Direito · 7 de novembro de 2026 · 6 min de leitura
Contrato de subcontratação: lista de verificação para ferramentas web
Quando precisa de um contrato de subcontratação nos termos do art. 28.º do RGPD, que conteúdos obrigatórios tem e o que verificar em ferramentas de análise e marketing.
Quase todas as ferramentas que utiliza no seu website tratam dados por sua conta: análise web, newsletter, CRM, mapa de calor, chat. Assim que estão em causa dados pessoais, o RGPD exige um contrato com o fornecedor. Chama-se contrato de subcontratação (em alemão Auftragsverarbeitungsvertrag, abreviado AV-Vertrag ou AVV). Este artigo explica quando precisa dele, o que deve constar e em que deve pensar ao escolher uma ferramenta.
Quando precisa de um contrato de subcontratação
O art. 28.º do RGPD aplica-se quando um prestador de serviços trata dados pessoais por sua conta e segundo as suas instruções. Nesse caso, você é o responsável pelo tratamento e o fornecedor é o subcontratante. O texto legal encontra-o no RGPD no EUR-Lex.
Nem toda a relação é subcontratação. Deve distinguir três situações:
| Situação | Característica | Contrato |
|---|---|---|
| Subcontratação | O fornecedor age apenas segundo as suas instruções | Contrato de subcontratação nos termos do art. 28.º |
| Responsabilidade conjunta | Você e o fornecedor decidem em conjunto sobre finalidade e meios | Acordo nos termos do art. 26.º |
| Responsável próprio | O fornecedor usa os dados para fins próprios | Consoante o caso, fundamento jurídico próprio e transferência |
O decisivo é quem determina a finalidade e os meios, e não o nome do contrato. Um fornecedor que usa os dados também para fins próprios, por exemplo para melhorar os seus produtos para além do serviço prestado a si, deixa de ser subcontratante nessa parte. Nos termos do art. 28.º, n.º 10, um subcontratante que determina ele próprio finalidade e meios é considerado responsável pelo tratamento relativamente a esse tratamento.
Conteúdos obrigatórios nos termos do art. 28.º, n.º 3
O contrato tem de fixar o objeto e a duração do tratamento, a natureza e a finalidade, o tipo de dados e as categorias de titulares. Além disso, tem de prever que o subcontratante:
- a) trata os dados apenas mediante instrução documentada, também nas transferências para um país terceiro,
- b) recorre a pessoas obrigadas a confidencialidade,
- c) adota as medidas previstas no art. 32.º,
- d) cumpre as condições para a contratação de outros subcontratantes,
- e) apoia-o nos pedidos dos titulares dos dados,
- f) apoia-o nas obrigações decorrentes dos arts. 32.º a 36.º,
- g) apaga ou devolve os dados, à sua escolha, após o fim do serviço,
- h) fornece provas e permite verificações.
O contrato deve ser celebrado por escrito, sendo suficiente o formato eletrónico (n.º 9). Um modelo de referência é oferecido pela Comissão Europeia com as cláusulas contratuais-tipo para a subcontratação. Nos termos do art. 28.º, n.º 6, o contrato pode basear-se total ou parcialmente nelas.
Subcontratantes ulteriores
Se o fornecedor recorrer ele próprio a prestadores de serviços, por exemplo a um fornecedor de alojamento, aplicam-se duas regras do art. 28.º, n.os 2 e 4:
- Precisa da sua autorização prévia, específica ou geral, por escrito. Em caso de autorização geral, tem de o informar de qualquer alteração prevista. Pode então opor-se.
- Tem de impor aos subcontratantes ulteriores as mesmas obrigações de proteção de dados. Se um subcontratante ulterior não as cumprir, o primeiro subcontratante responde perante si.
Por isso, peça ao fornecedor uma lista atualizada dos seus subcontratantes ulteriores, com sede e função.
País terceiro
Se os dados forem tratados fora da UE e do EEE ou puderem ser consultados a partir de lá, aplicam-se adicionalmente as regras para transferências para países terceiros (capítulo V, art. 44.º e seguintes do RGPD). Existem habitualmente três vias: uma decisão de adequação da Comissão, cláusulas contratuais-tipo para a transferência ou regras vinculativas aplicáveis às empresas. Para os EUA existe desde 2023 uma decisão de adequação sobre o quadro de privacidade de dados UE-EUA. Aplica-se apenas a empresas que participam no quadro. É contestada em tribunal, por isso verifique a situação atual. Um servidor na UE resolve a questão se nem o fornecedor nem um subcontratante ulterior de um país terceiro puderem aceder aos dados.
Lista de verificação para ferramentas de análise e marketing
- Esclarecer o papel. O fornecedor trata apenas por sua conta ou também para fins próprios?
- Verificar o contrato. Constam todos os pontos do art. 28.º, n.º 3?
- Descrever os dados. Estão indicados de forma concreta o tipo de dados e as categorias de titulares?
- Ver os subcontratantes ulteriores. Existe uma lista e um procedimento em caso de alterações?
- Perguntar a localização do servidor. Onde estão os dados, quem pode aceder?
- Documentar a via do país terceiro. Que fundamento sustenta uma transferência?
- Regular o apagamento. O que acontece aos dados após o fim do contrato?
- Ler as medidas técnicas. Cifragem, direitos de acesso, registo de atividade.
Junte o contrato à sua documentação e inclua a ferramenta no seu registo das atividades de tratamento nos termos do art. 30.º do RGPD. Sobretudo em ferramentas que só carregam após o consentimento, o contrato é um segundo pressuposto, independente. O consentimento no dispositivo não o substitui, como mostra § 25 TDDDG: cookies e rastreamento na Alemanha.
O que ameaça em caso de infração
Se o contrato faltar ou estiver incompleto, a autoridade de controlo pode contestá-lo. Para infrações às obrigações do art. 28.º, o art. 83.º, n.º 4 do RGPD prevê coimas até 10 milhões de euros ou até 2 % do volume de negócios anual mundial, consoante o que for mais elevado. Esse é o quadro, não uma previsão para um caso concreto.
E na Suíça?
A lei suíça de proteção de dados regula o tratamento por subcontratantes no art. 9.º da LPD (DSG). A ideia é semelhante, a formulação é diferente. Quem se dirige a titulares de dados na UE precisa, em regra, do contrato nos termos do RGPD. Se isso se aplica à sua oferta, explica-o Rastreamento de websites na Suíça: revDSG e FMG.
Perguntas frequentes
Preciso de um contrato de subcontratação se a ferramenta só mostrar nomes de empresas? Depende de o fornecedor tratar, nesse processo, dados pessoais por sua conta, por exemplo endereços IP, mesmo que apenas por breves instantes. Em caso de dúvida, celebre o contrato, que não custa praticamente nada. Se um endereço IP é pessoal, explica-o Endereço IP e RGPD: é um dado pessoal?.
Basta aceitar as condições gerais do fornecedor? Apenas se nelas constarem todos os conteúdos obrigatórios e se a regulamentação for claramente reconhecível como contrato ou adenda. Muitos fornecedores disponibilizam o contrato de subcontratação como documento próprio para celebração.
Tenho de assinar o contrato? Tem de ser redigido por escrito. Um formato eletrónico é suficiente nos termos do art. 28.º, n.º 9, pelo que a celebração por clique é habitual.
