Como o US CLOUD Act expõe empresas europeias a penalidades da GDPR

Empresas que utilizam infraestrutura de nuvem sediada nos Estados Unidos enfrentam um risco significativo de conformidade, pois ordens judiciais americanas válidas podem obrigar os provedores a entregar dados armazenados, independentemente de sua localização geográfica física.

A mecânica e o alcance do CLOUD Act

Aprovado em 2018, o Clarifying Lawful Overseas Use of Data Act permite que autoridades policiais federais, estaduais e locais obtenham mandados e intimações que obrigam empresas de tecnologia sob jurisdição dos EUA a entregar dados de comunicações eletrônicas. Esse alcance legal se aplica independentemente de os servidores físicos estarem no exterior, ignorando processos tradicionais mais lentos, como os Tratados de Assistência Jurídica Mútua. Empresas como Google, Microsoft e Amazon estão sujeitas a essas ordens extraterritoriais. Além disso, a jurisdição da lei pode se estender a empresas não americanas caso elas mantenham presença jurídica suficiente, funcionários nos EUA ou um nexo comercial no país.

Conflitos regulatórios entre a legislação dos EUA e o GDPR

Para empresas europeias, a dependência de provedores de nuvem com sede nos EUA cria um sério impasse regulatório. Embora os fornecedores promovam seus serviços como compatíveis com o GDPR ou ofereçam opções de nuvem soberana europeia, seus centros de dados continuam controlados por entidades sob a jurisdição legal americana. Cumprir uma solicitação compulsória de divulgação de dados dos EUA sem um acordo internacional pode violar o Artigo 48 do GDPR, que não reconhece automaticamente ordens administrativas estrangeiras. Segundo pesquisas da Proton, mais de 74% das empresas europeias de capital aberto dependem de serviços de tecnologia americanos, ficando expostas a penalidades que podem atingir € 20 milhões ou 4% do faturamento anual global por transferências não autorizadas de dados pessoais.

Limites da soberania de dados e proteções por criptografia

Depoimentos recentes de executivos da Microsoft França destacam que a localização física dos dados não garante a soberania digital, uma vez que equipes locais não podem assegurar que os dados armazenados nunca serão entregues a autoridades estrangeiras sob ordem legal. Quando os recursos jurídicos e as alegações de cortesia internacional se esgotam, os provedores são obrigados a cumprir as ordens válidas. Organizações que buscam mitigar essa exposição costumam recorrer à criptografia de acesso zero ou de ponta a ponta. Como os provedores que utilizam criptografia de acesso zero não retêm as chaves de decodificação, qualquer dado entregue às autoridades sob uma ordem judicial permanece em formato ilegível.

Alternativas jurisdicionais

Provedores alternativos de nuvem sediados fora dos Estados Unidos, como a Proton na Suíça, operam sob estruturas jurídicas distintas. A Suíça não está sujeita à jurisdição do US CLOUD Act e não possui um acordo executivo bilateral com os Estados Unidos. Embora autoridades estrangeiras ainda possam solicitar cooperação em relação a dados por meio das estruturas suíças de assistência jurídica mútua, os pedidos devem tramitar primeiro pelos procedimentos judiciais internos da Suíça. Além disso, a forte criptografia de ponta a ponta garante que o conteúdo de mensagens e arquivos permaneça ilegível, mesmo que uma ordem judicial de produção seja processada com sucesso.

Ilustração editorial gerada por IA; não é uma fotografia documental.

Fonte: How the CLOUD Act gives the US access to foreign data