Cláusulas modelo da UE para o Data Act: âmbito e limitações

A Comissão Europeia publicou um pacote de cláusulas contratuais tipo não vinculativas (MCT) e cláusulas contratuais padrão (SCC) desenhado para simplificar a contratação sob o Data Act (Regulamento (UE) 2023/2854). Este documento não cria novas obrigações legais, mas oferece um quadro de referência para que as partes, especialmente as PME, possam redigir contratos que cumpram as disposições de acesso e utilização de dados gerados por produtos conectados.

O objetivo principal é reduzir a fragmentação contratual e minimizar a fricção nas negociações entre empresas. As cláusulas estão redigidas principalmente para relações B2B, embora o texto oficial indique que também podem ser adaptadas a relações entre empresas e consumidores se forem incorporadas as normas pertinentes de proteção ao consumidor. O seu uso é voluntário e modificável, o que significa que não substituem a necessidade de uma revisão legal específica para cada caso.

O pacote inclui quatro conjuntos de cláusulas que cobrem as relações obrigatórias de troca de dados estabelecidas no Data Act. O primeiro conjunto regula a relação entre o titular de dados e o utilizador, definindo os direitos de acesso e utilização dos dados gerados por um produto conectado. O segundo aborda a relação entre o utilizador e um destinatário de dados de terceiros, quando o utilizador instrui o titular para partilhar os dados.

Os outros dois conjuntos centram-se nas interações entre o titular de dados e os destinatários de terceiros, cobrindo tanto os casos em que o titular está legalmente obrigado a facultar os dados como as condições de compensação por essa troca. Estas cláusulas cumprem o capítulo IV do Data Act, que estabelece que as cláusulas impostas unilateralmente não são vinculativas se forem consideradas abusivas, oferecendo assim uma base de equilíbrio contratual.

É fundamental distinguir estas cláusulas do Data Act das Cláusulas Contratuais Padrão (SCC) do RGPD que já utilizam fornecedores como Microsoft, IBM e AWS para transferências internacionais de dados pessoais. Enquanto as SCC do RGPD se focam na proteção de dados pessoais fora do Espaço Económico Europeu, as novas MCT do Data Act centram-se no acesso a dados gerados por produtos conectados, incluindo dados não pessoais.

Os grandes fornecedores de cloud já oferecem mecanismos de conformidade para a soberania de dados e a residência de dados, mas as novas cláusulas modelo introduzem uma abordagem específica para a portabilidade de dados de produto. Isto não invalida as políticas de privacidade existentes, mas adiciona uma camada contratual específica para a troca de dados operacionais de dispositivos conectados, uma área que as políticas padrão de cloud muitas vezes não detalham com a mesma granularidade.

Para as empresas que gerem infraestruturas cloud na UE, a principal implicação é a necessidade de rever os seus contratos de serviço para incorporar estas cláusulas se desejarem alinhar as suas operações com o Data Act. Isto é particularmente relevante para as PME, que podem utilizar estes modelos como ponto de partida para evitar negociações complexas. A adoção destas cláusulas pode acelerar os processos de contratação e oferecer maior certeza legal.

No entanto, as empresas não devem assumir que a inclusão destas cláusulas garante o cumprimento total. Devem verificar se os seus fornecedores de cloud suportam tecnicamente os mecanismos de acesso e exportação de dados requeridos. A decisão prática é avaliar se o fornecedor oferece APIs de exportação de dados compatíveis com os requisitos do Data Act, uma vez que as cláusulas contratuais não podem impor capacidades técnicas que o fornecedor não possui.

As cláusulas modelo não abordam aspetos de desempenho, segurança técnica ou disponibilidade dos serviços de cloud. Centram-se exclusivamente nos direitos de acesso, utilização e partilha de dados. Portanto, as empresas devem continuar a depender dos acordos de nível de serviço (SLA) e das políticas de segurança específicas de cada fornecedor para garantir a integridade e a disponibilidade das suas infraestruturas.

Além disso, por serem não vinculativas, estas cláusulas não têm força de lei por si mesmas. O seu valor reside na padronização e na redução dos custos de transação. As organizações devem estar conscientes de que qualquer modificação a estas cláusulas poderia invalidar o seu alinhamento com o Data Act, pelo que se recomenda mantê-las intactas ou realizar modificações mínimas supervisionadas por especialistas legais.