Transferências internacionais ao abrigo do RGPD: TIA, CCT, Schrems II e medidas suplementares

A transferência de dados pessoais fora do Espaço Económico Europeu ao abrigo do RGPD não é um processo mecânico de contrato que é concluído apenas mediante a assinatura de um documento de cláusulas contratuais-tipo (SCC). Em especial, após a Schrems II, o exportador e o importador de dados devem avaliar as leis e práticas do país terceiro em que a transferência terá lugar no contexto específico do fluxo de dados efectivo.

Na prática, esta avaliação é geralmente designada Transfer Impact Assessment (TIA) ou Data Transfer Impact Assessment.

O que é o TIA?

Uma TIA documenta se o mecanismo escolhido para uma transferência internacional de dados pessoais pode assegurar proteção adequada nas condições reais e identifica medidas suplementares quando necessário.

O RGPD não prevê um formulário normalizado específico chamado «TIA». Contudo, as CCT atuais da Comissão Europeia incluem a cláusula 14, que exige às partes uma avaliação das leis e práticas pertinentes do país terceiro.

Por que Schrems II é importante?

O acórdão Schrems II, C-311/18, do Tribunal de Justiça da União Europeia estabeleceu que os exportadores não podem confiar apenas no texto do mecanismo de transferência; devem também considerar a proteção efetivamente assegurada no país terceiro.

O que exige a cláusula 14 das CCT?

Nos termos da cláusula 14 do SCC da Decisão de Execução 2021/914 da Comissão, as partes devem avaliar que não existem leis ou práticas que impeçam o importador de dados do país terceiro de cumprir as obrigações do SCC.

A avaliação pode considerar, em especial:

As condições concretas de transferência,
comprimento da cadeia de processamento,
categorias de dados,
natureza do destinatário,
finalidade do tratamento,
local de armazenagem,
Direito e práticas dos países terceiros,
Medidas técnicas, contratuais e organizacionais adicionais

Estes fatores devem ser considerados no seu contexto.

Etapa 1: mapear os fluxos de dados

A primeira pergunta não é "Para que país enviamos dados?"

Primeiro, identifique:

quais os dados pessoais transferidos,
de que sistema,
para que destinatário,
para que finalidade,
através de que subcontratantes ulteriores.

Estes elementos devem ser conhecidos.

Etapa 2: identificar o mecanismo de transferência

Nos termos do capítulo V do RGPD, uma transferência pode basear-se em:

uma decisão de adequação,
um mecanismo de garantias adequadas,
SCC,
regras vinculativas aplicáveis às empresas,

ou outro mecanismo jurídico aplicável à situação concreta.

Etapa 3: Avaliar a Lei de países terceiros

Se for utilizado o SCC, deve ser examinado se as leis e práticas no país em que o importador de dados está localizado impedem o cumprimento das disposições contratuais.

São especialmente importantes os poderes de acesso das autoridades públicas aos dados pessoais e as garantias existentes face a esses poderes.

Etapa 4: Examine as Condições Concretas de Transferência

O perfil de risco de cada transferência de dados para o mesmo país não é o mesmo.

Por exemplo:

backup criptografado do cliente,
dados dos trabalhadores em texto simples,
pedidos de apoio ao cliente,
dados de prompts enviados para uma API de IA

podem exigir avaliações técnicas e operacionais diferentes.

Etapa 5: Medidas adicionais

As recomendações do EDPB 01/2020 constituem uma referência importante à avaliação de medidas complementares quando necessário.

Medidas técnicas

Encriptação forte,
Controlo separado das chaves,
pseudonimização,
minimização de dados.

Medidas contratuais

Notificação dos pedidos das autoridades públicas,
obrigações de transparência,
controlo dos subcontratantes ulteriores.

Medidas organizacionais

Procedimentos de acesso,
resposta a incidentes,
auditoria,
A autorização do pessoal.

A cifragem resolve todos os problemas?

Não. A eficácia da cifragem depende de quem detém a chave e de ser necessário decifrar os dados durante o tratamento.

Se o fornecedor cloud tiver de tratar os dados em texto simples, a cifragem do disco, por si só, pode não reduzir suficientemente o risco.

Transferências de IA e SaaS

Ao utilizar APIs de IA, CRM, analítica ou outras plataformas SaaS, verifique também:

Países onde os dados são tratados,
a lista de subcontratantes ulteriores,
a conservação dos dados,
a utilização de dados para treinar modelos,
as permissões de acesso.

Estas verificações também são necessárias.

Uma TIA não é um documento elaborado uma única vez

A avaliação deve ser reconsiderada quando a estrutura de transferência ou as condições dos países terceiros mudarem.

Por exemplo, pode ser necessária reavaliação após:

a adição de um subcontratante ulterior,
alteração da categoria de dados,
a mudança para um novo país,
Alteração significativa do regime jurídico

Estas alterações podem exigir reavaliação.

Lista de verificação TIA

O fluxo de dados foi mapeado?
O mecanismo de transferência está claro?
O módulo SCC está selecionado corretamente?
Foi realizada a avaliação da cláusula 14?
Foi estudado o direito e a prática de países terceiros?
A cadeia do subprocessador é conhecida?
Foi avaliada a necessidade de medidas adicionais?
Confirma-se que as medidas técnicas são realmente eficazes?
A avaliação foi registada por escrito?
Está prevista uma reavaliação periódica?

A abordagem B10

A B10 Digital Agency avalia o mecanismo jurídico juntamente com o fluxo técnico real nas transferências internacionais. Um inventário técnico mostra que dados os sistemas SaaS, cloud, API e IA enviam para que países.

Quadro de referência oficial

Este guia foi atualizado tendo em conta o capítulo V do RGPD, a cláusula 14 das CCT da Decisão de Execução (UE) 2021/914 da Comissão e a versão final das Recomendações EDPB 01/2020.

Conclusão

O objetivo do TIA não é colocar um formulário no arquivo, mas mostrar se o mecanismo de transferência utilizado proporciona proteção adequada no fluxo de dados real. O SCC, a análise por país e as medidas técnicas devem ser abordadas no âmbito da mesma avaliação.

Este conteúdo é apenas para informação geral.