Subcontratante
Um subcontratante é uma entidade que trata dados pessoais em nome e sob as instruções de um responsável pelo tratamento. No contexto da publicidade política, os subcontratantes tratam dados pessoais para fins de segmentação ou entrega de anúncios, mas não decidem como ou porquê os dados são utilizados. O responsável pelo tratamento permanece como o principal responsável pelo tratamento lícito.
Fundamento Jurídico
"«Subcontratante», uma pessoa singular ou coletiva, autoridade pública, agência ou outro organismo que trate os dados pessoais por conta do responsável pelo tratamento."
— Artigo 4.º, n.º 8, Regulamento (UE) 2016/679 (RGPD)
Embora o Regulamento (UE) 2024/900 não defina subcontratante, faz referência à legislação em matéria de proteção de dados e atribui obrigações específicas aos responsáveis pelo tratamento e aos subcontratantes quando são utilizados dados pessoais para a segmentação de publicidade política em linha.
Porque É Importante
Compreender o papel dos subcontratantes é crucial para o cumprimento tanto do RGPD como do regulamento relativo à publicidade política. Quando um partido político, campanha ou patrocinador utiliza uma plataforma em linha, fornecedor de tecnologia publicitária ou empresa de análise para entregar anúncios políticos segmentados, esse fornecedor atua tipicamente como subcontratante. O patrocinador ou agente político permanece como responsável pelo tratamento e deve assegurar que o subcontratante cumpre todos os requisitos legais.
Os subcontratantes devem implementar medidas técnicas e organizativas adequadas, auxiliar os responsáveis pelo tratamento no cumprimento das suas obrigações (como responder a pedidos dos titulares dos dados) e tratar dados apenas mediante instruções documentadas. Não podem utilizar dados pessoais para os seus próprios fins. Se um subcontratante determinar os seus próprios fins para o tratamento, torna-se responsável pelo tratamento e assume a plena responsabilidade ao abrigo da legislação em matéria de proteção de dados.
Para a publicidade política, esta distinção é relevante porque a segmentação que utiliza dados pessoais é fortemente restringida ao abrigo do Capítulo III do Regulamento (UE) 2024/900. Os responsáveis pelo tratamento devem assegurar que os seus subcontratantes cumprem as limitações à segmentação, os requisitos de consentimento e as proibições de utilização de determinadas categorias de dados sensíveis.
Pontos-Chave
- Age sob instruções: Os subcontratantes tratam dados pessoais apenas conforme indicado pelo responsável pelo tratamento; não podem decidir como ou porquê os dados são tratados.
- Permanece responsável: Os responsáveis pelo tratamento são, em última instância, responsáveis por assegurar que os subcontratantes cumprem o RGPD e as regras relativas à publicidade política.
- Acordos escritos obrigatórios: Os responsáveis pelo tratamento devem ter um contrato ou ato jurídico com os subcontratantes especificando os termos do tratamento, as medidas de segurança e as obrigações.
- Auxilia no cumprimento: Os subcontratantes devem ajudar os responsáveis pelo tratamento a responder aos pedidos de exercício de direitos dos titulares dos dados, a realizar avaliações de impacto e a notificar violações de dados.
- Pode tornar-se responsável pelo tratamento: Se um subcontratante determinar as finalidades e os meios de tratamento, é reclassificado como responsável pelo tratamento com plena responsabilidade jurídica.
- Regras específicas para segmentação: Quando os subcontratantes entregam anúncios políticos segmentados em linha, devem cumprir as restrições do Capítulo III e não podem utilizar categorias especiais de dados para fins de segmentação.
Subcontratante vs. Responsável pelo Tratamento
Um responsável pelo tratamento determina as finalidades e os meios de tratamento de dados pessoais—decidindo que dados recolher, como utilizá-los e porquê. Um subcontratante age apenas sob as instruções do responsável pelo tratamento e não toma essas decisões.
Na publicidade política, um partido político que decide realizar uma campanha publicitária segmentada é o responsável pelo tratamento. A plataforma de redes sociais ou serviço de tecnologia publicitária que entrega esses anúncios de acordo com as instruções do partido é o subcontratante. Se a plataforma também utilizar os dados para os seus próprios fins (por exemplo, melhorar o seu algoritmo de recomendação), atua como responsável pelo tratamento para essa finalidade distinta.
A distinção é crítica porque os responsáveis pelo tratamento e os subcontratantes têm obrigações diferentes ao abrigo do RGPD, e a responsabilidade pelo não cumprimento recai, em última instância, sobre o responsável pelo tratamento.