Transferências internacionais de dados
O que sai do EEE, o que não sai e com que instrumentos
Uma página escrita para ser lida por quem tem de assinar. Indica o estatuto de cada centro de entrega e o instrumento aplicável, sem esconder o caso que nos é menos favorável.
Sobre o Brasil, para não haver dúvidas
O Brasil não tem decisão de adequação da Comissão Europeia. A LGPD aproxima o enquadramento brasileiro do europeu, mas não substitui a adequação que não existe. Qualquer transferência exige cláusulas contratuais-tipo e avaliação de impacto.
Há três situações, e só três
Dentro do EEE
A operação corre em Portugal ou na Polónia. Não há transferência internacional, logo não há instrumento a preparar nem avaliação a fazer.
Nenhum instrumento necessário
País com decisão de adequação
A Comissão Europeia reconheceu o país como oferecendo nível de proteção adequado. A transferência é possível sem instrumento adicional.
Decisão de adequação
País terceiro sem adequação
É o caso do Brasil, do Uzbequistão, das Filipinas, de Angola, de Moçambique e dos restantes centros. A transferência assenta em cláusulas contratuais-tipo mais uma avaliação de impacto.
Cláusulas contratuais-tipo e avaliação de impacto
Estatuto de cada centro de entrega
Esta tabela é gerada a partir da mesma fonte que alimenta o mapa, as páginas de destino e a calculadora, para que nenhuma delas possa dizer coisa diferente das outras.
| Centro | País | Estatuto | Instrumento aplicável |
|---|---|---|---|
| Lisboa | Portugal | Espaço Económico Europeu | Nenhum. Não há transferência internacional. |
| Porto | Portugal | Espaço Económico Europeu | Nenhum. Não há transferência internacional. |
| Varsóvia | Polónia | Espaço Económico Europeu | Nenhum. Não há transferência internacional. |
| Toronto | Canadá | Decisão de adequação | Decisão de adequação da Comissão Europeia. |
| Acra | Gana | País terceiro, sem adequação | Cláusulas contratuais-tipo e avaliação de impacto da transferência. |
| Bogotá | Colômbia | País terceiro, sem adequação | Cláusulas contratuais-tipo e avaliação de impacto da transferência. |
| Cidade do México | México | País terceiro, sem adequação | Cláusulas contratuais-tipo e avaliação de impacto da transferência. |
| Istambul | Turquia | País terceiro, sem adequação | Cláusulas contratuais-tipo e avaliação de impacto da transferência. |
| Joanesburgo | África do Sul | País terceiro, sem adequação | Cláusulas contratuais-tipo e avaliação de impacto da transferência. |
| Kampala | Uganda | País terceiro, sem adequação | Cláusulas contratuais-tipo e avaliação de impacto da transferência. |
| Luanda | Angola | País terceiro, sem adequação | Cláusulas contratuais-tipo e avaliação de impacto da transferência. |
| Manila | Filipinas | País terceiro, sem adequação | Cláusulas contratuais-tipo e avaliação de impacto da transferência. |
| Maputo | Moçambique | País terceiro, sem adequação | Cláusulas contratuais-tipo e avaliação de impacto da transferência. |
| Nairobi | Quénia | País terceiro, sem adequação | Cláusulas contratuais-tipo e avaliação de impacto da transferência. |
| Praia | Cabo Verde | País terceiro, sem adequação | Cláusulas contratuais-tipo e avaliação de impacto da transferência. |
| Santo Domingo | República Dominicana | País terceiro, sem adequação | Cláusulas contratuais-tipo e avaliação de impacto da transferência. |
| São Paulo | Brasil | País terceiro, sem adequação | Cláusulas contratuais-tipo e avaliação de impacto da transferência. |
| Tashkent | Uzbequistão | País terceiro, sem adequação | Cláusulas contratuais-tipo e avaliação de impacto da transferência. |
O estatuto refere-se ao enquadramento de transferência de dados pessoais e não a qualquer avaliação da qualidade do centro. Esta informação é uma descrição do enquadramento aplicável e não constitui aconselhamento jurídico.
As escolhas que estão do seu lado
A primeira é a categoria de dados. Se inclui dados de saúde, dados de menores ou dados que o seu regulador trate como especialmente sensíveis, a recomendação é o modelo exclusivamente EEE e dizemo-lo mesmo quando isso encarece a proposta.
A segunda é a fronteira. Muitas operações podem correr fora do EEE sobre dados pseudonimizados ou sobre um subconjunto restrito, mantendo em Portugal o que é sensível. Essa fronteira define-se antes de a operação abrir, com as categorias escritas, e não se descobre numa auditoria.
A terceira é o que faz quando as circunstâncias mudam. As cláusulas contratuais-tipo obrigam a reavaliar quando o contexto do país de destino se altera. Está no contrato, com quem faz a reavaliação e em que prazo.
Esta página descreve o enquadramento que aplicamos. Não é aconselhamento jurídico e não substitui a análise do seu encarregado de proteção de dados ou dos seus advogados.
Perguntas frequentes
O Brasil tem decisão de adequação?
Não. Qualquer transferência exige cláusulas contratuais-tipo e uma avaliação de impacto. A LGPD ajuda mas não substitui a adequação.
Que centros ficam dentro do EEE?
Portugal e a Polónia. Todos os restantes exigem instrumento de transferência.
Podemos exigir que nada saia do EEE?
Pode, e para dados de saúde é o que recomendamos. É o modelo mais caro e dizemo-lo antes da proposta.
Quem faz a avaliação de impacto?
Preparamo-la e partilhamo-la consigo. A decisão final de prosseguir é do responsável pelo tratamento, ou seja, sua.
O que acontece se a situação do país mudar?
As cláusulas obrigam a reavaliar. O contrato define quem reavalia e em que prazo.
Assinam as cláusulas contratuais-tipo da Comissão Europeia?
Sim, os módulos aplicáveis à relação entre responsável pelo tratamento e subcontratante.
Os dados podem ser pseudonimizados antes de saírem?
Em muitas operações podem, e é frequentemente o desenho que recomendamos para reduzir o que sai.
Isto é aconselhamento jurídico?
Não. É a descrição do enquadramento que aplicamos, para ser verificada pelos seus juristas.
Onde pedimos a documentação?
Por correio eletrónico para info@corpshore.solutions, indicando a operação em causa.
Que instrumento é que a sua combinação exige
Escolha o tipo de dados que o trabalho toca e onde quer que seja feito. A ferramenta diz qual é o instrumento de transferência necessário, ou que a combinação é uma que não montamos.
O que a combinação exige
Nenhum instrumento: fica dentro do Espaço Económico Europeu
Não existe transferência internacional a documentar. Continua a ser preciso um contrato de tratamento de dados, mas não há cláusulas contratuais-tipo nem avaliação de impacto.
Esta ferramenta é uma orientação, não aconselhamento jurídico. A decisão de prosseguir é do responsável pelo tratamento e deve ser tomada com apoio jurídico próprio.
A regra por categoria de dados:
- Dados pessoais comuns
- É preciso o contrato de tratamento, as cláusulas contratuais-tipo nos módulos aplicáveis e uma avaliação de impacto da transferência documentada, que analisa o acesso das autoridades locais aos dados. Quem decide prosseguir é o responsável pelo tratamento.
- Dados financeiros de clientes
- É preciso o contrato de tratamento, as cláusulas contratuais-tipo nos módulos aplicáveis e uma avaliação de impacto da transferência documentada, que analisa o acesso das autoridades locais aos dados. Quem decide prosseguir é o responsável pelo tratamento.
- Categorias especiais
- O país de destino tem decisão de adequação, pelo que a transferência é tratada como intra-europeia. Mantém-se o contrato de tratamento e a obrigação de reavaliar se a decisão for revista.
- Dados de saúde
- Para esta categoria de dados, nenhum instrumento torna este destino defensável na prática. Dizemos que não em vez de escrever uma avaliação que ninguém quereria defender perante um regulador.
- Dados do setor público
- Para esta categoria de dados, nenhum instrumento torna este destino defensável na prática. Dizemos que não em vez de escrever uma avaliação que ninguém quereria defender perante um regulador.
Vamos ver os números do seu caso
Diga-nos que processos quer externalizar, em que línguas e com que volumes. Devolvemos uma estimativa em euros e um desenho de operação, sem compromisso.
Respondemos em menos de 6 horas em dias úteis. Se preferir escrever: info@corpshore.solutions