Quando uma empresa trata dados pessoais de contactos de fornecedores e contrapartes comerciais no âmbito de uma relação de fornecimento. A base jurídica mais frequentemente invocada ao abrigo do Regulamento Geral sobre a Proteção de Dados (RGPD) é o interesse legítimo do responsável pelo tratamento ou, em alternativa, a execução de um contrato. A escolha entre estas bases. e a sua correta documentação. não é meramente formal: determina os direitos que a contraparte pode exercer, a duração do tratamento. As obrigações de notificação e a exposição ao risco regulatório caso o relacionamento comercial se deteriore ou a autoridade de controlo inicie uma investigação.
Por que a base jurídica importa especialmente nas cadeias de fornecimento
As cadeias de fornecimento envolvem múltiplos fluxos de dados pessoais que raramente são identificados como tal: nomes e endereços eletrónicos de gestores de conta. Dados de faturação associados a pessoas singulares, registos de visitas a instalações, comunicações negociais e até avaliações de desempenho de parceiros. Em contexto B2B, existe uma tendência generalizada de presumir que o RGPD não se aplica – porque os dados dizem respeito a "empresas", não a particulares. Esta presunção está errada.
Dados de pessoas singulares em contexto profissional. como o endereço de email de um diretor de compras ou o número de telemóvel de um técnico de manutenção – são dados pessoais para efeitos do RGPD. O facto de serem tratados no âmbito de uma relação B2B não os exclui do campo de aplicação do regulamento. Ignorar este ponto cria um risco de fornecimento concreto: o responsável pelo tratamento pode estar a operar sem base jurídica válida para um conjunto significativo de operações de tratamento.
As três bases jurídicas mais relevantes no contexto de fornecimento
1. Execução de contrato (artigo 6.º, n.º 1, alínea b) do RGPD)
Esta base aplica-se quando o tratamento é necessário para a execução de um contrato em que o titular dos dados é parte. No contexto B2B, a sua aplicação é mais limitada do que muitas vezes se assume: abrange, em rigor. Apenas os dados do interlocutor que é efetivamente parte no contrato. por exemplo, um empresário em nome individual. Quando o contrato é celebrado entre duas pessoas coletivas e os dados tratados pertencem a colaboradores dessas entidades. A base de execução contratual não se aplica diretamente a esses colaboradores, porque eles não são parte no contrato.
2. Interesse legítimo (artigo 6.º, n.º 1, alínea f) do RGPD)
Esta é, na prática, a base jurídica mais utilizada para o tratamento de dados de contactos profissionais de fornecedores e contrapartes. O responsável pelo tratamento deve realizar um teste de ponderação – balancing test – que comprove que o seu interesse legítimo prevalece sobre os interesses ou direitos e liberdades fundamentais dos titulares dos dados. O teste deve ser documentado e deve ter em conta a razoabilidade das expectativas dos titulares: um gestor de conta de um fornecedor espera razoavelmente que os seus dados de contacto profissional sejam tratados para fins de gestão do relacionamento comercial.
O interesse legítimo oferece maior flexibilidade operacional, mas não é uma base residual ou um "curinga". A ponderação tem de ser genuína, proporcional e documentada no registo das atividades de tratamento. Caso a autoridade de controlo solicite esse registo – o que pode suceder numa auditoria ou na sequência de uma reclamação – a ausência de documentação adequada constitui, por si só, uma infração.
3. Cumprimento de obrigação jurídica (artigo 6.º, n.º 1, alínea c) do RGPD)
Algumas operações de tratamento no âmbito de cadeias de fornecimento são impostas por lei. por exemplo. A conservação de dados de faturação para efeitos fiscais ou o registo de visitantes para cumprimento de normas de segurança. Nestes casos, a obrigação jurídica específica deve ser identificada e documentada. Esta base não cobre o tratamento além do estritamente necessário para cumprir a obrigação em causa.
O risco específico do ângulo de fornecimento
O risco de fornecimento em matéria de proteção de dados manifesta-se em dois planos distintos: o plano regulatório e o plano contratual.
Plano regulatório: A autoridade de controlo competente. em Portugal, a Comissão Nacional de Proteção de Dados (CNPD). pode iniciar uma investigação na sequência de uma reclamação de um titular dos dados (por exemplo. Um ex-colaborador de um fornecedor que exerce o direito de apagamento) ou no âmbito de uma fiscalização setorial. Se a empresa não conseguir demonstrar a base jurídica do tratamento, enfrenta risco de coima, ordens de limitação do tratamento e publicidade negativa. A inexistência de um registo das atividades de tratamento atualizado, ou a ausência de uma política de retenção documentada, agravam materialmente esse risco.
Plano contratual: Nas relações com grandes compradores. nomeadamente empresas cotadas. Entidades públicas ou grupos multinacionais com programas de conformidade robustos. é crescente a prática de incluir cláusulas contratuais que obrigam os fornecedores a demonstrar conformidade com o RGPD como condição de manutenção do contrato. Um fornecedor que não consiga apresentar documentação adequada sobre as bases jurídicas do tratamento pode ver o contrato não renovado ou ser excluído de concursos. Este é um risco comercial direto, não apenas regulatório.
O que deve estar documentado: lista de verificação mínima
Para que o tratamento de dados de contrapartes e fornecedores esteja em conformidade, o responsável pelo tratamento deve ter documentado, no mínimo, os seguintes elementos:
Registo das atividades de tratamento (artigo 30.º do RGPD): Deve identificar, para cada categoria de tratamento, a finalidade. As categorias de dados e de titulares, as bases jurídicas, os prazos de conservação, as transferências para países terceiros (se aplicável) e as medidas de segurança. Este registo é obrigatório para organizações com mais de 250 trabalhadores e, na prática, recomendável para qualquer empresa com atividade comercial regular.
Balancing test para o interesse legítimo: Sempre que esta base seja invocada. Deve existir um documento que identifique o interesse legítimo prosseguido, avalie o impacto sobre os titulares e conclua pela prevalência do interesse do responsável. Este documento deve ser atualizado quando as circunstâncias mudem.
Avisos de privacidade direcionados a contactos B2B: O artigo 13.º do RGPD obriga o responsável a prestar informação aos titulares no momento em que os dados são obtidos. No contexto de fornecimento, isto implica, no mínimo, um aviso de privacidade acessível (por exemplo. No rodapé dos emails corporativos ou nas condições gerais de contratação) que identifique o responsável, as finalidades, as bases jurídicas e os direitos dos titulares.
Procedimentos de resposta a exercício de direitos: Os titulares têm o direito de acesso, retificação, apagamento (com as limitações aplicáveis quando o tratamento se baseia em interesse legítimo ou obrigação jurídica), oposição e portabilidade. A empresa deve ter um procedimento documentado para responder a estes pedidos dentro dos prazos legais – em regra, um mês a contar da receção do pedido.
Política de retenção: Os dados não podem ser conservados por mais tempo do que o necessário para as finalidades que justificaram o seu tratamento. No contexto de fornecimento, isto implica definir prazos diferenciados: os dados de contacto de um fornecedor ativo têm uma lógica de retenção diferente dos dados de um fornecedor cujo contrato cessou há vários anos.
Transferências internacionais no contexto de cadeias de fornecimento globais
As cadeias de fornecimento internacionais introduzem uma camada adicional de complexidade: sempre que dados pessoais de titulares na União Europeia são transferidos para um país terceiro. por exemplo. Porque o software de gestão de fornecedores é alojado nos Estados Unidos, ou porque a sede do grupo recebe relatórios consolidados com dados nominativos. aplicam-se as regras do Capítulo V do RGPD.
As transferências para países terceiros sem decisão de adequação da Comissão Europeia exigem garantias adequadas, como cláusulas contratuais-tipo adotadas pela Comissão ou regras vinculativas aplicáveis às empresas. A utilização de serviços de cloud ou plataformas de gestão de fornecedores alojadas fora do Espaço Económico Europeu sem a documentação de transferência adequada constitui um risco regulatório frequentemente subestimado pelas empresas de média dimensão.
Situações de risco elevado: due diligence pré-contratual
Antes de celebrar um contrato de fornecimento de longa duração, ou de integrar um novo fornecedor num processo industrial sensível, a due diligence de proteção de dados deve cobrir, pelo menos, os seguintes pontos:
Verificação da qualidade de subcontratante: Se o fornecedor vai tratar dados pessoais em nome da empresa contratante. por exemplo. Um prestador de serviços de tecnologia de informação que acede a bases de dados com dados de clientes. a relação jurídica deve ser formalizada através de um contrato de subcontratação nos termos do artigo 28.º do RGPD. A ausência deste contrato expõe tanto o responsável como o subcontratante a risco regulatório.
Avaliação das práticas de segurança do fornecedor: O artigo 32.º do RGPD obriga o responsável e o subcontratante a implementar medidas técnicas e organizativas adequadas. Em contexto de fornecimento, isto pode implicar solicitar ao fornecedor evidências das suas práticas de segurança. por exemplo, existência de política de segurança da informação, mecanismos de controlo de acesso, procedimentos de resposta a incidentes.
Cláusulas de notificação de violações de dados: O RGPD exige que as violações de dados pessoais sejam notificadas à autoridade de controlo no prazo de 72 horas após o responsável ter tomado conhecimento. Quando o fornecedor é subcontratante, deve notificar o responsável sem demora injustificada após detetar uma violação. Esta obrigação deve estar expressamente prevista no contrato de subcontratação.
O que fazer quando a base jurídica é contestada
Pode acontecer que um titular dos dados. por exemplo, um gestor de conta de um ex-fornecedor. conteste a base jurídica do tratamento dos seus dados e exerça o direito de oposição ou solicite o apagamento. O procedimento interno deve prever como responder a este cenário de forma documentada e dentro dos prazos legais.
Quando o tratamento se baseia em interesse legítimo, o direito de oposição é exercível; no entanto, o responsável pode manter o tratamento se demonstrar razões imperiosas e legítimas que prevaleçam sobre os interesses do titular. Esta demonstração tem de ser feita caso a caso e documentada. A recusa de apagamento sem fundamentação adequada constitui risco de reclamação à CNPD.
Quando o tratamento se baseia em obrigação jurídica. por exemplo, a conservação de faturas para efeitos fiscais. o direito de apagamento não prevalece sobre essa obrigação. Mas o responsável deve informar o titular dos motivos da recusa de forma clara e compreensível.
Quando consultar assessoria jurídica especializada
A determinação da base jurídica adequada para cada operação de tratamento, a redação de avisos de privacidade B2B juridicamente sólidos. A negociação de cláusulas de proteção de dados em contratos de fornecimento e a realização de avaliações de impacto sobre a proteção de dados (AIPD) em situações de risco elevado são tarefas que requerem conhecimento técnico-jurídico especializado. Um erro de qualificação na base jurídica pode ter consequências desproporcionadas face ao custo de uma revisão prévia.
A equipa de proteção de dados da Ferraz & Whitmore apoia empresas na análise das suas práticas de tratamento em contexto de fornecimento, na elaboração de documentação de conformidade e na gestão de incidentes regulatórios. Para uma primeira análise da situação da sua empresa, pode contactar-nos através de info@ferrazwhitmore.com ou consultar a página de contactos.
Disclaimer: Este artigo tem caráter informativo e não constitui aconselhamento jurídico. As situações concretas podem variar significativamente em função das circunstâncias específicas de cada empresa e da interpretação das autoridades de controlo competentes. Para análise da sua situação particular, recomenda-se a consulta de advogado especializado.