Contratos com os clientes
Cláusulas de subcontratação: instruções, confidencialidade, segurança, subcontratantes ulteriores e devolução dos dados.
RGPD, art. 28.ºSetor
Proteção de dados para contabilistas certificados
Atualizado em 30 de outubro de 2026 · Pietro Cravero, encarregado de proteção de dados certificado (IDcert)
Quando processa salários ou gere a contabilidade de um cliente, o gabinete trata dados por conta do cliente: é subcontratante e precisa de um contrato com o conteúdo do art. 28.º do RGPD. A Lei 58/2019 refere expressamente o tratamento feito por contabilista certificado em nome do empregador, para gestão das relações laborais (art. 28.º, n.º 2).
Os pontos que mais falham neste setor
Salários e recursos humanos
Dados de trabalhadores dos clientes, incluindo baixas médicas e penhoras: acesso restrito.
Lei 58/2019, art. 28.º, n.º 2Troca de documentos
Recibos e declarações por e-mail sem cifra, pastas partilhadas abertas, pens USB.
RGPD, art. 32.ºSoftware e nuvem
Programas de contabilidade e salários alojados em terceiros: subcontratantes ulteriores autorizados.
RGPD, art. 28.º, n.º 2Fim da relação
Devolução ou apagamento dos dados do cliente, salvo o que a lei obriga a conservar.
RGPD, art. 28.º, n.º 3, al. g)Caso típico
Um novo cliente com trabalhadores
Quatro momentos em que a proteção de dados se decide na prática.
- 1Passo 1Assina-se o contrato de prestação de serviços com as cláusulas do art. 28.º.
- 2Passo 2O cliente envia os dados dos trabalhadores por um canal seguro, não por e-mail aberto.
- 3Passo 3Só quem processa os salários tem acesso à pasta do cliente.
- 4Passo 4No fim do contrato, os dados são devolvidos e o gabinete conserva só o legalmente exigido.
Perguntas frequentes
O gabinete é responsável ou subcontratante?
Quando processa salários e faturação segundo as instruções do cliente, em regra subcontratante. Nas tarefas em que a lei lhe atribui deveres próprios, pode ser responsável autónomo: avalie caso a caso. Para os seus próprios trabalhadores e clientes, é responsável pelo tratamento.
Quem notifica a CNPD se houver uma violação?
O cliente, como responsável. O gabinete deve avisá-lo sem demora injustificada (art. 33.º, n.º 2, RGPD).
O sigilo profissional do contabilista substitui o contrato?
Não. O dever de sigilo é importante, mas o RGPD exige um contrato escrito com conteúdo mínimo.
Leia tambémViolação de dados: o que fazer em 72 horasRegisto das atividades de tratamentoNorteCentroPrecisamos de EPD?
Informação geral, não constitui aconselhamento para um caso concreto. Atualizado em 30 de outubro de 2026.
Quer aplicar isto à sua organização?
Primeira avaliação gratuita, por escrito e em português.