Modelo pronto para estúdios: designação do subcontratante de dados

Modelo operacional e lista de verificação para nomear o subcontratante de dados no consultório. Indicações sobre subsubcontratantes, transferências extra-UE e...

05/09/2026

Modelo pronto para consultórios: nomeação do subcontratante (responsável pelo tratamento de dados)

La nomeação do subcontratante é obrigatória quando um fornecedor externo trata dados por conta do responsável pelo tratamento, e deve ser feita por escrito: é o que impõe o art. 28.º do RGPD. O ato deve especificar a natureza, duração e finalidade do tratamento, os tipos de dados envolvidos e as categorias de titulares dos dados. Mais adiante encontrará um modelo operacional pronto a adaptar ao seu consultório ou à sua empresa.

Em resumo:
A nomeação do subcontratante é obrigatória apenas para entidades externas que tratam dados por conta do responsável pelo tratamento, e não para o pessoal interno autorizado.
O responsável pelo tratamento deve identificar, avaliar e formalizar o contrato, verificando se o candidato oferece garantias adequadas de segurança técnica e organizativa.
O ato escrito deve incluir a matéria, duração, finalidade, categorias de dados e titulares dos dados, as instruções do responsável, medidas de segurança e as modalidades de devolução ou apagamento dos dados.
Para os subsubcontratantes, é necessária uma autorização escrita do responsável pelo tratamento e o respeito pelas regras de informação, notificação e responsabilidade contratual, com a possibilidade de oposição a alterações.
A falta de um ato formalizado pode resultar em sanções e dificuldades em demonstrar a conformidade durante auditorias ou incidentes de segurança.

TreatbaseSimplifica a gestão do consultórioO Treatbase reduz as transcrições manuais e a gestão de papel, ajudando as clínicas dentárias a trabalhar com maior eficiência.Descubra o Treatbase

Índice

O que é a nomeação do subcontratante e quando deve ser feita
Quem nomeia e quem pode ser nomeado: sujeitos e responsabilidades
Elementos essenciais do ato de nomeação: o que incluir e como redigir
Obrigações do subcontratante e garantias a verificar na fase de nomeação
Subsubcontratantes: como gerir a cadeia e o direito de oposição do responsável pelo tratamento
Modelo prático: esquema do ato de nomeação passo a passo
Casos especiais: transferências para fora da UE e tratamentos em grande escala
Checklist operacional antes de formalizar a nomeação
Riscos e responsabilidades em caso de nomeação em falta ou incorreta
Recursos oficiais para verificar a legislação
Por que razão a nomeação não é apenas papel: uma perspetiva prática
Como um software de gestão pode simplificar a gestão documental dos dados clínicos
Fontes

O que é a nomeação do subcontratante e quando deve ser feita

O subcontratante, segundo o art. 4.º do RGPD, é a pessoa singular ou coletiva que trata os dados pessoais por conta do responsável pelo tratamento, seguendo as suas instruções. O responsável pelo tratamento continua a ser o decisor: estabelece as finalidades e os meios do tratamento, enquanto o subcontratante executa.

Na prática diária de um consultório ou de uma empresa, a nomeação ocorre sempre que uma entidade externa acede a dados pessoais para prestar um serviço. Alguns exemplos recorrentes:

O fornecedor que gere a infraestrutura cloud ou o software de gestão em utilização
O gabinete de contabilidade que processa os salários
A empresa que oferece alojamento para o website ou para os emails
O parceiro que faz a gestão de backups ou da segurança informática

Não é necessária qualquer nomeação para o pessoal interno autorizado a tratar os dados (funcionários, colaboradores diretos): nesse caso, trata-se de uma autorização de tratamento de dados, e não de um subcontratante externo, uma vez que não existe um terceiro distinto do responsável pelo tratamento.

Quem nomeia e quem pode ser nomeado: sujeitos e responsabilidades

O responsável pelo tratamento tem o dever de identificar, avaliar e formalizar a nomeação. Não é uma escolha que se possa delegar de ânimo leve: antes de assinar, deve verificar se o candidato oferece garantias adequadas quanto às medidas técnicas e organizativas, conforme exige o art. 28.º, n.º 1, do RGPD.

Quem pode receber o encargo? Na prática, quase todo o tipo de estrutura:

Pessoas coletivas, como empresas de serviços de TI ou gabinetes de contabilidade
Pequenas e médias empresas que oferecem serviços em outsourcing
Entidades públicas que tratam dados por conta de outras administrações
Consultores e profissionais liberais que acedem a dados para realizar uma tarefa específica

É útil distinguir de imediato duas figuras que frequentemente se confundem: o subcontratante externo é um terceiro, juridicamente distinto do responsável pelo tratamento, ao passo que o pessoal interno autorizado trabalha sob a autoridade direta do próprio responsável e não necessita de um ato de nomeação separado.

Elementos essenciais do ato di nomeação: o que incluir e como redigir

O art. 28.º, n.º 3, do RGPD enumera de forma precisa o que deve constar do ato escrito. Não se trata de uma lista opcional: a omissão de qualquer um destes pontos expõe o acordo a contestações em caso de auditoria ou de violação de dados (data breach).

Matéria, duração e finalidade do tratamento. Especifique por quanto tempo e com que objetivo exato o subcontratante tratará os dados, evitando fórmulas genéricas como “para fins empresariais”.
Categorias de dados e de titulares. Enumere se se trata de dados comuns, sensíveis (especiais) ou relativos a condenações penais, e quem são os sujeitos envolvidos (funcionários, clientes, doentes).
Instruções documentadas do responsável. O subcontratante apenas pode tratar os dados de acordo com as instruções escritas, nunca de forma discricionária.
Medidas técnicas e organizativas. Devem ser descritas com precisão, e não referidas de forma vaga.
Cláusulas de devolução ou apagamento dos dados. No final do contrato, o acordo deve definir o que acontece aos dados restantes.

Um conselho: evite copiar cláusulas genéricas de modelos encontrados na internet sem os adaptar. Uma instrução como “tratar os dados em conformidade com a legislação em vigor” não é suficiente: o CEPD (Comité Europeu para a Proteção de Dados) exige instruções operacionais concretas, verificáveis em caso de inspeção.

Obrigações do subcontratante e garantias a verificar na fase de nomeação

Antes de assinar, o responsável pelo tratamento deve verificar se o subcontratante oferece garantias suficientes, conforme exigido pelo art. 28.º, n.º 1, do RGPD. Uma autodeclaração não basta: são necessários elementos comprováveis.

As medidas técnicas a solicitar explicitamente incluem:

Cifragem de dados em repouso e em trânsito
Sistemas de backup regulares com testes de recuperação
Controlo de acessos baseado em perfis e registos de atividade (logs)
Formação periódica do pessoal que trata os dados
Compromissos de confidencialidade assinados por todos os colaboradores envolvidos
Um registo das atividades de tratamento atualizado

As orientações do CEPD indicam que o ato de nomeação é o pilar contratual que define o âmbito das responsabilidades, recomendando que também se verifiquem periodicamente os fornecedores a montante do subcontratante.

Um conselho: insira no acordo uma cláusula de auditoria com acesso aos logs e às provas de cifragem. Sem esta possibilidade, verificar as garantias prometidas torna-se um ato de fé, não um controlo.

Subsubcontratantes: como gerir a cadeia e o direito de oposição do responsável pelo tratamento

O subcontratante não pode subcontratar o tratamento a seu bel-prazer. O art. 28.º, n.º 2 e n.º 4, exige uma autorização escrita do responsável pelo tratamento, que pode ser específica (para cada subsubcontratante individual) ou geral (válida para uma categoria de fornecedores).

Com a autorização geral, o subcontratante deve, em todo o caso:

Informar o responsável pelo tratamento de qualquer alteração prevista relativa aos subsubcontratantes
Conceder um prazo razoável ao responsável para se opor à alteração, frequentemente fixado contratualmente em 30 dias
Impor ao subsubcontratante obrigações equivalentes às assumidas no contrato principal
Permanecer plenamente responsável perante o responsável pelo tratamento pelo desempenho do subsubcontratante

As cláusulas contratuais devem clarificar quem responde em caso de violação por parte do subfornecedor: uma lacuna nesta área é uma das causas mais frequentes de litígios entre o responsável pelo tratamento e o subcontratante em caso de incidente.

Modelo prático: esquema do ato de nomeação passo a passo

Um ato de nomeação bem redigido segue uma estrutura recorrente, que pode adaptar ao seu setor. Eis o índice recomendado:

Considerandos. Identificação das partes, referência ao contrato de prestação de serviços principal.
Objeto e duração. Descrição sintética da tarefa e do período de validade.
Instruções do responsável pelo tratamento. Lista detalhada das operações autorizadas.
Medidas de segurança. Remissão para um anexo técnico detalhado.
Subsubcontratantes. Regras de autorização e notificação.
Devolução e apagamento dos dados. Prazos e procedimentos no final da relação contratual.
Anexos obrigatórios. Lista dos tratamentos, medidas técnicas, eventuais certificações de segurança.

Um exemplo real desta estrutura pode ser consultado no acordo de nomeação publicado pelo CREA, que contém cláusulas-tipo sobre devolução de dados, auditorias e responsabilidade dos subsubcontratantes.

No plano operacional, a aceitação pode ser feita mediante assinatura digital qualificada ou assinatura eletrónica avançada, desde que o sistema guarde uma prova inequívoca da data e da identidade do signatário. Conserve o original juntamente com os anexos técnicos durante toda a vigência da relação contratual e após o seu término.

Casos especiais: transferências para fora da UE e tratamentos em grande escala

Se o subcontratante transferir dados para fora do Espaço Económico Europeu, o ato de nomeação por si só não basta: é necessário integrá-lo com as cláusulas contratuais-tipo (SCC) ou outras garantias equivalentes reconhecidas pela legislação europeia.

Para tratamentos em grande escala, ou particularmente sensíveis, convém reforçar o acordo com elementos adicionais:

Uma avaliação de impacto (DPIA) partilhada com o fornecedor antes do início do serviço
Auditorias periódicas mais aprofundadas, com verificação documental das medidas declaradas
Uma apólice de seguro de responsabilidade cibernética (cyber liability) com um capital adequado ao risco

Como refere a ESG360, este tipo de integração é particularmente relevante para fornecedores de serviços cloud e no setor da saúde, onde o volume e a sensibilidade dos dados tratados elevam significativamente o nível de risco em caso de incidente.

Checklist operacional antes de formalizar a nomeação

Antes de redigir o documento, reúna todas as informações necessárias: evite deparar-se com lacunas a meio do processo.

Dados de identificação completos do responsável pelo tratamento e do subcontratante (firma, sede, contacto de privacidade)
Lista detalhada das operações de tratamento subcontratadas, com categorias de dados e finalidades específicas
Categorias de titulares dos dados envolvidos (colaboradores, clientes, doentes, fornecedores)
Documentação de segurança do fornecedor: certificações, relatórios de auditoria, políticas internas
Lista de eventuais subsubcontratantes já envolvidos no serviço
Modalidades previstas para a devolução ou eliminação dos dados no final da relação contratual

Com esta lista pronta, a elaboração do ato passa a ser uma tarefa de preenchimento e não de improvisação.

Riscos e responsabilidades em caso de nomeação em falta ou incorreta

A ausência de um documento escrito não isenta as partes das responsabilidades já existentes no âmbito do tratamento de dados: é o que confirmam os comentários jurídicos sobre o artigo 28.º. Na prática, tanto o responsável pelo tratamento como o subcontratante podem ver-se expostos a coimas e, em alguns casos, a responsabilidade solidária perante os titulares que tenham sofrido danos.

O verdadeiro problema surge em caso de violação de dados ou de inspeção: sem um acordo formalizado, reconstruir quem devia fazer o quê torna-se complicado, e a falta de provas documentais agrava a posição de ambas as partes. Um seguro de responsabilidade cibernética e auditorias periódicas continuam a ser as medidas mais concretas para mitigar o risco.

Recursos oficiais para verificar a legislação

Para aprofundar o tema ou descarregar modelos, estas fontes continuam a ser a referência mais sólida:

O texto do art. 28.º do RGPD com comentários práticos
As orientações do CEPD sobre responsável pelo tratamento e subcontratante
O modelo de acordo publicado pelo CREA como exemplo concreto

Por que razão a nomeação não é apenas papel: uma perspetiva prática

Um contrato de subcontratação bem estruturado não serve apenas para evitar coimas: torna-se na prova que um consultório pode apresentar em caso de auditoria ou inspeção da autoridade de controlo (CNPD). Quem faz a gestão de dados clínicos pode beneficiar de ferramentas que documentam automaticamente os acessos e os tratamentos, tornando mais simples a demonstração das garantias prometidas no contrato.

— Matteo

Como um software de gestão pode simplificar a gestão documental dos dados clínicos

Um software de gestão pode ser um aliado prático para um consultório dentário que necessita de demonstrar — e não apenas declarar — as garantias previstas no contrato de subcontratação: cada acesso aos dados dos doentes pode ser registado de forma automática, eliminando a dispersão de papéis ou dossiers físicos para manter organizados manualmente.

O software faz a gestão dos processos clínicos dos doentes com um rastreio contínuo das atividades, útil precisamente nos momentos em que o responsável pelo tratamento necessita de provar à autoridade de controlo ou a um cliente que as medidas técnicas descritas no contrato de subcontratação estão realmente em vigor. Também a gestão de pagamentos segue o mesmo princípio: dados sensíveis tratados com registos auditáveis, e não com notas dispersas entre softwares diferentes.

Este artigo não constitui aconselhamento jurídico: para a redação final do contrato de subcontratação, consulte um advogado especializado em proteção de dados. Para ver como o Treatbase organiza a vertente documental da sua atividade diária, descubra a plataforma e avalie com um teste direto utilizando os dados do seu consultório.