SCC Cláusulas Contratuais Padrão.

O que as SCC realmente fazem

As cláusulas contratuais-tipo são um contrato pré-redigido entre um exportador de dados na UE e um importador num país sem decisão de adequação. Ao assiná-las, o importador compromete-se com obrigações de nível GDPR: limitação das finalidades, segurança, controlos de transferências ulteriores, direitos dos titulares dos dados e cooperação com a autoridade de controlo. Como a Comissão Europeia já aprovou a redação, não é necessário negociar nem justificar as cláusulas em si, razão pela qual constituem o mecanismo de transferência por defeito para quase qualquer relação SaaS, cloud ou de subcontratante fora da UE.

As cláusulas são modulares. Escolhe-se o módulo que corresponde à relação real: responsável a responsável, responsável a subcontratante, subcontratante a subcontratante, ou subcontratante a responsável. Errar o módulo é o erro de redação mais comum, porque as obrigações e os pontos de acoplamento para subcontratantes diferem entre eles. As SCC incluem também uma cláusula de acoplamento que permite a novas partes aderir a um conjunto existente, o que mantém geríveis as longas cadeias de subcontratantes.

Por que a TIA mudou o jogo

Antes do acórdão Schrems II de 2020, assinar as SCC era considerado suficiente por si só. O Tribunal de Justiça pôs fim a isso. Decidiu que compromissos contratuais não podem vincular um governo estrangeiro, pelo que o exportador deve avaliar se o importador consegue honrar genuinamente as cláusulas face à legislação local de vigilância e acesso. Essa avaliação é a avaliação de impacto da transferência. Na prática, documenta-se o país de destino, as leis que poderiam obrigar à divulgação, a natureza e a sensibilidade dos dados, e se medidas suplementares como cifragem forte, pseudonimização ou processamento fracionado fecham qualquer lacuna que se encontre.

Se a TIA concluir que o importador não consegue cumprir os compromissos das SCC e nenhuma medida suplementar o resolve, a transferência não deve prosseguir com base nas SCC. É aqui que as SCC diferem nitidamente de uma decisão de adequação: a adequação é uma constatação da Comissão que elimina o ónus caso a caso, ao passo que as SCC transferem esse ónus para si em cada transferência. O EU-US Data Privacy Framework oferece agora uma via de adequação para importadores norte-americanos certificados, mas as SCC continuam a ser o instrumento de referência para qualquer outro país terceiro e para os fornecedores norte-americanos que não estão certificados.

O que os profissionais realmente fazem

Um processo de SCC que funciona é repetível, não um exercício jurídico pontual. O padrão em que a maioria das equipas se fixa é o seguinte.

1. Mapear a transferência: identificar o exportador, o importador, as categorias de dados e o módulo correto antes de tocar no modelo.
2. Preencher os anexos: as partes, a descrição do tratamento e as medidas de segurança técnicas e organizativas. Anexos vagos são a parte que os reguladores questionam primeiro.
3. Executar e documentar a TIA, incluindo quaisquer medidas suplementares, e conservá-la junto com as cláusulas assinadas.
4. Integrar as SCC no onboarding de fornecedores para que sejam assinadas antes de os dados fluírem, e não acrescentadas a posteriori depois de uma auditoria detetar a lacuna.
5. Reanalisar quando o fornecedor muda de subcontratantes, quando o país de destino ou as suas leis mudam, ou segundo uma cadência fixa.

As SCC inserem-se na sua narrativa mais ampla de responsabilização do GDPR. Remetem para os registos das atividades de tratamento, para a DPIA quando esta é exigida e para os controlos de segurança a que já se comprometeu. Tratadas como documentos vivos em vez de uma assinatura recolhida uma única vez, são a diferença entre uma transferência que pode defender e outra que desmorona no momento em que um regulador ou um titular dos dados pergunta como protege os dados que saem da UE.