--- id: CP-374 slug: cloud-act-fisa-702-soberania-dados lang: pt title: Cloud Act, FISA e soberania dos dados description: Leis norte-americanas podem abrir o acesso a dados alojados na Europa. O que diz o RGPD, o que muda com o quadro UE-EUA e o SecNumCloud. canonical_url: https://startbrain.io/cyberpedia/pt/articles/cloud-act-fisa-702-soberania-dados/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/cloud-act-fisa-702-soberania-dados.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Cloud Act, FISA e soberania dos dados», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/cloud-act-fisa-702-soberania-dados/ (CC BY 4.0) wing: 6 theme: safeguard_data reflex: cr-039 schema: G3 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/cloud-act-fisa-702-soberania-dados/ fr: https://startbrain.io/cyberpedia/fr/articles/cloud-act-fisa-702-souverainete-donnees/ en: https://startbrain.io/cyberpedia/en/articles/cloud-act-fisa-702-data-sovereignty/ de: https://startbrain.io/cyberpedia/de/articles/cloud-act-fisa-702-datensouveranitaet/ es: https://startbrain.io/cyberpedia/es/articles/cloud-act-fisa-702-soberania-datos/ it: https://startbrain.io/cyberpedia/it/articles/cloud-act-fisa-702-sovranita-dati/ nl: https://startbrain.io/cyberpedia/nl/articles/cloud-act-fisa-702-gegevenssoevereiniteit/ sources: - "n": 1 title: "Cloud computing : état de la menace informatique" publisher: CERT-FR (ANSSI) url: https://cert.cyber.gouv.fr/uploads/CERTFR-2025-CTI-001.pdf published: "2025-02-19" accessed: "2026-11-03" - "n": 2 title: Le devoir de souveraineté numérique publisher: Sénat url: https://www.senat.fr/rap/r19-007-1/r19-007-13.html published: "2019-10-01" accessed: "2026-11-03" - "n": 3 title: CHAPITRE V - Transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales publisher: CNIL url: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre5 accessed: "2026-11-03" - "n": 4 title: EU-US data transfers publisher: Commission européenne url: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en accessed: "2026-11-03" - "n": 5 title: "Cloud : les risques d'une certification européenne permettant l'accès des autorités étrangères aux données sensibles" publisher: CNIL url: https://www.cnil.fr/fr/cloud-les-risques-dune-certification-europeenne-permettant-lacces-des-autorites-etrangeres published: "2024-07-19" accessed: "2026-11-03" --- # Cloud Act, FISA e soberania dos dados Quando uma empresa confia os seus ficheiros, mensagens ou programas a um serviço cloud, escolhe também, nem sempre de forma consciente, o direito a que esses dados ficam sujeitos. O CERT-FR, ligado à ANSSI, observa que certos fornecedores de alojamento estão sujeitos a legislações como o Cloud Act e o FISA norte-americanos, que permitem às autoridades desses países aceder aos dados conservados na cloud, mesmo fora do seu território [1]. O relatório do Senado francês escreve que «os gigantes americanos são obrigados a aplicar os regimes de sanções extraterritoriais ou as regras de acesso às provas eletrónicas (como o Cloud Act)» [2]. Esta ficha explica o que isto muda para um colaborador e para a direção. ## Em 30 segundos - Onde acontece: em qualquer serviço cloud (armazenamento, mensagens, ferramentas de escritório em linha) fornecido por um prestador sujeito a uma lei extraeuropeia, mesmo que os servidores estejam na Europa [1]. - O que o direito prevê: o RGPD só reconhece a decisão de uma autoridade de um país terceiro que exija dados se esta assentar num acordo internacional, como um tratado de auxílio judiciário mútuo [3]. - O que propõe a França: a versão 3.2 do referencial SecNumCloud da ANSSI inclui requisitos de proteção face a estas leis [1]. - O reflexo: antes de colocar um dado numa ferramenta cloud, verificar se é fornecida ou validada pela empresa e perguntar à direção informática ou ao encarregado da proteção de dados que dados aí podem ficar. ## Perguntas diretas ### Os dados alojados na Europa estão a salvo das leis norte-americanas? Não necessariamente. Segundo o CERT-FR, estas leis permitem às autoridades norte-americanas aceder aos dados conservados na cloud, mesmo fora do seu território [1]. A CNIL fala de um risco para os dados armazenados por uma empresa sujeita a um direito extraeuropeu, como os fornecedores de alojamento cuja sociedade-mãe está nos Estados Unidos [5]. ### O fornecedor pode avisar o seu cliente? O CERT-FR descreve leis que obrigam os fornecedores de alojamento a transmitir às suas autoridades os dados dos clientes, sem via de recurso nem informação a estes [1]. ### A cifragem chega? Não, segundo o CERT-FR. Não oferece uma proteção adequada se as chaves de cifragem estiverem também na cloud, o que acontece em geral quando os dados cifrados são tratados na cloud e não apenas armazenados [1]. ### O que diz o RGPD? O artigo 48.º afasta o reconhecimento automático de uma decisão estrangeira: esta só pode ser reconhecida ou executada se se basear num acordo internacional em vigor entre o país requerente e a União ou um Estado-Membro [3]. ### Os Estados Unidos são um país «adequado»? Para as empresas que participam no Data Privacy Framework, sim. A Comissão Europeia adotou a sua decisão de adequação num dia 10 de julho, e os dados pessoais podem circular livremente da UE para essas empresas [4]. A CNIL data esta decisão de 10 de julho de 2023 [5]. ## O que muda para os colaboradores O colaborador não tem de avaliar o direito aplicável: o seu papel é não contornar as ferramentas escolhidas pela empresa. Um serviço cloud pessoal ou gratuito, usado para um documento de trabalho, escapa à escolha do fornecedor de alojamento, à classificação dos dados e ao contrato que a direção possa ter negociado. O CERT-FR lembra também que, na cloud, os clientes dos serviços cloud têm responsabilidades importantes na gestão dos dados e das identidades [1]. Um colaborador que partilha um ficheiro ou carrega um documento está a agir sobre os dados da empresa. Daqui decorrem dois hábitos: usar as ferramentas fornecidas ou validadas e comunicar à direção informática qualquer utilização de cloud que não tenha sido validada; perguntar antes de aí colocar grandes bases de dados de saúde, de infrações ou de menores, que a CNIL inclui entre os dados sensíveis [5]. ## O que muda para a direção A escolha do fornecedor de alojamento passa a ser uma decisão jurídica tanto quanto técnica. O CERT-FR escreve que é indispensável avaliar estes riscos caso a caso [1]. Para os tratamentos mais sensíveis, a CNIL recomenda recorrer a um prestador exclusivamente sujeito ao direito europeu e que ofereça o nível de proteção adequado [5]. O CERT-FR assinala um segundo risco. Um serviço fornecido por um prestador estrangeiro pode estar sujeito a restrições à exportação ou a sanções, que podem evoluir ao longo do tempo, o que afeta a disponibilidade dos dados e das aplicações [1]. ## O que diz o texto O capítulo V do RGPD enquadra as transferências de dados pessoais para países terceiros. O artigo 44.º estabelece o princípio: uma transferência só ocorre se as condições do capítulo forem respeitadas, de modo a que o nível de proteção garantido pelo regulamento não seja comprometido [3]. O capítulo prevê várias vias. A decisão de adequação da Comissão não exige autorização específica (artigo 45.º) [3]. Na sua ausência, são possíveis garantias adequadas: regras vinculativas aplicáveis às empresas ou cláusulas-tipo de proteção de dados, nomeadamente (artigo 46.º) [3]. Existem derrogações para situações particulares, como o consentimento explícito da pessoa em causa (artigo 49.º) [3]. O artigo 48.º trata o caso preciso de uma injunção estrangeira: uma decisão de um tribunal ou de uma autoridade administrativa de um país terceiro que exija a transferência ou a divulgação de dados só pode ser reconhecida ou executada se assentar num acordo internacional, como um tratado de auxílio judiciário mútuo [3]. Do lado norte-americano, a Comissão explica que a adequação se seguiu a uma ordem executiva presidencial de 7 de outubro e a um regulamento do procurador-geral dos Estados Unidos. Estes textos introduziram garantias vinculativas para responder ao acórdão Schrems II do Tribunal de Justiça da União Europeia, de julho de 2020: acesso das agências de informações limitado ao que é necessário e proporcionado, e mecanismo de recurso independente para as queixas dos europeus [4]. Estas garantias aplicam-se a todas as transferências para empresas norte-americanas, qualquer que seja o instrumento de transferência utilizado [4]. Do lado francês, a versão 3.2 do referencial SecNumCloud da ANSSI inclui requisitos de proteção face à aplicação destas leis extraterritoriais [1]. A CNIL precisa que esta certificação permite uma proteção contra acessos por autoridades estrangeiras [5]. ## Em que ponto está a aplicação A decisão de adequação sobre o Data Privacy Framework está adotada e vale para as empresas norte-americanas participantes [4]. O RGPD prevê uma revisão periódica de uma decisão de adequação, pelo menos de quatro em quatro anos, e a Comissão pode revogá-la, alterá-la ou suspendê-la se o nível de proteção deixar de ser adequado [3]. A certificação europeia EUCS ainda era um projeto em julho de 2024. Nessa data, a CNIL observava que o projeto conduzido pela ENISA já não permitia assegurar que o fornecedor de alojamento não está sujeito a uma legislação extraeuropeia, mesmo nos níveis mais elevados e mesmo a título opcional [5]. Apelava à reintrodução de critérios de imunidade às leis extraeuropeias, inspirados no SecNumCloud [5]. Esta questão devia ser rediscutida logo que a nova Comissão Europeia fosse constituída [5]. Em França, a lei de 21 de maio citada pela CNIL, conhecida como lei SREN, prevê que, para dados de sensibilidade particular para o Estado, o serviço cloud deve aplicar critérios de segurança e de proteção de dados que impeçam qualquer acesso por autoridades públicas de Estados terceiros não autorizado pelo direito da União ou de um Estado-Membro [5]. A doutrina «Cloud au centre» pede, por sua vez, às autoridades públicas que se assegurem de que os dados «de sensibilidade particular» alojados na cloud não estão sujeitos a leis extraeuropeias [5]. ## Fontes 1. CERT-FR (ANSSI), «Cloud computing : état de la menace informatique», 19 de fevereiro de 2025. https://cert.cyber.gouv.fr/uploads/CERTFR-2025-CTI-001.pdf (consultado em 3 de novembro de 2026) 2. Sénat, «Le devoir de souveraineté numérique», 1 de outubro de 2019. https://www.senat.fr/rap/r19-007-1/r19-007-13.html (consultado em 3 de novembro de 2026) 3. CNIL, «CHAPITRE V - Transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales». https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre5 (consultado em 3 de novembro de 2026) 4. Commission européenne, «EU-US data transfers». https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en (consultado em 3 de novembro de 2026) 5. CNIL, «Cloud : les risques d'une certification européenne permettant l'accès des autorités étrangères aux données sensibles», 19 de julho de 2024. https://www.cnil.fr/fr/cloud-les-risques-dune-certification-europeenne-permettant-lacces-des-autorites-etrangeres (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/cloud-act-fisa-702-soberania-dados/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.