CLOUD Act, FISA 702 e outras leis norte-americanas

Módulo 1: Porque escolher uma cloud europeia? · Tempo de leitura: 12 minutos

Objetivo de aprendizagem: Após esta lição, saberá explicar quais as leis norte-americanas que dão acesso a dados em empresas dos EUA, porque é que isso também se aplica quando os dados estão guardados na Europa, e qual é o ponto da situação em novembro de 2026.

Conceitos-chave: CLOUD Act, 18 U.S.C. 2713, "possession, custody, or control", fornecedor de um serviço de comunicações eletrónicas, FISA Section 702, tribunal FISA (FISC), certificação, Executive Order 12333, ordem de confidencialidade, direito penal versus trabalho de informações (inteligência)

Porque é que as leis norte-americanas dizem respeito a servidores europeus

Na lição 1.1 viu que uma empresa está sujeita ao direito do país onde está sediada. Para a maioria dos grandes serviços de cloud, esse país são os Estados Unidos. Há duas leis norte-americanas que surgem sempre em qualquer discussão sobre a cloud europeia: o CLOUD Act e a Section 702 da FISA. Têm objetivos diferentes e funcionam de forma diferente, por isso é importante distingui-las.

Isto é uma explicação, não é um conselho jurídico. A legislação norte-americana e a sua interpretação estão em constante alteração; o ponto da situação descrito nesta lição é de novembro de 2026.

O CLOUD Act: investigação criminal

CLOUD Act significa Clarifying Lawful Overseas Use of Data Act. A lei foi aprovada a 23 de março de 2018, como parte de uma grande lei orçamental. A origem foi um processo judicial entre a Microsoft e o governo dos EUA: o FBI queria aceder ao correio eletrónico de um suspeito, guardado num servidor na Irlanda, e a Microsoft recusou-se porque os dados estavam fora dos EUA. Antes de o Supremo Tribunal decidir, o Congresso criou o CLOUD Act, e com isso o caso ficou resolvido.

O essencial está contido numa única frase, atualmente identificada como 18 U.S.C. 2713. Em termos simples: um fornecedor de um serviço de comunicações eletrónicas ou de um serviço de armazenamento remoto deve conservar ou entregar dados que estejam na sua "possession, custody, or control" (posse, custódia ou controlo), independentemente de esses dados estarem dentro ou fora dos Estados Unidos.

O que significa isto na prática?

• Trata-se de investigação criminal. O governo precisa de uma ordem judicial, como um warrant, tal como aconteceria com dados situados nos EUA.
• Trata-se de dados que a empresa tem sob o seu controlo. Se o seu correio eletrónico estiver alojado numa filial europeia, mas a empresa-mãe norte-americana tiver acesso a ele, a empresa-mãe pode ser interpelada.
• O fornecedor pode opor-se se a entrega entrar em conflito com o direito de outro país, mas apenas em determinados casos (sobretudo com países com os quais os EUA têm um tratado específico, como o Reino Unido e a Austrália). Ainda não existe um tratado geral entre a UE e os EUA sobre este tipo de prova.
• O cliente nem sempre é informado. Um juiz pode impor ao fornecedor uma ordem de confidencialidade, que o impede de o avisar.

Em contrapartida, o RGPD (art. 48.º) estabelece que uma decisão judicial ou ordem estrangeira para entrega de dados só é reconhecida se existir um tratado, como um acordo de auxílio judiciário mútuo. Um fornecedor norte-americano pode, assim, ficar preso entre duas leis. É precisamente esse o problema: enquanto cliente, não pode escolher qual das leis prevalece.

Um momento revelador: em junho de 2025, uma comissão de inquérito do Senado francês perguntou ao diretor jurídico da Microsoft França se podia garantir, sob juramento, que os dados de cidadãos franceses nunca seriam entregues a autoridades norte-americanas sem autorização de França. A sua resposta: "Não, não posso garantir isso." Acrescentou que a empresa contesta pedidos indevidos e que, na prática, ainda não tinha ocorrido um pedido desse tipo. As duas partes desta resposta são importantes: o risco é reduzido, mas existe, e a empresa não o consegue excluir.

FISA Section 702: informações sobre estrangeiros

A FISA é a Foreign Intelligence Surveillance Act. A Section 702 foi acrescentada em 2008. O seu objetivo não é a investigação de crimes, mas a recolha de informações estrangeiras (inteligência). É aí que reside a grande diferença em relação ao CLOUD Act:

Ao abrigo da Section 702, os serviços norte-americanos podem obrigar fornecedores de serviços de comunicações eletrónicas a colaborar na recolha de comunicações de "targets" estrangeiros. Para um europeu, o direito norte-americano oferece aqui pouca proteção: a proteção constitucional contra buscas (a Quarta Emenda) aplica-se sobretudo a cidadãos norte-americanos. Este programa teve um papel central no acórdão Schrems II do Tribunal Europeu (lição 1.4).

Ponto da situação em novembro de 2026

A Section 702 tem de ser repetidamente renovada pelo Congresso. Em abril de 2024, a lei RISAA prorrogou-a por dois anos, até abril de 2026. Em abril de 2026, não foi possível conseguir uma prorrogação de longa duração; houve duas prorrogações curtas. A 12 de junho de 2026, a lei caducou, pela primeira vez desde 2008. Segundo notícias, a recolha continua na prática, porque o tribunal FISA já tinha aprovado em março de 2026 as certificações anuais, que se mantêm válidas aproximadamente até março de 2027. O Congresso continua a discutir uma nova prorrogação no período de sessão de "lame duck" a partir de 9 de novembro de 2026.

Para a sua decisão, isto significa o seguinte: quer a lei tenha ou não caducado momentaneamente, o problema de fundo não desaparece. É bastante provável que venha a existir uma nova prorrogação, e os poderes podem regressar sob uma forma diferente.

Executive Order 12333: sem intervenção judicial

Para além destas leis, existe a Executive Order 12333, de 1981, uma decisão presidencial sobre trabalho de informações (inteligência). Esta abrange, por exemplo, a interceção de cabos de internet e a recolha de dados fora dos EUA, sem intervenção de um juiz e sem que uma empresa tenha de colaborar. Para dados que estejam encriptados durante o trânsito, isto representa um problema menor; para dados guardados numa empresa norte-americana, o CLOUD Act e a Section 702 são os caminhos relevantes.

Qual é, realmente, a dimensão do risco?

Para ser sincero: para a maioria das pequenas organizações, a probabilidade de os serviços norte-americanos terem precisamente interesse no seu correio eletrónico é reduzida. Ainda assim, há razões para levar este assunto a sério:

• Você não fica a saber. Devido às ordens de confidencialidade, poderá nunca vir a ser informado.
• Não é o único titular dos dados em causa. No seu correio eletrónico encontram-se dados de clientes, fornecedores e colaboradores. Cabe-lhe proteger os dados dessas pessoas (lição 1.2).
• Alguns dados são sensíveis. Um escritório de advogados, um médico de família, um jornalista ou uma escola fazem uma ponderação diferente da de uma padaria.
• As regras podem mudar sem que você tenha qualquer poder de decisão sobre isso.

A Bakkerij De Korrel tem pouco a recear de um serviço de informações. Mas a Sanne reflete que na sua caixa de correio eletrónico também constam as participações de doença do seu pessoal. Trata-se de dados de saúde, pelo que deve ter um cuidado redobrado com eles.

Na prática: como isto se apresenta junto de um fornecedor

Um fornecedor europeu sem empresa-mãe norte-americana e sem subcontratantes norte-americanos não está sujeito ao CLOUD Act e não é um "provider" na aceção da Section 702. Pode ainda assim ser obrigado a colaborar com a polícia e a justiça europeias, mas nesse caso de acordo com o direito europeu e nacional, com um tribunal europeu a exercer controlo. Na WebOké, o manual do Nextcloud indica que os seus ficheiros não vão para empresas de cloud norte-americanas. Junto de outros fornecedores, procure uma lista de subcontratantes e identifique o proprietário jurídico (lição 2.1).

Resumo

• O CLOUD Act (2018) obriga fornecedores norte-americanos a entregar dados sob o seu controlo mediante uma ordem judicial em processo penal, mesmo que estejam guardados no estrangeiro.
• A FISA Section 702 dá aos serviços norte-americanos acesso a comunicações de não norte-americanos fora dos EUA, para fins de informações (inteligência), sem ordem por pessoa.
• A Section 702 caducou a 12 de junho de 2026, mas, segundo notícias, a recolha continua com base em certificações de março de 2026; está em discussão uma nova prorrogação.
• Um servidor situado na Europa não oferece proteção se a empresa por trás dele estiver sujeita ao direito norte-americano.
• Para a maioria das organizações, o risco é reduzido, mas não pode ser excluído nem controlado.

Quiz

Exercício

Exercício E1.3: A que legislação está o seu serviço sujeito? Escolha o seu serviço de cloud mais importante. Descubra qual é a empresa que celebra o contrato consigo (indicado nos termos e condições), onde está sediada, e quem é a empresa-mãe final. Responda: pode o CLOUD Act aplicar-se a este serviço, e porquê?

Para saber mais

Os passos descritos nestes artigos aplicam-se aos serviços da WebOké; junto de outros fornecedores, o funcionamento é semelhante.

• Manual do Nextcloud 15.13: Perguntas frequentes sobre segurança e privacidade
• 18 U.S.C. 2713, Required preservation and disclosure of communications and records (Cornell LII): https://www.law.cornell.edu/uscode/text/18/2713
• FISA Section 702 (50 U.S.C. 1881a) e o relatório CRS "FISA Section 702 and the 2024 Reforming Intelligence and Securing America Act" (congress.gov, R48592)
• Regulamento (UE) 2016/679 (RGPD), artigo 48.º (decisões estrangeiras que exijam a entrega de dados)