Responsável pelo tratamento ou subcontratante: como decidir

Decidir se uma parte é responsável pelo tratamento ou subcontratante exige olhar para uma atividade concreta, porque o nome da empresa, a posição comercial e o título do contrato não bastam. A pergunta útil é quem decidiu a finalidade e os meios essenciais desse tratamento; a resposta pode mudar dentro da mesma relação comercial e deve conduzir a obrigações diferentes.

Resposta rápida Para distinguir responsável pelo tratamento ou subcontratante, isole uma atividade e registe quem decide por que motivo os dados são usados, que pessoas e dados entram, quem os recebe e por quanto tempo. Considere também o controlo conjunto. Depois associe os factos ao instrumento dos artigos 26 ou 28, ou a termos entre responsáveis.

Última atualização: 26 de agosto de 2026

Classifique a atividade, não a empresa

A classificação começa com uma frase suficientemente estreita para ser testada: «alojamento da aplicação de apoio ao cliente para a sociedade X» descreve uma atividade, enquanto «serviços digitais» não. Indique o conjunto de dados, as pessoas abrangidas, a operação realizada e o resultado procurado; essa fronteira evita misturar decisões que pertencem a tratamentos diferentes.

O responsável determina as finalidades e os meios essenciais; o subcontratante trata dados pessoais por conta do responsável, dentro das instruções documentadas. Estas são funções funcionais previstas no RGPD, avaliadas pela realidade da operação ¹. O contrato constitui prova e deve distribuir obrigações, mas as partes não podem transformar uma decisão própria numa instrução apenas por mudarem o rótulo.

Uma instrução útil deixa uma pegada verificável: identifica quem a emitiu, quando entrou em vigor, que operação autoriza e como uma alteração é aprovada. Se a suposta instrução apenas repetir a configuração imposta pelo prestador, procure a decisão anterior que fixou essa configuração; é essa decisão, e não o texto posterior, que ajuda a revelar quem controlou o elemento essencial.

Uma organização costuma ocupar mais de uma função. Decide, por exemplo, as finalidades do tratamento necessário à sua administração interna, mas pode executar uma operação definida por um cliente noutro fluxo. Até dentro de um serviço, uma funcionalidade pode obedecer a instruções enquanto outra usa dados para uma finalidade autónoma. Registe e classifique cada finalidade separadamente.

Comece por desenhar a fronteira: o que entra, qual é a operação, que resultado deve sair e onde termina o poder de instrução da outra parte. Se não conseguir formular a atividade sem juntar várias finalidades, divida-a novamente. Esta disciplina impede que uma classificação ampla esconda relações diferentes e prepara a escolha do documento certo.

Três resultados possíveis à primeira leitura

Três rotas cobrem as relações que normalmente precisam de um instrumento específico. A tabela não substitui a análise; mostra que o documento segue a decisão factual, e não o contrário.

Delimite primeiro uma atividade e determine, pelos factos, quem decide a sua finalidade e os meios essenciais; a designação contratual não altera a função ^1,2. Decisões conjuntas indispensáveis conduzem ao artigo 26, enquanto o tratamento segundo instruções da outra parte conduz ao artigo 28. Finalidades próprias conduzem a termos entre responsáveis separados; se nenhuma destas funções existir no âmbito delimitado, registe esse resultado.

Pode também concluir «nenhuma destas relações» para uma atividade específica. Isso acontece, por exemplo, quando o registo analisado não contém dados pessoais ou quando a entidade não participa na operação delimitada. A conclusão deve explicar os factos; não deve ser usada para evitar uma análise difícil.

«Responsáveis separados» não significa ausência de deveres. Cada parte precisa de uma finalidade legítima, fundamento jurídico, transparência, minimização, segurança, conservação definida e um processo para direitos. «Conjuntos» também não significa que todas as decisões sejam partilhadas em igual medida. O alcance pode abranger apenas as fases realmente moldadas por decisões conjuntas.

A finalidade e os meios essenciais revelam o controlo

A finalidade responde a «porquê?». Os meios essenciais respondem às escolhas que moldam materialmente o tratamento: quais pessoas, quais dados, quais destinatários e por quanto tempo. O Comité Europeu para a Proteção de Dados usa esta distinção para separar decisões de controlo das escolhas práticas que um prestador pode receber ².

Não confunda influência comercial com determinação: um fornecedor pode explicar que determinada configuração é mais segura ou eficiente, enquanto o responsável continua a decidir se a operação e os seus elementos essenciais servem a sua finalidade. Porém, se o fornecedor impuser um novo uso dos dados para benefício próprio, a análise muda, ainda que o serviço principal permaneça igual.

Uma opção normalizada merece a mesma análise. O facto de o sistema oferecer apenas três períodos de conservação não torna automaticamente o fornecedor responsável por essa escolha, se o cliente puder selecionar conscientemente o período compatível com a sua finalidade; mas, se o prestador definir uma conservação adicional que o cliente não vê nem pode limitar, essa operação adicional precisa de uma finalidade, de meios essenciais e de uma classificação próprias.

Reconstrua decisões, não organogramas. Compare propostas, atas, configurações, especificações, mensagens de aprovação e comportamento do sistema. Pergunte quem podia dizer «não» à finalidade e quem tinha autoridade para alterar pessoas, dados, destinatários ou duração. Uma assinatura sénior não prova controlo se apenas aprovou orçamento; uma decisão técnica pode prová-lo se redefiniu um meio essencial.

A execução pode ficar nas mãos do subcontratante

Um subcontratante não tem de receber instruções sobre cada clique. Pode escolher meios não essenciais para executar o serviço, como a organização das equipas, a sequência técnica, uma ferramenta equivalente ou uma medida de segurança mais forte. Essa autonomia prática é compatível com o tratamento por conta do responsável, desde que permaneça dentro da finalidade, dos meios essenciais e das instruções documentadas ³.

A margem de execução deve ser visível. Especifique o resultado exigido, os limites de uso, as categorias autorizadas, a retenção e as aprovações necessárias. Depois identifique as escolhas técnicas deixadas ao prestador. Se todas as opções estiverem descritas como «critério do fornecedor», ninguém conseguirá distinguir implementação de uma finalidade nova.

Use exatamente estas três perguntas de diagnóstico:

1. O prestador pode usar os dados para um objetivo que o cliente não definiu? Se sim, existe uma possível finalidade própria que precisa de classificação separada.
2. O prestador pode acrescentar pessoas, categorias de dados, destinatários ou duração sem instrução? Se sim, pode estar a decidir meios essenciais, e não apenas a execução.
3. A escolha pode ser substituída sem alterar finalidade, pessoas, dados, destinatários ou duração? Se não, investigue se aquilo que parecia execução técnica é afinal um meio essencial já incorporado na arquitetura do serviço.

Uma resposta que revele finalidade própria ou controlo sobre meios essenciais não resolve automaticamente a função. Obriga a delimitar a decisão, a sua necessidade e o tratamento a que pertence. O resultado pode ser uma atividade autónoma do fornecedor ao lado de uma atividade de subcontratação, não uma única etiqueta para toda a relação.

O controlo conjunto é um terceiro ramo autónomo

O controlo conjunto existe quando decisões comuns, ou decisões convergentes e complementares, são indispensáveis à determinação das finalidades e dos meios essenciais do tratamento concebido; não exige que ambas as partes decidam tudo, nem que tenham acesso aos mesmos dados, mas exige uma ligação concreta entre a participação de cada uma e a forma assumida pela operação.

Teste primeiro uma decisão comum: as partes acordaram o objetivo e os elementos essenciais? Se não, procure decisões convergentes. Estas podem ser tomadas separadamente, mas têm de se complementar de tal modo que o tratamento não existiria na forma planeada sem ambas. A coincidência de interesses não chega. É a interdependência das decisões de desenho, não o valor comercial partilhado, que importa.

Quatro atalhos produzem falsos positivos. Benefício mútuo não prova controlo conjunto; muitos contratos beneficiam ambas as partes. Cooperação operacional também não prova; um subcontratante coopera precisamente para executar instruções. Acesso aos dados não é indispensável; uma parte pode influenciar o desenho sem ver todos os registos. Dependência económica, por fim, diz algo sobre poder negocial, não sobre quem determinou o tratamento.

Procure dois tipos de prova em conjunto. A prova decisória mostra propostas, condições, aprovações e possibilidades reais de recusa; a prova operacional mostra que o tratamento executa precisamente a combinação de escolhas atribuída às partes. Se uma delas pudesse retirar a sua decisão e a operação continuasse inalterada, a indispensabilidade fica por demonstrar, ainda que a colaboração seja estreita e financeiramente importante.

O teste deve ainda identificar o perímetro temporal. Duas partes podem determinar em conjunto a recolha e a combinação inicial, enquanto apenas uma decide uma análise posterior para finalidade própria; nesse caso, o controlo conjunto pode terminar antes da fase posterior, e a mudança de função precisa de estar visível na informação prestada, nos acessos e nos registos internos.

Evite também o falso negativo criado por decisões assimétricas. Uma parte pode definir o público e a outra definir a finalidade ou a combinação de dados. Se cada decisão for indispensável ao mesmo tratamento e as escolhas convergirem, a desigualdade de influência não elimina o controlo conjunto. Delimite as fases abrangidas, pois atividades anteriores ou posteriores podem continuar sob controlo separado.

Quando o teste for satisfeito, descreva em termos transparentes quem fornece informação, recebe pedidos, corrige dados, gere segurança e comunica incidentes. O acordo do artigo 26 deve refletir as responsabilidades reais e disponibilizar às pessoas a essência desse acordo ¹. A distribuição interna não pode reduzir os direitos que o RGPD lhes confere.

Uma relação de serviço pode conter várias funções

Considere um serviço abstrato de gestão de pedidos. Na primeira atividade, o cliente define que pedidos entram, que dados são necessários, quem pode consultá-los e quando são eliminados. O prestador aloja e organiza esses registos segundo instruções. Para essa atividade delimitada, os factos apontam para responsável e subcontratante.

Noutra atividade, o prestador conserva os seus próprios dados de faturação, prevenção de abuso ou gestão da conta para cumprir finalidades que determinou; não está necessariamente a tratar esses registos por conta do cliente. Essa operação requer classificação autónoma e pode colocar cada parte como responsável pelo seu próprio tratamento, com fundamentos, transparência e retenção próprios.

Não agregue essas operações sob a expressão vaga «melhoria do serviço». Separe métricas estritamente necessárias para entregar a funcionalidade instruída, dados usados para manter segurança e continuidade, e qualquer reutilização destinada a desenvolver produtos do prestador; depois indique, em cada ramo, quem escolheu a finalidade, se os dados podem ser desligados do cliente e se a operação continuaria após o fim da prestação principal.

Uma terceira funcionalidade pode ser concebida em conjunto. Imagine que ambas as partes definem um novo fluxo que combina dados para alcançar um objetivo comum e que as decisões complementares de ambas são indispensáveis. Aí deve ser testado o controlo conjunto. A mera ativação de uma opção normalizada, sem participação do cliente na finalidade ou nos meios essenciais, não basta por si só.

O exemplo permanece deliberadamente abstrato porque uma categoria profissional ou uma forma comercial pode receber tratamento jurídico diferente entre Estados-Membros. O teste transporta-se; o rótulo profissional não. Descreva a operação, a decisão e a prova sem usar a profissão como substituto da análise.

O resultado pode, portanto, ser uma matriz: atividade A, subcontratação; atividade B, responsáveis separados; atividade C, possível controlo conjunto. Uma única cláusula geral não documenta bem essa realidade. Separe anexos, finalidades e instruções para que cada parte saiba em que função atua em cada fluxo.

Encaminhe o resultado para os termos certos

Depois de classificar, escolha o instrumento que torna a relação operável. A forma errada não cura os factos. Um acordo de subcontratação não elimina finalidades próprias; termos entre responsáveis não autorizam um prestador a ignorar instruções; um acordo de controlo conjunto não cria decisões conjuntas que nunca existiram.

Antes de redigir, confirme a identidade jurídica das partes e a atividade abrangida. Um instrumento pode estar incorporado em termos de serviço, desde que seja vinculativo, completo e aplicável às entidades certas; o nome do ficheiro, a existência de uma página de assinatura ou a posição da cláusula no contrato comercial não determinam a função.

Uma relação com várias atividades pode precisar de mais de uma rota sem duplicar indiscriminadamente o contrato. O acordo principal pode identificar blocos separados, com um anexo de artigo 28 para o tratamento por conta do cliente, termos de transmissão para finalidades autónomas e, se o teste factual o justificar, uma secção de artigo 26 limitada às fases controladas em conjunto; as fronteiras, as regras de prevalência e os canais operacionais devem impedir que uma cláusula contradiga a outra.

Registe também a conclusão «nenhuma relação relevante» quando sustentada. Se não há dados pessoais, mantenha a análise que demonstra isso e defina um gatilho para revisão. Se uma entidade não participa na atividade, documente a fronteira que a exclui. Uma conclusão negativa bem fundada é mais útil do que um contrato preventivo sem objeto.

O objetivo do encaminhamento é alinhar factos, obrigações e operação. Se a negociação revelar uma finalidade escondida, uma reutilização independente ou uma decisão conjunta, volte à classificação; não adapte apenas a redação, pois o mapa da atividade, o instrumento aplicável e todas as rotas afetadas precisam de refletir a descoberta.

Conserve um registo de decisão reutilizável

Uma decisão de função deve poder ser compreendida por alguém que não participou na reunião. Guarde um registo curto, apoiado por provas, e ligue-o ao contrato e ao mapa do tratamento. O modelo seguinte contém dez linhas deliberadas; eliminar uma delas torna mais difícil rever a conclusão quando os factos mudarem.

Não transforme o registo numa coleção de conclusões sem razões. Para cada decisão essencial, associe uma prova e explique a inferência. «Fornecedor escolheu a retenção» é insuficiente; indique onde a escolha aparece, se podia ser alterada e a finalidade que serve. A distinção entre proposta técnica e poder decisório deve ser verificável.

Use versões. A classificação válida em setembro pode deixar de descrever o serviço depois de uma integração, de uma funcionalidade analítica ou de um novo uso de dados. Uma versão datada preserva a decisão anterior, permite localizar o momento da mudança e demonstra que a análise acompanhou a operação.

O registo não substitui o inventário de tratamentos nem o contrato. Liga ambos: o inventário mostra a atividade; a decisão explica a função; o instrumento atribui obrigações. Esta ligação evita que equipas diferentes mantenham respostas incompatíveis para o mesmo fluxo.

Os deveres imediatos seguem a função

O responsável continua obrigado a demonstrar a conformidade do tratamento que determina. Deve escolher subcontratantes com garantias suficientes, emitir instruções lícitas, assegurar fundamento e transparência, responder a direitos, definir conservação e supervisionar a relação. Delegar execução não delega a responsabilidade de escolher e controlar a estrutura.

O subcontratante trata dados apenas segundo instruções documentadas, garante confidencialidade, aplica segurança adequada, controla a cadeia autorizada e presta a assistência exigida. Tem também deveres diretamente aplicáveis pelo RGPD. Se considerar que uma instrução viola o direito da União ou de um Estado-Membro, deve informar imediatamente o responsável, em vez de a executar em silêncio ¹.

Responsáveis conjuntos distribuem responsabilidades de modo transparente, em especial quanto à informação e ao exercício de direitos. A pessoa pode exercer os seus direitos relativamente a cada responsável, independentemente da organização interna. O acordo precisa de funcionar na prática: canais monitorizados, proprietários nomeados e encaminhamento que não obrigue a pessoa a compreender a divisão contratual.

Responsáveis separados, por sua vez, assumem cada um os deveres relativos às finalidades que decidiram. A transmissão entre eles precisa de uma base válida e de transparência adequada, mas não converte um no subcontratante do outro. Se uma parte começar a seguir instruções para uma atividade diferente, classifique essa nova atividade por si mesma.

Para obter orientação ou apresentar uma questão à autoridade competente em Portugal, consulte os contactos da Comissão Nacional de Proteção de Dados (CNPD). Esse contacto não substitui a análise factual nem transforma a autoridade numa parte do contrato.

Reavalie quando os factos mudarem

A classificação não é um atributo permanente do fornecedor. Reabra-a quando mudar a finalidade, quando entrarem novos dados ou grupos de pessoas, quando forem acrescentados destinatários, quando a retenção se alongar ou quando novos utilizadores e integrações alterarem o fluxo. Cada mudança pode deslocar uma decisão de execução para o domínio dos meios essenciais.

Inclua também a cadeia. Um novo subcontratante, uma nova localização ou uma alteração de acesso pode afetar instruções, segurança e supervisão. A cadeia não muda automaticamente a função principal, mas pode revelar que o prestador assumiu decisões que o mapa anterior atribuía ao cliente. Compare a prática atual com o registo de decisão.

Três sinais exigem atenção imediata: reutilização independente dos dados, treino de um modelo para finalidade própria e recusa em respeitar a fronteira das instruções. Nenhum prova isoladamente a classificação final; todos justificam separar a operação adicional e reconstruir finalidade e meios essenciais.

Defina gatilhos no processo de alteração do serviço, não apenas uma revisão anual. Compras, produto, segurança, privacidade e gestão contratual devem saber quem atualiza o registo. Uma revisão periódica continua útil para detetar mudanças não comunicadas, mas não deve ser a primeira ocasião em que uma transformação ocorrida meses antes é analisada.

Feche cada revisão com uma decisão operacional: manter a função e a prova, alterar o instrumento, separar uma atividade ou suspender um uso até a classificação estar resolvida. Assim, «responsável pelo tratamento ou subcontratante» deixa de ser uma etiqueta negociada e passa a ser uma conclusão reproduzível sobre factos atuais.