de bom grado em colaboração com o DPO do cliente.

As auditorias de conformidade

Antes de qualquer implementação, auditamos o centro parceiro com base numa grelha de critérios RGPD: segurança física e lógica, formação dos agentes, gestão dos direitos de acesso, procedimento em caso de violação, gestão dos direitos das pessoas em causa, prazos de conservação e registo das atividades de tratamento. Um relatório de auditoria é entregue ao cliente. Estes controlos são depois repetidos periodicamente, pois a conformidade é um processo contínuo, não um estado adquirido. Para o enquadramento mais amplo da externalização em Marrocos, o nosso artigo sobre o destino Marrocos detalha o quadro regulamentar e as certificações disponíveis. E para segurar também os seus processos administrativos, consulte o nosso guia sobre a externalização do back-office.