Se o seu provedor de nuvem estiver baseado nos EUA, uma ordem judicial válida dos EUA pode obrigar essa empresa a recuperar os dados da sua empresa em servidores em qualquer lugar do mundo.
Empresas como Google, Microsoft e Amazon estão vulneráveis a essa intromissão, possibilitada pelo CLOUD Act, uma lei de 2018 que dá aos agentes da lei americanos tentáculos globais.
É especialmente um problema para empresas da UE. Se o seu provedor dos EUA entregar seus e-mails ou arquivos, isso pode constituir uma violação do GDPR por vazamento de dados pessoais, que pode impor penalidades de até € 20 milhões ou 4% da receita anual global, o que for maior.
Essa é a realidade que as empresas americanas ocultam quando dizem “em conformidade com o RGPD” e “nuvem soberana europeia” em seu marketing. O data center na UE de um provedor dos EUA ainda é operado por uma empresa sob jurisdição dos EUA. Para sua empresa, isso significa que as decisões de compra carregam uma responsabilidade de conformidade que você pode não ter considerado. Para seus clientes, significa que os dados pessoais que eles confiaram a você podem acabar em um processo legal no qual eles não têm voz (e podem nunca ficar sabendo).
Aqui está uma explicação simples do CLOUD Act, por que essa legislação invasiva é importante para as empresas e como limitar sua exposição. Onde seus dados estão não decide mais quem pode acessá-los.
O que é o CLOUD Act?
O Clarifying Lawful Overseas Use of Data Act (CLOUD Act(nova janela)) é uma lei federal dos EUA que entrou em vigor em 2018. Ela permite que as autoridades federais — principalmente o Departamento de Justiça e o FBI, mas também a polícia federal, estadual e local — obtenham um mandado, ordem judicial ou intimação obrigando empresas de tecnologia sob jurisdição dos EUA a entregar dados, independentemente de onde esses dados estejam fisicamente armazenados.
Por exemplo, se o FBI obtiver um mandado obrigando a Microsoft a entregar os e-mails de uma empresa europeia, a Microsoft deve cumprir — mesmo que um tribunal europeu discorde do pedido.
O CLOUD Act tem um propósito policial legítimo. Ele foi projetado para ajudar as autoridades federais a investigar crimes graves, como terrorismo, exploração infantil e crimes cibernéticos. Ele não foi projetado para coleta de inteligência, que ocorre por meio de uma autoridade separada dos EUA (Seção 702 da FISA), frequentemente confundida com ele.
Esse propósito legítimo, no entanto, não remove o problema estrutural para as empresas: O CLOUD Act pode colocar um provedor sob jurisdição dos EUA em uma posição em que cumprir uma ordem legal dos EUA significa violar a lei da UE. Isso deixa as empresas presas entre dois regimes de conformidade sem maneira de satisfazer ambos.
Qual é a origem do CLOUD Act?
O CLOUD Act foi aprovado em 2018 pelo governo dos EUA para alterar o Stored Communications Act (SCA) de 1986. Essa alteração foi, em grande parte, uma resposta a um processo judicial em andamento(nova janela), o caso ‘Microsoft-Irlanda’.
Em 2013, a Microsoft contestou um mandado federal que exigia os e-mails de um cliente sob investigação por tráfico de drogas — e-mails armazenados pela Microsoft em servidores na Irlanda. Esse caso dependia de uma questão legal espinhosa: Um mandado dos EUA emitido sob a SCA poderia alcançar comunicações digitais controladas por uma empresa sediada nos EUA, mas armazenadas em um servidor de dados fora dos EUA?
Em 2018, o caso estava pendente de recurso na Suprema Corte quando o Congresso dos EUA aprovou o CLOUD Act. Isso tanto tornou o caso ‘Microsoft-Irlanda’ irrelevante quanto resolveu a questão dos poderes extraterritoriais do governo dos EUA sobre dados armazenados em solo estrangeiro, pelo menos no papel.
Que poderes o CLOUD Act dá ao governo dos EUA?
O CLOUD Act capacitou o governo dos EUA a solicitar dados direcionados, onde quer que estivessem armazenados, fortalecendo ordens extraterritoriais da SCA a provedores dos EUA. A lei esclareceu que as autoridades dos EUA podem usar mandados, intimações e ordens judiciais para acessar dados de comunicações armazenados eletronicamente localizados fora dos EUA, se o provedor de armazenamento estiver sujeito à jurisdição dos EUA, e os dados solicitados forem relevantes e materiais para uma investigação criminal em andamento. Um pedido do CLOUD Act vai direto ao provedor, contornando o processo muito mais lento do MLAT (Tratado de Assistência Jurídica Mútua)(nova janela) em que o governo dos EUA confiava anteriormente.
O CLOUD Act também capacitou governos dispostos a aderir a um acordo executivo bilateral com o governo dos EUA, o que permitiria que as autoridades de países parceiros fizessem pedidos diretos, transfronteiriços e específicos de dados a provedores de serviços sediados nos EUA.
Acordos executivos aceleram a coleta de evidências em casos criminais graves, como terrorismo e exploração infantil, onde o processo do MLAT pode levar meses. No momento da redação, existem apenas dois acordos executivos: entre os EUA e o Reino Unido (entrou em vigor em outubro de 2022(nova janela)), e entre os EUA e a Austrália (entrou em vigor em janeiro de 2024(nova janela)). Negociações entre o governo dos EUA e a UE e o Canadá(nova janela) foram iniciadas, mas ainda não concluídas.
Provedores de tecnologia têm um mecanismo de segurança: Eles podem contestar ou pedir para modificar uma ordem dos EUA sob ‘comity’ — o princípio legal de que os tribunais devem deferir às leis de outras jurisdições — se o cumprimento significar violar uma lei estrangeira, particularmente uma coberta por um acordo executivo. Fora do Reino Unido e da Austrália, esse desafio de comity da common law é a única opção disponível.
No entanto, como o Electronic Privacy Information Center (EPIC) argumenta(nova janela), mesmo com o comity, o CLOUD Act deixa os clientes, incluindo empresas, com pouco recurso real. Os provedores não são obrigados a notificar um cliente cujos dados foram acessados, os clientes não têm direito independente de contestar um pedido (isso depende inteiramente de o provedor optar por se opor), e acordos executivos explicitamente excluem a criação de qualquer novo recurso para as pessoas afetadas.
CLOUD Act vs GDPR
Na Europa, onde a pesquisa da própria Proton mostra que mais de 74% de todas as empresas de capital aberto dependem de serviços de tecnologia sediados nos EUA, o CLOUD Act é particularmente preocupante porque entra em conflito com o Regulamento Geral sobre a Proteção de Dados (GDPR) da UE.
De acordo com o Artigo 48(nova janela) do GDPR, uma ordem judicial estrangeira ou decisão de uma autoridade administrativa (incluindo uma ordem da SCA) para transferir ou divulgar dados pessoais não será automaticamente reconhecida ou executada na UE, a menos que seja feita sob um acordo internacional, como um MLAT.
Embora não tenha havido um caso de aplicação de multa pelo GDPR a uma empresa em conexão com uma ordem do CLOUD Act, há precedentes de reguladores agindo sobre essa categoria de risco: Em 2023, a Comissão de Proteção de Dados da Irlanda multou a Meta em um recorde de € 1,2 bilhão(nova janela) por transferências UE-EUA expostas à lei de vigilância dos EUA — especificamente a Seção 702 da FISA, não o CLOUD Act.
Para provedores de nuvem sediados nos EUA, isso significa que, se o governo dos EUA solicitar dados que eles processam, mas que são controlados por empresas europeias, cumprir o CLOUD Act pode significar violar o GDPR. De acordo com o Artigo 28(nova janela), o provedor (operador) só pode agir conforme as instruções documentadas do controlador, e “divulgar dados a um governo estrangeiro” não está entre essas instruções.
A exposição não se limita ao provedor. Se o provedor divulgar os dados de um cliente em resposta a uma ordem compulsória sem a base de acordo internacional que o Artigo 48 exige (o que, como não existe atualmente nenhum acordo executivo do CLOUD Act entre os EUA e a UE, significa um MLAT) a empresa proprietária desses dados carrega sua própria responsabilidade, não apenas o fornecedor que contratou para armazená-los.
Por que a localização dos dados não significa soberania dos dados
Em junho de 2025(nova janela), o próprio diretor de assuntos públicos e jurídicos da Microsoft França, Anton Carniaux, foi questionado sob juramento no Senado francês(nova janela) se poderia garantir que os dados dos cidadãos franceses nunca seriam entregues às autoridades dos EUA sem o consentimento francês.
Sua resposta: “Não. Não posso garantir isso.” Ele acrescentou que “isso nunca aconteceu antes”, o que, é claro, não significa que não possa acontecer no futuro.
A mensagem foi clara: Soberania de dados não se trata mais de onde os dados estão armazenados, mas de quem controla esses dados. A localização dos seus servidores de dados e os governos que têm autoridade sobre eles não são mais necessariamente a mesma coisa.
Esse fato fica desconfortavelmente próximo das ofertas de nuvem “em conformidade com o GDPR” que os gigantes da nuvem dos EUA (ou ‘hyperscalers’) estão comercializando para empresas europeias. Esses produtos de “nuvem soberana europeia” são operados por empresas sediadas nos EUA, ou controladas por uma empresa-mãe dos EUA, e as proteções do GDPR só se estendem até onde a lei dos EUA permite.
Como a arquitetura de criptografia de acesso zero mitiga a exposição ao CLOUD Act
Se o seu provedor de armazenamento em nuvem estiver sujeito à jurisdição dos EUA e as autoridades dos EUA exigirem acesso aos seus dados (com motivos legais legítimos), nem você nem seu provedor podem impedir que isso aconteça. Nesse ponto, a única defesa dos seus dados é a criptografia.
A criptografia torna os dados ilegíveis e inutilizáveis tanto por criminosos cibernéticos quanto por governos, transformando-os em ‘texto cifrado‘ que só alguém com a chave correta pode ler.
No entanto, a criptografia oferecida pela maioria dos provedores de nuvem dos EUA vem com uma ressalva fatal: Eles retêm as chaves de descriptografia. Isso significa que eles podem ler seus dados, ou serem obrigados a entregar uma cópia legível a terceiros, como as autoridades dos EUA.
Para proteção real contra a exposição de dados de arquivos e mensagens, seja a criminosos cibernéticos ou a governos, você precisa de criptografia de ponta a ponta ou criptografia de acesso zero, que impede o provedor de acessar os dados.
Um provedor que usa criptografia de acesso zero não tem a chave para descriptografar arquivos que manipula e armazena em seus servidores. Ele ainda pode ser forçado a divulgar dados quando as autoridades exigirem, mesmo que os dados estejam armazenados em uma jurisdição que aplica um padrão rigoroso de proteção de dados, como a Suíça. Mas os arquivos entregues seriam criptografados e ilegíveis.
Como a Proton protege empresas do CLOUD Act
A Proton está protegida do CLOUD Act de duas maneiras principais:
- Jurisdição suíça, que limita quem pode obrigar a Proton a entregar dados
- E criptografia forte, que limita o que eles podem fazer com o que quer que a Proton entregue
A Proton está sediada em Genebra, Suíça, fora da jurisdição dos EUA e do alcance das ordens do CLOUD Act. As autoridades dos EUA também não podem recorrer a um atalho bilateral: a Suíça não é parte de nenhum acordo executivo do CLOUD Act.
Isso não remove o processo legal por completo. A Suíça tem seu próprio quadro de assistência jurídica mútua, que permite que as autoridades suíças cooperem com investigações estrangeiras. Mas qualquer pedido precisa passar primeiro pela lei suíça, sob os tribunais suíços — não pode ser um mandado servido diretamente ao provedor.
O histórico jurídico da Proton mostra que estamos dispostos e capazes de contestar a lei suíça. Em 2020, contestamos uma lei suíça de retenção de dados que acreditávamos ser uma tentativa imprópria de usar leis de telecomunicações para minar a privacidade. Em 2021, o Tribunal Administrativo Federal decidiu que os serviços de e-mail não são provedores de telecomunicações e, portanto, não estão sujeitos aos requisitos de retenção da lei.
E mesmo uma ordem suíça bem-sucedida tem limites sobre o que pode obter. A criptografia de ponta a ponta e de acesso zero da Proton significa que o conteúdo das mensagens e os arquivos são ilegíveis para a própria Proton, e não há chave para entregar, independentemente de quem está pedindo. O conteúdo dos seus e-mails, documentos, arquivos e outros dados permanece fora de alcance.
Perguntas frequentes sobre o CLOUD Act
O CLOUD Act substitui o GDPR?
O CLOUD Act não se sobrepõe ao GDPR, mas entra em conflito com ele. Uma ordem do CLOUD Act pode colocar um provedor dos EUA em uma posição em que cumprir constitui violação ao Artigo 48 do GDPR (não há reconhecimento automático de uma ordem estrangeira sem um acordo internacional). Nenhuma das leis cede à outra, e o provedor, assim como qualquer empresa europeia que ele atenda, fica preso entre elas.
O CLOUD Act vale apenas para empresas dos EUA?
O CLOUD Act não se aplica apenas a empresas sediadas nos EUA ou controladas por uma empresa controladora dos EUA. Ele também alcança qualquer provedor com presença jurídica ou vínculo comercial suficiente nos EUA. Uma subsidiária nos EUA, equipe ou escritórios localizados nos EUA, ou empresas direcionadas intencionalmente a clientes dos EUA podem bastar para colocar uma organização sediada fora dos EUA ao alcance do CLOUD Act.
Posso recusar uma solicitação do CLOUD Act?
O cliente (controlador) geralmente não é quem é notificado; o provedor é. O provedor pode levantar uma questão de cortesia internacional se o cumprimento violar a lei estrangeira, ou contestar se uma solicitação for juridicamente deficiente. Mas, se os recursos legais forem esgotados e a ordem continuar válida, o provedor será obrigado a cumprir.
Qual é a diferença entre o CLOUD Act e um MLAT?
Quando evidências digitais são solicitadas por meio de um Tratado de Assistência Jurídica Mútua (MLAT), a solicitação passa por revisão judicial, um processo minucioso e lento. Os acordos executivos viabilizados pelo CLOUD Act permitem que as autoridades policiais contornem o processo do MLAT ao solicitar dados de um país parceiro. Até agora, apenas o Reino Unido e a Austrália têm acordos executivos com os EUA.
A criptografia impede solicitações do CLOUD Act?
A criptografia não impede uma ordem judicial, mas, se um provedor armazena dados de clientes com criptografia de ponta a ponta ou criptografia de acesso zero, ele não terá dados legíveis para entregar às autoridades, porque não possui as chaves de descriptografia. Assim, ele entregaria apenas arquivos criptografados.
