O compartilhamento de dados é essencial para o comércio moderno. Seja ao integrar um novo provedor de nuvem, colaborar com uma agência de marketing ou incorporar um sistema de RH de terceiros, os dados pessoais fluem constantemente entre as organizações. Mas eis a verdade incômoda: a maioria das empresas subestima o complexo cenário jurídico que o compartilhamento de dados representa sob o Regulamento Geral de Proteção de Dados (RGPD).
As consequências são reais. As multas podem chegar a 20 milhões de euros ou 4% do faturamento anual global — o que for maior. Além das penalidades financeiras, você corre o risco de danos à reputação, fiscalização regulatória e ações de responsabilidade civil por parte dos indivíduos afetados. A Autoridade Holandesa de Proteção de Dados (Autoriteit Persoonsgegevens, ou AP) deixou claro: ignorância não é justificativa.
Este artigo aborda sete riscos críticos do RGPD (Regulamento Geral sobre a Proteção de Dados) que surgem ao compartilhar dados pessoais. Cada risco é fundamentado em disposições específicas do RGPD, ilustrado com consequências reais e acompanhado de orientações práticas para ajudá-lo a manter a conformidade. Seja você proprietário de uma empresa, responsável pela conformidade ou profissional da área jurídica atuante na Holanda, compreender essas armadilhas é essencial.
1. Partilha de dados sem fundamento jurídico válido (artigo 6.º do RGPD)
O risco: Não se pode compartilhar dados pessoais apenas por conveniência ou benefício. Cada compartilhamento de dados exige uma base legal válida, conforme o Artigo 6º do RGPD (Regulamento Geral sobre a Proteção de Dados).
Por que as empresas erram: Muitas organizações presumem que ter uma razão comercial para compartilhar dados é suficiente. Não é. O GDPR prevê seis bases legais para o processamento de dados: consentimento, necessidade contratual, obrigação legal, interesses vitais, interesse público e interesses legítimos. Cada uma delas possui requisitos e limitações específicos.
Por exemplo, o argumento de “interesses legítimos” é frequentemente invocado para justificar o compartilhamento de dados com parceiros ou prestadores de serviços. Mas essa base exige uma análise cuidadosa de ponderação: seus interesses não devem se sobrepor aos direitos e liberdades dos indivíduos cujos dados você está processando. E você deve documentar essa avaliação.
Fundamento Jurídico: O Artigo 6 do RGPD estabelece a lista exaustiva de bases legais. O Artigo 5(1)(a) do RGPD exige que todo o tratamento de dados seja lícito, leal e transparente.
Consequência no mundo real: A AP aplicou multas a organizações que compartilharam dados de clientes com terceiros para fins de marketing sem uma base legal adequada. Mesmo que os dados tenham sido anonimizados ou agregados, se a reidentificação for possível, eles continuam sendo dados pessoais e exigem uma base legal.
Dica prática: Antes de compartilhar quaisquer dados pessoais, identifique e documente qual base legal se aplica. Se a base legal for o interesse legítimo, realize e registre uma avaliação de interesse legítimo (AIL). Se o consentimento for o único fundamento jurídico, assegure-se de que ele seja livre, específico, informado e inequívoco.
2. Confusão sobre funções: Controlador vs. Processador (Artigo 4(7)–(8) do RGPD)
O risco: O RGPD distingue entre controladores (que determinam as finalidades e os meios de tratamento) e processadores (que tratam os dados em nome de um controlador). Identificar incorretamente a sua função — ou a do seu parceiro — cria sérias lacunas de conformidade.
Por que as empresas erram: Na prática, os papéis podem ser ambíguos. Se você compartilha dados com um provedor de SaaS, ele é um controlador ou um processador? E se ele usar seus dados para aprimorar seus algoritmos? Muitas empresas, por padrão, consideram todos os fornecedores como "processadores" sem analisar adequadamente a relação.
A classificação incorreta é importante porque os controladores e os processadores têm obrigações diferentes. Os controladores devem garantir que os processadores forneçam garantias suficientes de conformidade (Artigo 28 do RGPD). Os controladores conjuntos devem concordar com suas respectivas responsabilidades (Artigo 26 do RGPD). Se isso acontecer de forma incorreta, você poderá ser responsabilizado por violações que nem sequer sabia que estavam ocorrendo.
Fundamento jurídico: O artigo 4.º, n.ºs 7 e 8, do RGPD define “controlador” e “operador”. O artigo 24.º do RGPD descreve as obrigações de responsabilização do controlador.
Consequência no mundo real: O Tribunal de Justiça da União Europeia decidiu no caso Fashion ID (C-40/17) que mesmo a determinação parcial das finalidades pode torná-lo um controlador corresponsável. Isso significa que você pode ser responsabilizado solidariamente por violações do RGPD, mesmo que outra parte as tenha causado.
Dica prática: mapeie os fluxos de dados e determine quem decide por que e como os dados são processados. Documente isso por escrito e assegure-se de que cada parte compreenda seu papel e suas obrigações.
3. Ausência ou inadequação do acordo de processamento de dados (artigo 28.º do RGPD)
Risco: Se você contratar um processador para lidar com dados pessoais em seu nome, é legalmente obrigado a ter um contrato de processamento de dados (DPA) por escrito. Sem exceções.
Por que as empresas erram: É tentador ignorar a burocracia, especialmente com parceiros confiáveis ou de longa data. Mas, sem um DPA em conformidade, você estará infringindo o Artigo 28 do GDPR desde o primeiro dia — mesmo que nenhum dano real ocorra.
Uma Autoridade de Proteção de Dados (APD) adequada deve incluir cláusulas obrigatórias específicas: o objeto e a duração do processamento, a natureza e a finalidade do processamento, o tipo de dados pessoais, as categorias de titulares dos dados e as obrigações e direitos do controlador. Deve também abordar o subprocessamento, a segurança dos dados e a notificação de violação de dados.
Fundamento Jurídico: O Artigo 28(3) do RGPD lista o conteúdo obrigatório de um DPA. O Artigo 28(4) do RGPD exige autorização explícita para subcontratados.
Consequência no mundo real: A Autoridade de Proteção de Dados (AP) sancionou organizações por contratarem processadores sem acordos de proteção de dados adequados. Mesmo que o próprio processador esteja em conformidade, o controlador ainda pode ser multado por não ter celebrado um acordo apropriado.
Dica prática: Utilize um modelo de DPA padronizado que abranja todos os requisitos do Artigo 28(3). Revise os contratos existentes para garantir que estejam em conformidade com o RGPD. Não integre nenhum novo processador sem um DPA assinado.
4. Transferência ilegal para países terceiros fora do EEE (artigos 44.º a 49.º do RGPD e Schrems II)
Risco: A transferência de dados pessoais para fora do Espaço Econômico Europeu (EEE) é fortemente restrita. Você só pode fazê-lo se o país de destino fornecer um nível adequado de proteção ou se implementar as salvaguardas apropriadas.
Por que as empresas erram: Muitas empresas usam serviços em nuvem, processadores de pagamento ou ferramentas de análise hospedados nos EUA ou na Ásia sem perceber que estão acionando as regras de transferência internacional. Mesmo que seu contrato seja com uma entidade da UE, se os dados forem armazenados ou acessados fora do Espaço Econômico Europeu (EEE), as regras de transferência se aplicam.
A sentença Schrems II (Processo C-311/18) invalidou o Escudo de Privacidade UE-EUA e reforçou que as cláusulas contratuais padrão (CCPs) por si só não são suficientes. É necessário também realizar uma avaliação de impacto sobre a transferência (AIT) para verificar se as leis do país de destino comprometem a proteção garantida pelas CCPs.
Fundamento Jurídico: Os artigos 44 a 49 do RGPD regem as transferências internacionais. O Capítulo V do RGPD exige decisões de adequação (artigo 45) ou salvaguardas apropriadas (artigo 46), como as Cláusulas Contratuais Padrão (SCCs).
Consequências no mundo real: A AP pode ordenar a suspensão ou proibição de transferências de dados para países terceiros caso não existam salvaguardas adequadas. Empresas já enfrentaram medidas coercitivas e danos à reputação por transferirem dados para os EUA sem realizar uma Avaliação de Impacto na Transmissão de Dados (TIA) após o caso Schrems II.
Dica prática: Identifique todas as transferências para países terceiros nos seus fluxos de dados. Verifique se existe uma decisão de adequação. Caso contrário, implemente Cláusulas Contratuais Padrão (SCCs) e realize uma Avaliação de Impacto na Transferência (TIA). Documente as medidas suplementares, se necessário (por exemplo, criptografia, pseudonimização).
5. Falha na realização de uma Avaliação de Impacto sobre a Proteção de Dados (Artigo 35 do RGPD)
Risco: Uma Avaliação de Impacto sobre a Proteção de Dados (AIPD) é obrigatória quando o compartilhamento de dados provavelmente resultar em alto risco para os direitos e liberdades individuais. Isso inclui o processamento em larga escala de categorias especiais de dados, o monitoramento sistemático ou o uso de novas tecnologias.
Por que as empresas erram: Muitas organizações tratam as Avaliações de Impacto sobre a Proteção de Dados (AIPD) como opcionais ou relevantes apenas para projetos "grandes". Na realidade, o compartilhamento de dados de saúde com uma plataforma de análise de terceiros, a implementação de ferramentas de perfilamento baseadas em IA ou a combinação de conjuntos de dados de múltiplas fontes podem, em última análise, exigir uma AIPD.
Uma DPIA não é apenas um exercício burocrático. É um processo estruturado para identificar riscos, avaliar sua gravidade e determinar medidas para mitigá-los. Se os riscos residuais permanecerem elevados, você deve consultar o AP antes de prosseguir.
Fundamento Jurídico: O Artigo 35 do RGPD exige a realização de uma Avaliação de Impacto sobre a Proteção de Dados (AIPD) para o tratamento de dados de alto risco. A Autoridade de Proteção de Dados (AP) publicou diretrizes sobre quando uma AIPD é necessária.
Consequência no mundo real: A omissão na realização de uma Avaliação de Impacto sobre a Proteção de Dados (AIPD) quando exigida constitui, por si só, uma violação do RGPD. A Autoridade de Proteção de Dados (AP) multou organizações por prosseguirem com o compartilhamento de dados de alto risco sem concluir uma AIPD, mesmo quando não ocorreu nenhuma violação de dados efetiva.
Dica prática: Analise todas as atividades de compartilhamento de dados em busca de possíveis justificativas para uma Avaliação de Impacto sobre a Proteção de Dados (AIPD). Em caso de dúvida, realize uma. Envolva seu Encarregado de Proteção de Dados (DPO) e documente o processo de avaliação minuciosamente.
6. Informação inadequada aos titulares dos dados (artigos 13 e 14 do RGPD)
O risco: A transparência é um pilar fundamental do RGPD. Sempre que você coletar ou compartilhar dados pessoais, deverá informar os titulares dos dados sobre quem receberá seus dados, para qual finalidade e com qual fundamento jurídico.
Por que as empresas erram: os avisos de privacidade costumam ser vagos ou desatualizados. Frases como "podemos compartilhar seus dados com parceiros confiáveis" não são suficientes. É preciso especificar as categorias de destinatários (por exemplo, "provedores de hospedagem em nuvem", "agências de marketing") e, quando relevante, nomeá-los.
Quando os dados são obtidos indiretamente — por exemplo, de um corretor de dados ou outro controlador — o Artigo 14 do RGPD impõe obrigações adicionais de informação, incluindo a origem dos dados.
Fundamento Jurídico: Os artigos 13 e 14 do RGPD listam as informações que devem ser fornecidas aos titulares dos dados. O artigo 5.º, n.º 1, alínea a), do RGPD exige transparência em todas as atividades de tratamento de dados.
Consequência no mundo real: A AP já sancionou empresas por não informarem os indivíduos de que seus dados estavam sendo compartilhados com terceiros. Mesmo que o compartilhamento em si seja legal, a falta de transparência constitui uma violação por si só.
Dica prática: revise e atualize seus avisos de privacidade para descrever claramente as práticas de compartilhamento de dados. Certifique-se de que os avisos sejam facilmente acessíveis e escritos em linguagem simples. Ao compartilhar dados com novos parceiros, atualize seus avisos antes do início do compartilhamento.
7. Pseudonimização como uma falsa sensação de segurança
O risco: A pseudonimização — a substituição de identificadores diretos por códigos ou tokens — é incentivada pelo RGPD como medida de segurança. No entanto, isso não torna os dados anônimos. Se os dados ainda puderem ser vinculados a um indivíduo, eles continuam sendo dados pessoais e estão sujeitos a todas as disposições do RGPD.
Por que as empresas erram: Muitas vezes, as empresas presumem que dados pseudonimizados são “seguros” para compartilhar sem restrições. Na prática, a pseudonimização apenas reduz o risco; não o elimina. Se você compartilhar dados pseudonimizados com um parceiro que tenha acesso à chave ou a outros conjuntos de dados que permitam a reidentificação, você ainda estará processando dados pessoais.
Fundamento Jurídico: O Artigo 4(5) do RGPD define pseudonimização. O considerando 26 do RGPD esclarece que os dados pseudonimizados continuam a ser dados pessoais, a menos que sejam verdadeiramente anonimizados (ou seja, a reidentificação deixe de ser possível por quaisquer meios razoáveis).
Consequências no mundo real: A AP esclareceu em suas diretrizes que a pseudonimização não é uma "carta branca". Se a reidentificação for viável, todas as obrigações do GDPR se aplicam, incluindo ter uma base legal, realizar Avaliações de Impacto sobre a Proteção de Dados (AIPD) e garantir segurança adequada.
Dica prática: trate dados pseudonimizados como dados pessoais, a menos que você tenha passado por um processo rigoroso de anonimização validado por especialistas. Documente as medidas técnicas e organizacionais implementadas para evitar a reidentificação.
Perguntas frequentes
Quando é permitido o compartilhamento de dados ao abrigo do RGPD?
O compartilhamento de dados só é lícito se você tiver uma base legal válida, conforme o Artigo 6 do RGPD. As seis bases legais são: consentimento, necessidade contratual, obrigação legal, interesses vitais, interesse público e interesses legítimos. Você também deve cumprir os princípios da licitude, lealdade, transparência, limitação da finalidade, minimização dos dados, exatidão, limitação do armazenamento, integridade e confidencialidade (Artigo 5 do RGPD). Na prática, isso significa documentar claramente o motivo pelo qual você está compartilhando os dados, garantir que a finalidade esteja alinhada com o motivo pelo qual você os coletou originalmente e informar os titulares dos dados sobre o compartilhamento.
Qual a diferença entre um controlador e um processador?
O controlador determina as finalidades e os meios de processamento de dados pessoais. O processador processa os dados em nome do controlador, seguindo instruções específicas. Essa distinção é importante porque os controladores são os principais responsáveis pela conformidade com o RGPD (Regulamento Geral sobre a Proteção de Dados), enquanto os processadores têm obrigações mais limitadas (principalmente garantir a segurança e a confidencialidade). Se você compartilha dados com um fornecedor que os processa de acordo com suas instruções — por exemplo, um provedor de folha de pagamento ou um serviço de armazenamento em nuvem —, ele geralmente é um processador. Se ele também decide como usar os dados para seus próprios fins, pode ser um controlador (co-controlador). A identificação incorreta de funções pode levar a lacunas de responsabilidade e à responsabilização conjunta por violações de dados.
Quando um acordo de processamento de dados (DPA) é obrigatório?
Um DPA (Acordo de Processamento de Dados) é obrigatório sempre que você contratar um processador para lidar com dados pessoais em seu nome (Artigo 28 do RGPD). Isso se aplica independentemente do tamanho da sua organização ou do volume de dados envolvido. O DPA deve ser por escrito e incluir cláusulas obrigatórias específicas, como o objeto e a duração do processamento, a natureza e a finalidade, os tipos de dados e as categorias de titulares dos dados, bem como as obrigações de ambas as partes em relação à segurança, notificação de violação de dados e subprocessamento. Sem um DPA em conformidade, você estará em violação do RGPD desde o momento em que o processador iniciar o processamento, mesmo que nenhum dano ocorra.
Posso compartilhar dados de clientes com uma entidade fora da UE?
Sim, mas apenas se determinadas condições forem cumpridas. De acordo com os artigos 44 a 49 do RGPD, você pode transferir dados para um país terceiro se: (a) a Comissão Europeia tiver emitido uma decisão de adequação para esse país, ou (b) você tiver implementado salvaguardas adequadas, como cláusulas contratuais padrão (CCPs). Após a sentença Schrems II , você também deve realizar uma avaliação de impacto da transferência (AIT) para avaliar se as leis do país de destino (por exemplo, vigilância governamental) comprometem a proteção garantida pelas CCPs. Se os riscos persistirem, você deve implementar medidas suplementares, como criptografia ou minimização de dados. Transferências sem salvaguardas adequadas podem resultar em medidas coercitivas por parte da Autoridade de Proteção de Dados, incluindo a suspensão da transferência.
Quando é necessário um DPIA (Avaliação de Impacto sobre a Proteção de Dados) para o compartilhamento de dados?
Uma Avaliação de Impacto sobre a Proteção de Dados (AIPD) é obrigatória, nos termos do Artigo 35 do RGPD, quando o processamento de dados for suscetível de resultar num elevado risco para os direitos e liberdades individuais. Isto inclui: o processamento em larga escala de categorias especiais de dados (por exemplo, dados de saúde, biométricos e genéticos), a monitorização sistemática de áreas de acesso público, a tomada de decisões automatizada com efeitos jurídicos ou similares e a utilização de novas tecnologias. Ao partilhar dados, uma AIPD é frequentemente exigida se estiver a combinar conjuntos de dados, a partilhar informações sensíveis ou a utilizar os dados para a criação de perfis ou análises baseadas em inteligência artificial. A AP publicou uma lista de operações de processamento que requerem uma AIPD. Em caso de dúvida, realize uma — é melhor prevenir do que remediar.
Que multas as empresas podem enfrentar por violarem o RGPD?
O RGPD prevê dois níveis de multas. O nível inferior — até 10 milhões de euros ou 2% do volume de negócios anual global — aplica-se a infrações como a não implementação de medidas de segurança adequadas ou a não realização de uma Avaliação de Impacto sobre a Proteção de Dados (AIPD) quando exigida. O nível superior — até 20 milhões de euros ou 4% do volume de negócios anual global — aplica-se a infrações mais graves, incluindo a falta de uma base legal para o tratamento de dados, transferências internacionais ilegais ou violação dos direitos dos titulares dos dados. A Autoridade de Proteção de Dados (AP) determina o valor da multa com base em fatores como a natureza e a gravidade da infração, se foi intencional ou negligente, o número de indivíduos afetados e quaisquer medidas atenuantes tomadas. A aplicação recente da lei demonstra que a AP está disposta a impor multas substanciais, particularmente por violações sistémicas ou deliberadas.
É sempre seguro compartilhar dados pseudonimizados?
Não. A pseudonimização reduz o risco, mas não o elimina. De acordo com o Artigo 4(5) do RGPD, pseudonimizar significa substituir identificadores diretos (como nomes) por códigos ou pseudônimos. No entanto, se os dados ainda puderem ser vinculados a um indivíduo — por exemplo, usando informações adicionais detidas por você ou pelo destinatário — eles continuam sendo dados pessoais e estão totalmente sujeitos ao RGPD. Isso significa que você ainda precisa de uma base legal, deve informar os titulares dos dados e garantir segurança adequada. Somente a verdadeira anonimização — em que a reidentificação não é mais possível por nenhum meio razoável — remove os dados do escopo do RGPD. Na prática, alcançar uma anonimização genuína é difícil e requer validação especializada.
O que devo fazer se minha empresa sofrer uma violação de dados devido ao compartilhamento ilegal de dados?
Se você descobrir uma violação de dados pessoais — incluindo uma causada pelo compartilhamento ilegal de dados — você tem 72 horas para notificar a Autoridade de Proteção de Dados (AP) de acordo com o Artigo 33 do RGPD (a menos que seja improvável que a violação resulte em risco para os direitos e liberdades dos indivíduos). Você também deve notificar os indivíduos afetados sem demora injustificada se a violação for suscetível de resultar em alto risco para eles (Artigo 34 do RGPD). As medidas imediatas incluem: conter a violação, avaliar seu alcance e impacto, documentar o ocorrido e as medidas que você está tomando a respeito, e notificar a AP por meio de seu portal online. A falta de notificação pode resultar em multa. A AP avaliará se medidas coercitivas são justificadas com base na gravidade da violação e em sua resposta.
Proteja seu negócio — Obtenha orientação jurídica especializada.
O compartilhamento de dados é inevitável, mas as violações do GDPR não precisam ser. Os sete riscos descritos acima não são teóricos — eles são baseados em casos reais de fiscalização, decisões judiciais e orientações regulatórias. Cada um deles pode resultar em multas, ações judiciais e danos à reputação.
A boa notícia? Com a estrutura legal adequada, documentação clara e medidas de conformidade proativas, você pode compartilhar dados com segurança e dentro da lei. Mas fazer isso corretamente exige mais do que conselhos genéricos — exige suporte jurídico personalizado que entenda seu negócio, seus fluxos de dados e os riscos específicos que você enfrenta.
Não espere que a AP bata à sua porta. Se você não tem certeza se suas práticas de compartilhamento de dados estão em conformidade com o GDPR, ou se precisa de ajuda para elaborar DPAs, conduzir DPIAs ou gerenciar transferências internacionais, entre em contato com um advogado especializado em privacidade. Sua empresa — e seus clientes — merecem o melhor.
