Mais do que privacidade: disponibilidade, dependência e custos

Módulo 1: Porque escolher uma cloud europeia? · Tempo de leitura: 11 minutos

Objetivo de aprendizagem: Após esta lição, saberá explicar que a soberania digital também diz respeito à disponibilidade, à dependência e à autonomia de decisão, conhecerá os novos direitos europeus de mudança previstos no Data Act e será capaz de ponderar os riscos da sua própria situação.

Conceitos-chave: soberania digital, risco de disponibilidade, sanções, alteração unilateral de condições, dependência de fornecedor (vendor lock-in), risco de concentração, Data Act da UE, direito de mudança, custos de mudança, NIS2, ponderação (probabilidade e impacto)

Soberania é mais do que "quem pode ler os seus dados"

As lições anteriores trataram da confidencialidade: quem pode aceder aos seus dados. Mas há ainda duas perguntas que são, no mínimo, igualmente importantes para uma organização:

1. Consegue aceder aos seus dados quando precisa deles? (disponibilidade)
2. Pode decidir por si próprio, mesmo quando o fornecedor quer outra coisa? (autonomia de decisão)

Em conjunto, isto chama-se soberania digital: a medida em que você (ou o seu país, ou a Europa) mantém o controlo sobre os seus dados e serviços digitais. A expressão soa a algo grandioso, mas para a Bakkerij De Korrel é muito prática: se a Sanne, numa segunda-feira de manhã às seis horas, não conseguir abrir as rotas de entrega, ficam doze pessoas à espera.

Isto é uma explicação, não é aconselhamento jurídico.

Risco 1: a sua conta pode ser encerrada

Um serviço na cloud pode limitar ou encerrar o seu acesso. Geralmente por razões comuns: uma fatura por pagar, uma suspeita de utilização indevida, um sistema automático que avalia algo de forma incorreta. Quem já teve uma conta bloqueada num serviço de grande dimensão sabe como é difícil conseguir falar com uma pessoa.

Existe também uma variante geopolítica. Uma empresa tem de cumprir as sanções do país a cuja jurisdição está sujeita. Em fevereiro de 2025, o governo dos Estados Unidos impôs sanções ao procurador-chefe do Tribunal Penal Internacional (TPI) em Haia. Em maio de 2025, a agência noticiosa AP informou que este tinha perdido o acesso ao seu correio eletrónico profissional na Microsoft. A Microsoft declarou que nunca interrompeu os seus serviços ao TPI; segundo notícias posteriores, foi o próprio TPI que, sob pressão das sanções, deixou de disponibilizar a caixa de correio. A forma exata como isto ocorreu ainda está em discussão. Mas o exemplo mostra que a disponibilidade de um serviço depende da política do país do fornecedor, não apenas da tecnologia.

Uma padaria dificilmente será afetada por sanções. O ponto é mais amplo: você depende de regras sobre as quais não tem qualquer influência.

Risco 2: as condições e os preços mudam unilateralmente

Os serviços na cloud funcionam com subscrições e condições gerais que o fornecedor pode alterar. Os pacotes são fundidos, as funcionalidades passam para um pacote mais caro, ou surge uma nova funcionalidade (como a IA) que aumenta o preço ou utiliza os seus dados de forma diferente. Normalmente só pode escolher entre aceitar ou sair. E sair é difícil quando todo o seu trabalho já lá está guardado. A isto chama-se dependência de fornecedor, em inglês vendor lock-in (lição 2.3).

Risco 3: tudo junto com um único fornecedor

Se tiver o correio eletrónico, a agenda, os ficheiros, o chat, as palavras-passe e o início de sessão noutros serviços ("iniciar sessão com Google ou Microsoft") num único fornecedor, basta uma avaria, uma conta bloqueada ou uma palavra-passe comprometida para perder tudo ao mesmo tempo. A isto chama-se risco de concentração. Isto aplica-se a qualquer fornecedor, inclusive a um fornecedor europeu. A dispersão e uma cópia de segurança própria (módulo 8) ajudam a mitigar este risco.

Ao nível do país, verifica-se o mesmo fenómeno. Na Holanda, em 2025 e 2026, surgiu uma discussão sobre a Solvinity, a empresa que fornece a infraestrutura para o DigiD e o MijnOverheid. A empresa norte-americana Kyndryl pretendia adquiri-la. Após parecer do Bureau Toetsing Investeringen, o secretário de Estado proibiu a aquisição em maio de 2026, para proteger o interesse público; uma das preocupações era a possibilidade de o governo dos Estados Unidos obter acesso através do CLOUD Act. O exemplo mostra que também o proprietário de um fornecedor europeu pode mudar. Um serviço europeu de hoje pode ter uma empresa-mãe norte-americana amanhã. Por isso, um plano de saída (lição 8.2) deve fazer parte de qualquer escolha.

Novas regras europeias: o Data Act

A UE criou regras para facilitar a mudança entre serviços de cloud, no Data Act (Regulamento (UE) 2023/2854). O regulamento aplica-se desde 12 de setembro de 2025. Para os serviços de cloud (a lei utiliza a expressão "serviços de tratamento de dados"), as regras constam do capítulo VI (artigos 23.º a 31.º). Em resumo:

• Um fornecedor não pode impedi-lo de mudar para outro fornecedor ou para servidores próprios, devendo colaborar nesse processo.
• O contrato deve prever, entre outros aspetos, um prazo de denúncia de, no máximo, dois meses, um período de transição que, em princípio, não excede trinta dias, e um período mínimo de trinta dias para recolher os seus dados.
• Os fornecedores devem ser claros antecipadamente sobre os custos.
• Os custos de mudança, incluindo os custos de envio dos seus dados para fora (egress), já desde o início só podiam ser cobrados ao preço de custo, e deixam de existir por completo a partir de 12 de janeiro de 2027 (artigo 29.º). Os custos normais de subscrição e as penalizações por rescisão antecipada de um contrato com prazo fixo continuam a ser permitidos.

Isto ajuda, mas não resolve tudo. A lei diz que pode levar os seus dados consigo, não que estes funcionarão exatamente da mesma forma no novo serviço. Levar um documento do Google ou um histórico de conversas do Teams para outro ambiente continua a ser complicado (módulos 5, 6 e 7).

NIS2 num parágrafo

A Diretiva NIS2 europeia (Diretiva (UE) 2022/2555) obriga as organizações de média e grande dimensão em setores importantes a terem a sua cibersegurança, e a dos seus fornecedores, em ordem. Uma pequena padaria não está abrangida, mas um fornecedor de uma organização dessas pode receber perguntas sobre os seus próprios serviços na cloud. A NIS2 não diz nada sobre ser europeu ou não, mas exige que conheça os riscos na sua cadeia.

Ponderar: nem tudo tem a mesma importância

Não precisa de mudar tudo amanhã. Uma ponderação sensata, elemento a elemento, ajuda. Para cada risco, analise a probabilidade de ocorrer e o impacto caso ocorra:

Uma tabela como esta mostra por onde começar. A pasta de pessoal é pequena e sensível: fácil de mudar com grande benefício. O correio eletrónico é importante, mas exige um plano cuidadoso (módulo 4). O histórico do chat talvez não leve consigo, mas pode arquivá-lo.

Um contrapeso honesto: os grandes serviços norte-americanos são fiáveis, tecnicamente sólidos e familiares para os seus colaboradores. Uma mudança custa tempo e exige adaptação. A questão não é "certo ou errado", mas sim que riscos aceita conscientemente.

Na prática: como isto se apresenta junto de um fornecedor

Pergunte a qualquer fornecedor, mesmo um europeu: como retiro os meus dados, em que formatos, e durante quanto tempo após a rescisão ainda consigo aceder-lhes? Na WebOké, por exemplo, o manual do Nextcloud explica como transferir dados entre instâncias de Nextcloud, e o Nextcloud funciona com normas abertas como WebDAV, CalDAV e CardDAV, permitindo também a mudança para outro fornecedor. Outros fornecedores têm funcionalidades de exportação semelhantes; verifique se funcionam sem necessidade de apoio do suporte técnico.

Resumo

• A soberania digital diz respeito à confidencialidade, à disponibilidade e à autonomia de decisão.
• Uma conta pode ser encerrada, por um erro, um pagamento em falta ou sanções; o caso do TPI (2025) mostra que a política também tem influência.
• As condições e os preços podem mudar unilateralmente; ter tudo junto com um único fornecedor gera risco de concentração.
• O Data Act (aplicável desde 12 de setembro de 2025) concede direitos de mudança; os custos de mudança deixam de existir a partir de 12 de janeiro de 2027.
• Pondere a probabilidade e o impacto de cada elemento e comece onde o benefício é maior.

Quiz

Exercício

Exercício A1.5: A sua própria ponderação de risco. Preencha, para a sua própria organização e para cada elemento (correio eletrónico, agenda, contactos, ficheiros, documentos, chat, palavras-passe, cópias de segurança), o grau de confidencialidade, a gravidade de uma eventual indisponibilidade e a dificuldade de o retirar. O programa verifica se a sua ponderação está completa e consistente e organiza os elementos por ordem.

Exercício E1.5: A sua ponderação em cinco frases. Escreva porque é que a sua organização quer, ou não quer (parcialmente), mudar, que riscos aceita conscientemente e qual é o argumento mais importante para os seus colegas.

Para saber mais

Os passos descritos nestes artigos aplicam-se aos serviços da WebOké; junto de outros fornecedores o funcionamento é semelhante.

• Manual do Nextcloud 1.1: O que é o Nextcloud e o que é um WebOké Nextcloud?
• Manual do Nextcloud 13.1: Preparar: o que leva consigo e em que ordem
• Manual do Nextcloud 6.6: Cópias de segurança no WebOké: o que guardamos e o que pode fazer você mesmo
• Regulamento (UE) 2023/2854 (Data Act), capítulo VI, artigos 23.º a 31.º, em EUR-Lex
• Diretiva (UE) 2022/2555 (NIS2), em EUR-Lex