Entrada em vigor das novas cláusulas contratuais-tipo

De acordo com o Regulamento Geral sobre a Proteção de Dados (RGPD), as CCT são um conjunto de cláusulas pré-aprovadas pela Comissão Europeia e representam um mecanismo que visa assegurar que o país terceiro para onde a transferência de dados será realizada tem garantias adequadas de proteção, nomeadamente no que respeita aos direitos dos titulares dos dados.

As novas CCT seguem uma abordagem modular que promove uma melhor adaptação aos diferentes cenários de transferência de dados pessoais, e abrangem mais situações de transferências de dados do que anteriormente. Por exemplo, as cláusulas contratuais-tipo passam a poder ser aplicáveis a transferências de dados entre subcontratantes. A introdução de um novo modelo vem fortalecer a proteção de dados pessoais, introduzir novas obrigações para exportadores e importadores de dados, e criar uma maior transparência no tratamento de dados pessoais para titulares de dados.

O entendimento do Tribunal de Justiça Europeu no acórdão Schrems II é refletido nas novas obrigações dos exportadores e importadores de dados. Ao adotar CCT, estes ficam obrigados a realizar uma due dilligence para avaliar os riscos reais que as transferências de dados podem acarretar para os titulares de dados, bem como a implementar medidas suplementares que mitiguem estes riscos.

As novas CCT vêm substituir os três conjuntos de CCT anteriormente adotados ao abrigo da Diretiva de Proteção de Dados Pessoais. A 27 de setembro de 2021 deixou de ser possível celebrar contratos que incorporem as anteriores CCT, pondo fim ao período de tolerância de que beneficiavam os contratos celebrados antes daquela data. No entanto, este período terminou no dia 27 de dezembro de 2022. Deste modo, todos os contratos que utilizem CCT antigas, e que ainda se encontrem em vigor, terão de ser revisitados e atualizados para passar a incorporar as novas CCT, sob pena de as transferências de dados pessoais em causa não apresentarem garantias adequadas.