Responsável pelo tratamento ou subcontratante? Confusão de funções e consequências

KVKK & Guia de Responsabilidade de Dados

KVKK dá frequentemente origem a confusão entre as funções de Responsável pelo tratamento e Subcontratante. Agências, fornecedores CRM e outros prestadores ocupam posições distintas na cadeia de dados. Uma classificação incorreta pode criar responsabilidade e riscos de coimas.

Resumo: O responsável pelo tratamento decide; o subcontratante executa instruções. O serviço prestado pode tornar esta fronteira menos clara.

1. Definições de base (artigo 3.o do KVKK)

Função	Definição	Exemplo
Responsável pelo tratamento	É a pessoa ou instituição que determina as finalidades e os meios de tratamento dos dados pessoais.	A marca ou empresa responsável pelos dados
Subcontratante	Uma pessoa singular ou coletiva que trata dados por conta do responsável e segundo as suas instruções.	Agência, fornecedor de CRM, empresa de hospedagem

«Quem decide assume a responsabilidade; quem executa presta contas.»

2. Determinar as funções de agências e fornecedores CRM

• Agência Digital: Neste cenário, a agência é subcontratante se apenas integra plataformas sem definir a estratégia de campanha.
• Fornecedor CRM: O fornecedor que aloja dados de clientes e disponibiliza o sistema é subcontratante; o uso para análises próprias pode torná-lo responsável pelo tratamento.
• Gestão de influenciadores: Na recolha por partilha de conteúdos aqui descrita, a marca é responsável pelo tratamento e a agência subcontratante.

3. Cadeia de responsabilidade em serviços de terceiros

• Cada transferência de dados cria uma "relação de responsabilidade comum".
• É necessário um contrato de tratamento de dados (DPA).
• O subcontratante tem obrigações de segurança nos termos do artigo 12 da KVKK.
• Se houver uma transferência para o exterior, é necessário consentimento explícito ou permissão do Conselho.

"O elo fraco na cadeia de dados coloca todo o sistema em risco."

4. Exemplos de decisões judiciais

• Decisão da autoridade (2022/1023): O fornecedor de infraestrutura de e-mail foi sancionado como subcontratante por uma infração na conservação de registos.
• Decisão da autoridade (2023/331): O uso de dados de clientes para análises levou à classificação do fornecedor CRM como responsável pelo tratamento.
• Decisão judicial (2024/215): A ausência de protocolo de transferência entre agência e marca originou sanções para ambas por responsabilidade partilhada.

5. Lista de verificação para reduzir riscos

• A definição de papel deve ser feita por escrito em cada início de projeto,
• O DPA (Contrato de Processamento de Dados) deve ser assinado,
• elaborar um diagrama dos fluxos de dados,
• proibir a partilha de dados pelo subcontratante com terceiros,
• O processo de notificação de infracção deve ser determinado.

Recomendação B10: Definir juridicamente a cadeia de dados agência–marca antes da implementação técnica. Registar claramente no contrato as obrigações de cada parte.

Aclare o papel de dados da sua agência.
A B10 Digital Agency orienta sobre funções de responsável e subcontratante, DPA e auditorias nos seus serviços KVKK.

Pedir orientação sobre funções de tratamento Minha agência só lida com publicidade, conta como um responsável pelo tratamento?

Não necessariamente. Sem definir as finalidades, a agência é geralmente subcontratante. O uso para análises próprias pode alterar essa função.

Como determinar a diferença entre um fornecedor de CRM e um responsável pelo tratamento?

Apenas armazenamento e acesso indicam uma função de subcontratante. Interpretar, segmentar ou analisar dados para fins comerciais pode colocar o fornecedor como responsável.

O que significa a responsabilidade comum?

Decisões conjuntas sobre o tratamento podem implicar responsabilidade solidária em caso de infração ou sanção.

Etiquetas: KVKK • responsável pelo tratamento • subcontratante • fornecedores CRM • conformidade das agências • DPA • B10 Digital Agency