Externalizar para o Brasil ao abrigo do RGPD, sem atalhos

Um contrato de tratamento de dados, as cláusulas contratuais-tipo da Comissão Europeia nos módulos aplicáveis à relação entre responsável pelo tratamento e subcontratante, e uma avaliação de impacto da transferência documentada.

A avaliação não é um formulário. Analisa o enquadramento legal do país de destino, incluindo o acesso das autoridades aos dados, e conclui se as garantias contratuais são suficientes no caso concreto. Quem a prepara pode ser o fornecedor, mas quem decide prosseguir é o responsável pelo tratamento, ou seja, o cliente.

Quatro coisas, e nenhuma delas é uma declaração genérica de conformidade. Primeiro, a descrição concreta da transferência: que categorias de dados saem, de que titulares, com que frequência, para que finalidade e por quanto tempo ficam no destino. Uma avaliação que não consegue listar isto não avaliou nada.

Segundo, a análise do enquadramento legal do país de destino, com atenção específica aos poderes de acesso das autoridades públicas e aos recursos disponíveis a um titular europeu. Terceiro, as medidas suplementares, técnicas e organizativas, que reduzem o risco identificado. Quarto, a conclusão fundamentada, com data e autor.

A parte que mais frequentemente falta é a terceira. Encriptação em trânsito e em repouso, controlo de acessos com registo, pseudonimização onde o processo o permite e limitação do que é replicado para o destino: são estas medidas que transformam uma conclusão desconfortável numa defensável, e têm de existir na prática e não só no documento.

Muda o desenho, e para melhor. Numa operação mista, a camada que trata dados identificáveis fica em Portugal e a camada que trata volume trabalha sobre um conjunto reduzido ou pseudonimizado no Brasil. A fronteira define-se por categoria de dados e por tipo de caso, e fica escrita antes de a operação abrir.

O efeito prático é que a avaliação de impacto passa a incidir sobre um conjunto muito menor de dados, o que a torna mais fácil de concluir favoravelmente e mais fácil de defender. Também reduz o impacto de uma eventual alteração do contexto legal no destino, porque há menos exposto.

O custo é operacional: encaminhar por tipo de caso exige regras claras e disciplina, e há sempre casos que atravessam a fronteira. Vale a pena decidir antecipadamente o que acontece a esses, em vez de deixar a decisão para o operador no momento, que é como as fronteiras de dados se dissolvem na prática.

O enquadramento completo, feito de raiz, leva tipicamente entre quatro e oito semanas: uma para descrever a transferência, duas a três para a análise legal e as medidas suplementares, e o resto em revisão jurídica e assinatura. É trabalho de advogado e de operação em simultâneo, e comprimi-lo é a forma mais comum de acabar com um documento que não sobrevive a uma inspecção.

Em custo directo, para uma operação de dimensão média, fica normalmente abaixo do que se poupa no primeiro trimestre. É uma despesa de arranque, não recorrente, e a reavaliação anual é uma fracção disso desde que o primeiro trabalho tenha sido feito a sério.

O erro de cálculo habitual é tratar isto como um custo do projecto de externalização em vez de uma condição para ele existir. Se a conta só fecha ignorando as quatro a oito semanas e o custo jurídico, a conta não fecha, e é melhor descobri-lo antes de assinar do que na primeira auditoria.

Dentro do prazo legal de um mês, prorrogável em casos complexos, e com o conteúdo que a lei exige e não apenas com uma confirmação. Para transferências internacionais há um elemento adicional: o titular tem direito a saber para que países os seus dados foram transferidos e com que garantias.

Na prática isto exige que a operação saiba responder à pergunta antes de ela ser feita. Um registo de actividades de tratamento actualizado, com os destinos e os instrumentos de transferência identificados, transforma um pedido de titular num exercício de dez minutos em vez de uma investigação de duas semanas.

O contrato deve dizer quem faz o quê. Tipicamente o subcontratante assiste e o responsável pelo tratamento responde, com prazos internos mais curtos do que o prazo legal para que haja margem. Um contrato que diz apenas que o subcontratante colabora está a adiar uma discussão para o pior momento.

Vale a pena ensaiar isto uma vez antes de acontecer a sério. Um pedido de teste percorrido de ponta a ponta revela onde é que a informação não existe, quem não sabe que tem um papel, e quanto tempo o processo demora realmente. Custa uma manhã e evita um incumprimento.