Cinco perguntas que determinam o quão europeu um serviço é

Módulo 2: O que é realmente uma cloud europeia? · Tempo de leitura: 11 minutos

Objetivo de aprendizagem: Após esta lição, saberá determinar com cinco perguntas sob que legislação um serviço de cloud se enquadra, e explicar por que motivo um centro de dados na Europa não é suficiente para isso.

Conceitos-chave: estabelecimento (sede estatutária), proprietário final, localização do centro de dados, subcontratante, acesso remoto, gestão de chaves, UE, EEE, decisão de adequação, "sovereign cloud"

"Os nossos dados estão na Europa." E depois?

Quase todos os grandes serviços de cloud dizem isto atualmente: os seus dados estão num centro de dados em Frankfurt, Amesterdão ou Dublin. Isso soa tranquilizador, mas responde apenas a uma das perguntas que realmente importam. No módulo 1 viu que o CLOUD Act norte-americano não olha para a localização do servidor, mas sim para a empresa que tem os dados na sua posse, guarda ou controlo ("possession, custody, or control"). Um servidor em Frankfurt pertencente a uma empresa que, em última análise, é norte-americana, pode assim ainda assim estar sujeito a uma ordem norte-americana.

Por isso não olha apenas para uma característica, mas para cinco. A Bakkerij De Korrel do nosso exemplo (12 colaboradores, domínio example.com) utiliza atualmente um pacote de produtividade norte-americano e quer saber quais as alternativas verdadeiramente europeias. Com estas cinco perguntas consegue separar o marketing dos factos.

Pergunta 1: onde está a empresa estabelecida?

O estabelecimento é o país onde a empresa que assina o seu contrato está juridicamente registada: a sede estatutária. Esse país determina, em primeiro lugar, que legislação se aplica à empresa, qual o tribunal competente e qual a autoridade de supervisão que a acompanha.

Para isso, não olhe para o sítio web, mas sim para a parte contratante: o nome que consta no final dos termos e condições gerais, do contrato de subcontratação e da fatura. Se aí constar "Example Cloud Ireland Ltd.", então a sua parte contratante é irlandesa, mesmo que a marca seja norte-americana. É um bom começo, mas ainda não uma resposta completa. Para isso precisa da pergunta 2.

Pergunta 2: quem é o proprietário final?

O proprietário final é a empresa ou a pessoa que se encontra no topo da cadeia de acionistas. Uma subsidiária europeia de uma empresa-mãe norte-americana é juridicamente uma empresa europeia, mas a empresa-mãe detém o controlo. De acordo com o CLOUD Act, um tribunal norte-americano pode obrigar a empresa-mãe a fornecer dados que se encontrem numa subsidiária, se a empresa-mãe tiver efetivamente "control" sobre esses dados. Se isso se verifica num caso concreto depende de como a empresa está organizada. Os juristas não estão de acordo quanto a isto. É precisamente por isso que se trata de um risco e não de uma certeza.

Também pode acontecer o contrário: uma empresa que hoje é europeia pode ser adquirida amanhã. Na Holanda, isso aconteceu em 2025 e 2026 em torno da Solvinity, a empresa por trás da infraestrutura do DigiD. A norte-americana Kyndryl pretendia adquiri-la; o governo proibiu a aquisição em maio de 2026, após parecer do Bureau Toetsing Investeringen (o organismo neerlandês de avaliação de investimentos). Pergunte também a um fornecedor: o que acontece ao meu contrato em caso de aquisição? Posso rescindir gratuitamente nesse caso?

Onde encontra o proprietário? No registo comercial (na Holanda a KVK, na Alemanha o Handelsregister), no relatório anual, ou na página "Sobre nós" ou "Impressum". Em empresas cotadas em bolsa, consta nas contas anuais.

Pergunta 3: onde estão os dados, e as cópias de segurança?

A localização do centro de dados continua a ser importante. Se os seus dados estiverem na UE, não há transferência para fora do EEE na aceção do RGPD, desde que ninguém de fora tenha acesso. Pergunte por todas as localizações: o centro de dados principal, o centro de dados de contingência e as cópias de segurança. Um fornecedor com servidores na Holanda e cópias de segurança nos Estados Unidos tem, sem dúvida, uma transferência.

Preste atenção a três conceitos que frequentemente se confundem:

A Suiça e o Reino Unido não são, portanto, UE, mas um serviço situado nesses países pode ser utilizado ao abrigo do RGPD sem cláusulas contratuais adicionais. A decisão relativa à Suiça data de 2000 e foi confirmada numa reavaliação em janeiro de 2024. A decisão relativa ao Reino Unido foi prorrogada a 19 de dezembro de 2025 até 27 de dezembro de 2031. Uma decisão de adequação pode, no entanto, ser revista ou anulada pelo Tribunal de Justiça da União Europeia (TJUE): isso aconteceu duas vezes com os acordos com os EUA (módulo 1, lição 1.4). Para os Estados Unidos aplica-se atualmente o Data Privacy Framework, mas apenas para empresas norte-americanas que a ele aderiram, e com a incerteza que viu na lição 1.4.

Pergunta 4: quem mais tem acesso? Subcontratantes e acesso remoto

Um subcontratante é uma outra empresa a que o fornecedor recorre e que, ao fazê-lo, trata ou pode ver os seus dados: o centro de dados, um serviço de cópia de segurança, uma empresa de entrega de correio eletrónico, um departamento de apoio ao cliente noutro país, um serviço de IA que resume mensagens de correio eletrónico. O RGPD exige que o fornecedor o informe previamente sobre que subcontratantes utiliza e lhe permita opor-se a novos (artigo 28.º do RGPD, lição 9.2).

Preste especial atenção ao acesso remoto. Dados armazenados em Amesterdão, mas que um colaborador de apoio ao cliente num país fora do EEE possa consultar para resolver uma avaria, são, segundo as autoridades europeias de supervisão, também considerados transferidos. Um centro de dados na Europa com uma linha de apoio que acompanha remotamente 24 horas por dia, a nível mundial, é assim menos europeu do que parece.

Onde encontra a lista? Normalmente como anexo ao contrato de subcontratação ou numa página separada "subcontratantes" ou "sub-processors". Se essa lista não existir, ou for vaga ("trabalhamos com parceiros cuidadosamente selecionados"), isso é um sinal de alerta.

Pergunta 5: quem tem a chave?

A encriptação só protege contra terceiros se estes não tiverem a chave. Na maioria dos serviços de cloud, os seus dados estão encriptados em trânsito (https) e em repouso (no disco), mas o fornecedor tem a chave. Se o fornecedor tiver de entregar dados, pode desencriptá-los. Com encriptação de ponta a ponta ou encriptação com uma chave que só você gere, o fornecedor não o consegue fazer. Isso protege melhor, mas tem um custo: a pesquisa, a edição colaborativa no navegador e a recuperação de uma palavra-passe esquecida deixam, muitas vezes, de funcionar ou funcionam de forma limitada. Pergunte, por isso: que componentes estão encriptados de ponta a ponta, e o que deixo de poder fazer nesse caso?

"Sovereign cloud" de empresas norte-americanas

Os grandes fornecedores norte-americanos respondem à procura por soberania. Alguns exemplos, para que reconheça os termos:

• Microsoft EU Data Boundary: a Microsoft anunciou em fevereiro de 2025 que os dados de clientes do Microsoft 365, Dynamics 365, Power Platform e da maioria dos serviços Azure são armazenados e tratados dentro da UE e dos países da EFTA, incluindo dados de apoio técnico. A própria Microsoft refere que, em casos limitados, ainda são tratados dados fora da UE, por exemplo para fins de segurança. A Microsoft continua a ser uma empresa norte-americana. Em junho de 2025, o diretor jurídico da Microsoft França declarou sob juramento no Senado francês que não pode garantir que os dados nunca sejam entregues sem autorização a autoridades norte-americanas.
• AWS European Sovereign Cloud: disponível ao público em geral desde 15 de janeiro de 2026, com uma primeira região em Brandeburgo (Alemanha). É gerida por uma sociedade alemã com pessoal na UE e está tecnicamente separada do resto da AWS. A empresa-mãe final é a Amazon. Os analistas assinalam que o risco associado ao CLOUD Act pode, assim, ser menor, mas não está comprovadamente eliminado.
• Modelos de colaboração: em França e na Alemanha existem empresas europeias que operam tecnologia de cloud norte-americana sob licença, de modo a que a empresa europeia detenha o controlo. Se isso funciona depende dos acordos relativos a atualizações, gestão e acesso.

Tais serviços podem constituir, para algumas organizações, uma etapa intermédia razoável. Mas coloque-lhes as mesmas cinco perguntas. A resposta à pergunta 2 (proprietário) continua a ser diferente nestes serviços relativamente a uma empresa totalmente europeia.

Na prática: assim se apresenta num fornecedor

Tome como exemplo um WebOké Nextcloud. Estabelecimento e proprietário: uma sociedade neerlandesa (bv). Centro de dados: segundo o manual, dois centros de dados neerlandeses da NorthC. Software: Nextcloud, desenvolvido pela alemã Nextcloud GmbH, código aberto. A chave da encriptação de armazenamento encontra-se junto do fornecedor; a encriptação de ponta a ponta pode ser ativada por si próprio, por pasta. Noutros fornecedores europeus, como outros fornecedores de Nextcloud, mailbox.org, Infomaniak ou IONOS, procure as mesmas cinco respostas nos mesmos locais: contrato, registo comercial, contrato de subcontratação e lista de subcontratantes.

Resumo

• Um centro de dados na Europa responde apenas a uma das cinco perguntas.
• As cinco perguntas: estabelecimento, proprietário final, localização dos dados e das cópias de segurança, subcontratantes e acesso remoto, e quem tem a chave.
• Uma subsidiária europeia de uma empresa norte-americana pode, ainda assim, estar sujeita ao CLOUD Act.
• A Suiça e o Reino Unido não são UE, mas têm uma decisão de adequação; o EEE é a UE mais a Noruega, a Islândia e o Liechtenstein.
• Os serviços de "sovereign cloud" de empresas norte-americanas reduzem riscos, mas não alteram a resposta à questão do proprietário.

Quiz

Exercício

Exercício A2.1: Quem recebe e envia correio eletrónico para o seu domínio? Introduza o seu próprio domínio. O programa procura os registos MX e desenvolve completamente o seu registo SPF. Você indica que organizações recebem o seu correio eletrónico e quais podem enviar correio em seu nome. Assim, em poucos minutos, vê que entidades já estão envolvidas na sua correspondência eletrónica.

Exercício E2.1: As cinco perguntas para os seus próprios serviços. Escolha dois serviços que utiliza atualmente (por exemplo, o seu correio eletrónico e o seu armazenamento de ficheiros) e um possível substituto europeu. Procure, para os três, as respostas às cinco perguntas, com a respetiva fonte.

Para saber mais

Os passos descritos nestes artigos aplicam-se aos serviços da WebOké; noutros fornecedores o funcionamento é semelhante.

• Manual do Nextcloud 1.1: O que é o Nextcloud e o que é um WebOké Nextcloud?
• Manual do Nextcloud 3.1: Como é que a WebOké protege a sua Nextcloud?
• Manual do Nextcloud 15.13: Perguntas frequentes sobre segurança e privacidade
• Comissão Europeia, panorâmica das decisões de adequação: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
• CLOUD Act, 18 U.S.C. § 2713 (dados "regardless of whether" estão dentro ou fora dos EUA)