Cloud Act, FISA e soberania dos dados
Leis norte-americanas podem abrir o acesso a dados alojados na Europa. O que diz o RGPD, o que muda com o quadro UE-EUA e o SecNumCloud.
Em 30 segundos
- Onde acontece
- Em qualquer serviço cloud (armazenamento, mensagens, ferramentas de escritório em linha) fornecido por um prestador sujeito a uma lei extraeuropeia, mesmo que os servidores estejam na Europa1.
- O que o direito prevê
- O RGPD só reconhece a decisão de uma autoridade de um país terceiro que exija dados se esta assentar num acordo internacional, como um tratado de auxílio judiciário mútuo3.
- O que propõe a França
- A versão 3.2 do referencial SecNumCloud da ANSSI inclui requisitos de proteção face a estas leis1.
- O reflexo
- Antes de colocar um dado numa ferramenta cloud, verificar se é fornecida ou validada pela empresa e perguntar à direção informática ou ao encarregado da proteção de dados que dados aí podem ficar.
Do que se trata
Quando uma empresa confia os seus ficheiros, mensagens ou programas a um serviço cloud, escolhe também, nem sempre de forma consciente, o direito a que esses dados ficam sujeitos. O CERT-FR, ligado à ANSSI, observa que certos fornecedores de alojamento estão sujeitos a legislações como o Cloud Act e o FISA norte-americanos, que permitem às autoridades desses países aceder aos dados conservados na cloud, mesmo fora do seu território1.
O relatório do Senado francês escreve que «os gigantes americanos são obrigados a aplicar os regimes de sanções extraterritoriais ou as regras de acesso às provas eletrónicas (como o Cloud Act)»2. Esta ficha explica o que isto muda para um colaborador e para a direção.
Perguntas diretas
Os dados alojados na Europa estão a salvo das leis norte-americanas?
Não necessariamente. Segundo o CERT-FR, estas leis permitem às autoridades norte-americanas aceder aos dados conservados na cloud, mesmo fora do seu território1. A CNIL fala de um risco para os dados armazenados por uma empresa sujeita a um direito extraeuropeu, como os fornecedores de alojamento cuja sociedade-mãe está nos Estados Unidos5.
O fornecedor pode avisar o seu cliente?
O CERT-FR descreve leis que obrigam os fornecedores de alojamento a transmitir às suas autoridades os dados dos clientes, sem via de recurso nem informação a estes1.
A cifragem chega?
Não, segundo o CERT-FR. Não oferece uma proteção adequada se as chaves de cifragem estiverem também na cloud, o que acontece em geral quando os dados cifrados são tratados na cloud e não apenas armazenados1.
O que diz o RGPD?
O artigo 48.º afasta o reconhecimento automático de uma decisão estrangeira: esta só pode ser reconhecida ou executada se se basear num acordo internacional em vigor entre o país requerente e a União ou um Estado-Membro3.
Os Estados Unidos são um país «adequado»?
Para as empresas que participam no Data Privacy Framework, sim. A Comissão Europeia adotou a sua decisão de adequação num dia 10 de julho, e os dados pessoais podem circular livremente da UE para essas empresas4. A CNIL data esta decisão de 10 de julho de 20235.
1O que muda para os colaboradores1 min
O colaborador não tem de avaliar o direito aplicável: o seu papel é não contornar as ferramentas escolhidas pela empresa. Um serviço cloud pessoal ou gratuito, usado para um documento de trabalho, escapa à escolha do fornecedor de alojamento, à classificação dos dados e ao contrato que a direção possa ter negociado.
O CERT-FR lembra também que, na cloud, os clientes dos serviços cloud têm responsabilidades importantes na gestão dos dados e das identidades1. Um colaborador que partilha um ficheiro ou carrega um documento está a agir sobre os dados da empresa.
Daqui decorrem dois hábitos: usar as ferramentas fornecidas ou validadas e comunicar à direção informática qualquer utilização de cloud que não tenha sido validada; perguntar antes de aí colocar grandes bases de dados de saúde, de infrações ou de menores, que a CNIL inclui entre os dados sensíveis5.
2O que muda para a direçãoDireção1 min
A escolha do fornecedor de alojamento passa a ser uma decisão jurídica tanto quanto técnica. O CERT-FR escreve que é indispensável avaliar estes riscos caso a caso1.
Para os tratamentos mais sensíveis, a CNIL recomenda recorrer a um prestador exclusivamente sujeito ao direito europeu e que ofereça o nível de proteção adequado5. O CERT-FR assinala um segundo risco. Um serviço fornecido por um prestador estrangeiro pode estar sujeito a restrições à exportação ou a sanções, que podem evoluir ao longo do tempo, o que afeta a disponibilidade dos dados e das aplicações1.
3O que diz o textoTexto oficial2 min
O capítulo V do RGPD enquadra as transferências de dados pessoais para países terceiros. O artigo 44.º estabelece o princípio: uma transferência só ocorre se as condições do capítulo forem respeitadas, de modo a que o nível de proteção garantido pelo regulamento não seja comprometido3.
O capítulo prevê várias vias. A decisão de adequação da Comissão não exige autorização específica (artigo 45.º)3. Na sua ausência, são possíveis garantias adequadas: regras vinculativas aplicáveis às empresas ou cláusulas-tipo de proteção de dados, nomeadamente (artigo 46.º)3. Existem derrogações para situações particulares, como o consentimento explícito da pessoa em causa (artigo 49.º)3.
O artigo 48.º trata o caso preciso de uma injunção estrangeira: uma decisão de um tribunal ou de uma autoridade administrativa de um país terceiro que exija a transferência ou a divulgação de dados só pode ser reconhecida ou executada se assentar num acordo internacional, como um tratado de auxílio judiciário mútuo3.
Do lado norte-americano, a Comissão explica que a adequação se seguiu a uma ordem executiva presidencial de 7 de outubro e a um regulamento do procurador-geral dos Estados Unidos. Estes textos introduziram garantias vinculativas para responder ao acórdão Schrems II do Tribunal de Justiça da União Europeia, de julho de 2020: acesso das agências de informações limitado ao que é necessário e proporcionado, e mecanismo de recurso independente para as queixas dos europeus4. Estas garantias aplicam-se a todas as transferências para empresas norte-americanas, qualquer que seja o instrumento de transferência utilizado4.
Do lado francês, a versão 3.2 do referencial SecNumCloud da ANSSI inclui requisitos de proteção face à aplicação destas leis extraterritoriais1. A CNIL precisa que esta certificação permite uma proteção contra acessos por autoridades estrangeiras5.
4Em que ponto está a aplicação1 min
A decisão de adequação sobre o Data Privacy Framework está adotada e vale para as empresas norte-americanas participantes4. O RGPD prevê uma revisão periódica de uma decisão de adequação, pelo menos de quatro em quatro anos, e a Comissão pode revogá-la, alterá-la ou suspendê-la se o nível de proteção deixar de ser adequado3.
A certificação europeia EUCS ainda era um projeto em julho de 2024. Nessa data, a CNIL observava que o projeto conduzido pela ENISA já não permitia assegurar que o fornecedor de alojamento não está sujeito a uma legislação extraeuropeia, mesmo nos níveis mais elevados e mesmo a título opcional5. Apelava à reintrodução de critérios de imunidade às leis extraeuropeias, inspirados no SecNumCloud5. Esta questão devia ser rediscutida logo que a nova Comissão Europeia fosse constituída5. Em França, a lei de 21 de maio citada pela CNIL, conhecida como lei SREN, prevê que, para dados de sensibilidade particular para o Estado, o serviço cloud deve aplicar critérios de segurança e de proteção de dados que impeçam qualquer acesso por autoridades públicas de Estados terceiros não autorizado pelo direito da União ou de um Estado-Membro5. A doutrina «Cloud au centre» pede, por sua vez, às autoridades públicas que se assegurem de que os dados «de sensibilidade particular» alojados na cloud não estão sujeitos a leis extraeuropeias5.
Ficha
- Identificador
- CP-374
- Ala
- 6. Governação e GRC
- Competência Brain
- Proteger os dados (safeguard_data)
- Reflexo Brain
- cr-039
- Esquema
- G3 · Corte anatómico
- Idiomas
- de, en, es, fr, it, nl, pt
- Fontes
- 5 fontes verificadas em 3 de novembro de 2026
Fontes5 fontes
- CERT-FR (ANSSI), «Cloud computing : état de la menace informatique», 19 de fevereiro de 2025. https://cert.cyber.gouv.fr/uploads/CERTFR-2025-CTI-001.pdf (consultado em 3 de novembro de 2026)
- Sénat, «Le devoir de souveraineté numérique», 1 de outubro de 2019. https://www.senat.fr/rap/r19-007-1/r19-007-13.html (consultado em 3 de novembro de 2026)
- CNIL, «CHAPITRE V - Transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales». https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre5 (consultado em 3 de novembro de 2026)
- Commission européenne, «EU-US data transfers». https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en (consultado em 3 de novembro de 2026)
- CNIL, «Cloud : les risques d'une certification européenne permettant l'accès des autorités étrangères aux données sensibles», 19 de julho de 2024. https://www.cnil.fr/fr/cloud-les-risques-dune-certification-europeenne-permettant-lacces-des-autorites-etrangeres (consultado em 3 de novembro de 2026)
Citar este artigo
Brain, «Cloud Act, FISA e soberania dos dados», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp374_pt_2026,
author = {Brain},
title = {Cloud Act, FISA e soberania dos dados},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pt/articles/cloud-act-fisa-702-soberania-dados/},
note = {CC BY 4.0}
}