Utilizar um fornecedor de formulários dos EUA ao abrigo do RGPD

Os artigos 44.º a 49.º do RGPD regem as transferências de dados pessoais para países fora da UE e do EEE. Uma transferência exige uma de três condições: uma decisão de adequação para o destino (artigo 45.º), garantias adequadas, como as cláusulas contratuais-tipo (artigo 46.º), ou, em casos pontuais, uma das derrogações do artigo 49.º.

Num formulário, o fornecedor que recebe e armazena as submissões é o ponto óbvio a analisar. Não é o único. O e-mail de notificação pode chegar a uma caixa de correio alojada no estrangeiro, e um webhook ou uma ferramenta de automatização pode reenviar os mesmos dados. Cada um destes casos é uma questão separada.

Em 16 de julho de 2020, o Tribunal de Justiça decidiu no processo Data Protection Commissioner contra Facebook Ireland e Schrems (C-311/18). Declarou inválido o Escudo de Privacidade UE-EUA, por considerar que a legislação de vigilância dos EUA e as vias de recurso disponíveis aos europeus não cumpriam a norma da UE.

O Tribunal manteve válidas as cláusulas contratuais-tipo, com uma condição: o exportador tem de verificar, caso a caso, se a legislação do país de destino permite ao importador cumprir as suas obrigações, e adotar medidas complementares sempre que não permita. O Comité Europeu para a Proteção de Dados descreveu como fazê-lo nas suas Recomendações 01/2020 sobre medidas complementares, adotadas na versão final em 18 de junho de 2021.

Em 10 de julho de 2023, a Comissão adotou a Decisão de Execução (UE) 2023/1795, concluindo que os Estados Unidos asseguram um nível de proteção adequado para os dados enviados a empresas certificadas ao abrigo do Quadro de Privacidade de Dados UE-EUA. Assenta na Ordem Executiva 14086 dos EUA, que introduziu limites à atividade de informações de sinais e uma via de recurso através de um Tribunal de Revisão da Proteção de Dados.

Para o responsável por um formulário, isto significa que, se o fornecedor dos EUA estiver certificado, e a certificação abranger o tipo de dados que envias, a transferência não precisa de outro instrumento. Podes verificar uma empresa na lista oficial do Quadro de Privacidade de Dados. Um fornecedor que não conste da lista precisa de outra base, normalmente cláusulas contratuais-tipo.

O quadro tem sido contestado. O Tribunal Geral rejeitou a ação no processo Latombe contra Comissão (T-553/23) em 3 de setembro de 2025, e o recorrente recorreu para o Tribunal de Justiça como processo C-703/25 P. Os dois acordos anteriores, o Safe Harbor e o Escudo de Privacidade, foram anulados por esse tribunal, pelo que muitas organizações mantêm uma solução alternativa nos seus contratos, caso o quadro também venha a cair.

As cláusulas atuais foram adotadas pela Decisão de Execução (UE) 2021/914 da Comissão, de 4 de junho de 2021. Existem módulos para diferentes relações; para um serviço de formulários que atua por tua conta, o habitual é o de responsável pelo tratamento para subcontratante. Utilizá-las implica realizar uma avaliação de impacto da transferência e registar o resultado, o que é um trabalho real para um site pequeno. Essa é uma das razões pelas quais o Quadro de Privacidade de Dados é popular entre os fornecedores norte-americanos que já se certificaram.

Estas perguntas servem tanto para fornecedores dos EUA como europeus, e um bom fornecedor responde-lhes em documentos públicos:

1. Onde são armazenadas as submissões, os carregamentos de ficheiros e as cópias de segurança?
2. Que subcontratantes ulteriores tocam nos dados das submissões, e em que países?
3. Para cada transferência para fora da UE, que instrumento se aplica: decisão de adequação, certificação DPF ou cláusulas contratuais-tipo (SCC)?
4. O DPA está publicado ou disponível antes de te inscreveres, e enumera os subcontratantes ulteriores?
5. Podem os colaboradores fora da UE aceder aos dados para suporte, e com que controlos?
6. O email de notificação inclui a submissão completa, e podes desativar isso?
7. Como trata o fornecedor um pedido de dados por parte de uma autoridade estrangeira?

As nossas páginas de comparação reúnem o que vários fornecedores dizem publicamente sobre a localização dos dados. Consulta também os seus documentos atuais, já que as políticas mudam.

O Formward é gerido por uma empresa sueca. A aplicação, a base de dados e os carregamentos de ficheiros estão alojados na Suécia. O email de notificação é enviado por um fornecedor europeu, e as funcionalidades de IA opcionais nos planos Professional e Business funcionam na Mistral, na UE. A faturação passa pela Stripe Payments Europe, Limited, na Irlanda, e diz respeito apenas aos dados de faturação do próprio cliente pagante.

O único ponto de contacto nos EUA é o Cloudflare Turnstile, uma verificação anti-bot que está desativada, a menos que a atives para um formulário. Quando ativo, a Cloudflare vê dados de desafio do navegador do visitante, e não as respostas do formulário. Os destinos que acrescentas tu próprio, como um webhook, um canal do Slack ou uma caixa de correio alojada noutro lado, vão para onde os apontares.