Se o seu fornecedor de nuvem estiver sediado nos EUA, uma ordem judicial válida dos EUA pode obrigar essa empresa a recuperar os dados da sua empresa em servidores em qualquer parte do mundo.
Empresas como a Google, a Microsoft e a Amazon estão vulneráveis a esta intrusão, possibilitada pela CLOUD Act, uma lei de 2018 que dá aos responsáveis pela aplicação da lei nos EUA tentáculos globais.
É especialmente um problema para as empresas da UE. Se o seu fornecedor nos EUA entregar os seus e-mails ou ficheiros, isso pode constituir uma violação do GDPR por fuga de dados pessoais, o que pode impor penalizações até 20 milhões de euros ou 4% do volume de negócios anual global, consoante o que for mais elevado.
É esta a realidade que as empresas americanas ocultam quando dizem «em conformidade com o RGPD» e «nuvem soberana europeia» no seu marketing. Um centro de dados da UE de um fornecedor dos EUA continua a ser gerido por uma empresa sob jurisdição dos EUA. Para a sua empresa, isto significa que as decisões de compra acarretam uma responsabilidade de conformidade que pode não ter sido considerada. Para os seus clientes, significa que os dados pessoais que lhe foram confiados podem acabar num processo legal sobre o qual não têm qualquer controlo e do qual podem nunca vir a saber.
Eis uma explicação simples da CLOUD Act, porque é que esta legislação invasiva é importante para as empresas, e como limitar a sua exposição. Onde os seus dados residem já não decide quem lhes pode aceder.
O que é a CLOUD Act?
A Clarifying Lawful Overseas Use of Data Act (CLOUD Act(nova janela)) é uma lei federal dos EUA que entrou em vigor em 2018. Permite às autoridades federais — principalmente o Department of Justice e o FBI, mas também a polícia federal, estadual e local — obter um mandado, ordem judicial ou intimação que obrigue empresas de tecnologia sob jurisdição dos EUA a entregar dados, independentemente do local do mundo onde esses dados estejam fisicamente armazenados.
Por exemplo, se o FBI obtiver um mandado que obrigue a Microsoft a entregar os e-mails de uma empresa europeia, a Microsoft tem de cumprir — mesmo que um tribunal europeu discorde do pedido.
A CLOUD Act tem um propósito policial legítimo. Destina-se a ajudar as autoridades federais a investigar crimes graves como terrorismo, exploração infantil e cibercrime. Não se destina à recolha de informações, que é feita através de uma autoridade separada dos EUA (Secção 702 da FISA), frequentemente confundida com ela.
No entanto, esse propósito legítimo não remove o problema estrutural para as empresas: A CLOUD Act pode colocar um fornecedor sob jurisdição dos EUA numa posição em que cumprir uma ordem legal dos EUA significa violar a lei da UE. Deixa as empresas presas entre dois regimes de conformidade sem forma de satisfazer ambos.
Qual é a origem da CLOUD Act?
A CLOUD Act foi aprovada em 2018 pelo governo dos EUA para alterar a Stored Communications Act (SCA) de 1986. Esta alteração foi, em grande parte, uma resposta a um processo judicial em curso(nova janela), o caso «Microsoft-Irlanda».
Em 2013, a Microsoft contestou um mandado federal que exigia os e-mails de um cliente sob investigação por tráfico de droga — e-mails armazenados pela Microsoft em servidores na Irlanda. Este caso dependia de uma questão legal espinhosa: poderia um mandado dos EUA emitido ao abrigo da SCA alcançar comunicações digitais controladas por uma empresa sediada nos EUA, mas armazenadas num servidor de dados fora dos EUA?
Em 2018, o caso estava pendente de recurso no Supremo Tribunal quando o Congresso dos EUA aprovou a CLOUD Act. Isto tanto tornou obsoleto o caso «Microsoft-Irlanda» como resolveu a questão dos poderes extraterritoriais do governo dos EUA sobre dados armazenados em solo estrangeiro, pelo menos no papel.
Que poderes confere a CLOUD Act ao governo dos EUA?
A CLOUD Act conferiu ao governo dos EUA o poder de solicitar dados específicos, onde quer que estivessem armazenados, reforçando as ordens extraterritoriais da SCA a fornecedores dos EUA. A lei clarificou que as autoridades dos EUA podem usar mandados, intimações e ordens judiciais para aceder a dados de comunicações armazenados eletronicamente localizados fora dos EUA, se o fornecedor de armazenamento estiver sujeito à jurisdição dos EUA e os dados solicitados forem relevantes e materiais para uma investigação criminal em curso. Um pedido da CLOUD Act vai diretamente ao fornecedor, contornando o processo muito mais lento do MLAT (Mutual Legal Assistance Treaty)(nova janela) em que o governo dos EUA confiava anteriormente.
A CLOUD Act também conferiu poderes a governos dispostos a aderir a um acordo executivo bilateral com o governo dos EUA, que permitiria às autoridades dos países parceiros fazer pedidos diretos, transfronteiriços e específicos de cada caso para dados de fornecedores de serviços sediados nos EUA.
Os acordos executivos aceleram a recolha de provas em casos criminais graves como terrorismo e exploração infantil, onde o processo do MLAT pode demorar meses. No momento da redação, existem apenas dois acordos executivos: entre os EUA e o Reino Unido (entrou em vigor em outubro de 2022(nova janela)), e entre os EUA e a Austrália (entrou em vigor em janeiro de 2024(nova janela)). Foram iniciadas negociações entre o governo dos EUA e a UE e o Canadá(nova janela), mas ainda não foram concluídas.
Os fornecedores de tecnologia têm, de facto, um mecanismo de segurança: podem contestar ou pedir a modificação de uma ordem dos EUA ao abrigo da «comity» — o princípio legal de que os tribunais se submetem às leis de outras jurisdições — se o cumprimento implicar violar uma lei estrangeira, particularmente uma abrangida por um acordo executivo. Fora do Reino Unido e da Austrália, este desafio de comity da common law é a única opção disponível.
No entanto, como argumenta o The Electronic Privacy Information Center (EPIC)(nova janela), mesmo com a comity, a CLOUD Act deixa os clientes, incluindo as empresas, com pouco recurso real. Os fornecedores não são obrigados a notificar um cliente cujos dados foram acedidos, os clientes não têm direito independente de contestar um pedido, pois isso depende inteiramente de o fornecedor decidir opor-se, e os acordos executivos excluem explicitamente a criação de qualquer novo recurso para as pessoas afetadas.
A CLOUD Act vs. GDPR
Na Europa, onde a própria investigação da Proton mostra que mais de 74% de todas as empresas cotadas em bolsa dependem de serviços tecnológicos sediados nos EUA, a CLOUD Act é motivo de particular preocupação porque colide com o Regulamento Geral sobre a Proteção de Dados (GDPR) da UE.
Ao abrigo do Artigo 48.º(nova janela) do GDPR, uma ordem judicial estrangeira ou decisão de uma autoridade administrativa, incluindo uma ordem da SCA, para transferir ou divulgar dados pessoais não será automaticamente reconhecida ou executada na UE, a menos que seja emitida ao abrigo de um acordo internacional, como um MLAT.
Embora não tenha havido um caso de o GDPR multar uma empresa em ligação com uma ordem da CLOUD Act, há precedentes de reguladores a agir sobre esta categoria de risco: em 2023, a Comissão de Proteção de Dados da Irlanda multou a Meta num valor recorde de 1,2 mil milhões de euros(nova janela) por transferências UE-EUA expostas à lei de vigilância dos EUA — especificamente a Secção 702 da FISA, não a CLOUD Act.
Para os fornecedores de nuvem sediados nos EUA, isto significa que, se o governo dos EUA solicitar dados que eles processam mas que são controlados por empresas europeias, cumprir a CLOUD Act pode significar violar o GDPR. Ao abrigo do Artigo 28.º(nova janela), o fornecedor, enquanto subcontratante, só pode agir de acordo com as instruções documentadas do responsável pelo tratamento, e «divulgar dados a um governo estrangeiro» não faz parte dessas instruções.
A exposição não se limita ao fornecedor. Se o fornecedor divulgar os dados de um cliente em resposta a uma ordem obrigatória sem a base de acordo internacional exigida pelo Artigo 48.º, o que, uma vez que não existe atualmente nenhum acordo executivo da CLOUD Act entre os EUA e a UE, significa um MLAT, a empresa proprietária desses dados tem a sua própria responsabilidade, não apenas o fornecedor que contratou para os armazenar.
Porque é que a localização dos dados não significa soberania dos dados
Em junho de 2025(nova janela), o próprio diretor de assuntos públicos e jurídicos da Microsoft França, Anton Carniaux, foi questionado sob juramento no Senado francês(nova janela) sobre se poderia garantir que os dados dos cidadãos franceses nunca seriam entregues às autoridades dos EUA sem o consentimento francês.
A sua resposta: «Não. Não posso garantir isso.» Acrescentou que «nunca aconteceu antes», o que, naturalmente, não significa que não possa acontecer no futuro.
A mensagem foi clara: A soberania dos dados já não se prende com o local onde os dados estão armazenados, mas com quem os controla. A localização dos seus servidores de dados e os governos que têm autoridade sobre eles já não são necessariamente a mesma coisa.
Este facto fica desconfortavelmente próximo das ofertas de nuvem «em conformidade com o RGPD» que os gigantes da nuvem dos EUA, ou «hyperscalers», comercializam junto das empresas europeias. Estes produtos de «nuvem soberana europeia» são geridos por empresas sediadas nos EUA, ou controladas por uma empresa-mãe dos EUA, e as proteções do GDPR só se estendem até onde a lei dos EUA o permite.
Como a arquitetura de encriptação de acesso zero mitiga a exposição à CLOUD Act
Se o seu fornecedor de armazenamento na nuvem estiver sujeito à jurisdição dos EUA e as autoridades dos EUA exigirem acesso aos seus dados com razões legais legítimas, nem você nem o seu fornecedor podem impedir que isso aconteça. Neste ponto, a única defesa dos seus dados é a encriptação.
A encriptação torna os dados ilegíveis e inutilizáveis tanto para cibercriminosos como para governos, transformando-os em «texto cifrado» que só alguém com a chave correta pode ler.
No entanto, a encriptação oferecida pela maioria dos fornecedores de nuvem dos EUA vem com uma ressalva fatal: são eles próprios que retêm as chaves de desencriptação. Isto significa que podem ler os seus dados, ou ser obrigados a entregar uma cópia legível a terceiros, como as autoridades dos EUA.
Para uma proteção real contra a exposição de dados de ficheiros e mensagens, tanto a cibercriminosos como a governos, precisa de encriptação ponto a ponto ou encriptação de acesso zero, que impede o fornecedor de aceder aos dados.
Um fornecedor que utiliza encriptação de acesso zero não tem a chave para desencriptar os ficheiros que trata e armazena nos seus servidores. Pode ainda ser obrigado a divulgar dados quando as autoridades o exigirem, mesmo que os dados estejam armazenados numa jurisdição que aplica um padrão rigoroso de proteção de dados, como a Suíça. Mas os ficheiros entregues estariam encriptados e ilegíveis.
Como a Proton protege as empresas da CLOUD Act
A Proton está protegida da CLOUD Act de duas formas principais:
- Jurisdição suíça, que limita quem pode obrigar a Proton a entregar dados
- E encriptação forte, que limita o que podem fazer com o que a Proton entregar
A Proton tem a sua sede em Genebra, na Suíça, fora da jurisdição dos EUA e do alcance das ordens da CLOUD Act. As autoridades dos EUA também não podem recorrer a um atalho bilateral: a Suíça não é parte de nenhum acordo executivo da CLOUD Act.
Isto não remove completamente o processo legal. A Suíça tem o seu próprio quadro de assistência jurídica mútua, que permite às autoridades suíças cooperar com investigações estrangeiras. Mas qualquer pedido tem de passar primeiro pela lei suíça, sob os tribunais suíços — não pode ser um mandado entregue diretamente ao fornecedor.
O historial jurídico da Proton mostra que estamos dispostos e somos capazes de contestar a lei suíça. Em 2020, contestámos uma lei suíça de retenção de dados que considerávamos uma tentativa imprópria de usar leis de telecomunicações para minar a privacidade. Em 2021, o Tribunal Administrativo Federal decidiu que os serviços de e-mail não são fornecedores de telecomunicações e, portanto, não estão sujeitos aos requisitos de retenção da lei.
E mesmo uma ordem suíça bem-sucedida tem limites quanto ao que pode obter. A encriptação ponto a ponto e de acesso zero da Proton significa que o conteúdo das mensagens e os ficheiros são ilegíveis para a própria Proton, e não há chave para entregar, independentemente de quem a pede. O conteúdo dos seus e-mails, documentos, ficheiros e outros dados permanece fora de alcance.
Perguntas frequentes sobre a CLOUD Act
A CLOUD Act sobrepõe-se ao GDPR?
O CLOUD Act não se sobrepõe ao GDPR, mas entra em conflito com ele. Uma ordem do CLOUD Act pode colocar um fornecedor dos EUA numa posição em que o cumprimento viola o artigo 48.º do GDPR, pois não há reconhecimento automático de uma ordem estrangeira sem um acordo internacional. Nenhuma das leis cede à outra, e o fornecedor — e qualquer empresa europeia que ele sirva — fica entre as duas.
O CLOUD Act aplica-se apenas a empresas dos EUA?
O CLOUD Act não se aplica apenas a empresas com sede nos EUA, ou controladas por uma empresa principal dos EUA. Também abrange qualquer fornecedor com presença legal suficiente nos EUA ou nexo comercial. Uma subsidiária nos EUA, funcionários ou escritórios baseados nos EUA, ou empresas deliberadamente direcionadas a clientes dos EUA podem ser suficientes para colocar uma organização com sede fora dos EUA ao alcance do CLOUD Act.
Posso recusar um pedido do CLOUD Act?
Geralmente, o cliente, na qualidade de responsável pelo tratamento, não é o visado — o fornecedor é. O fornecedor pode levantar uma objeção de cortesia se o cumprimento violar a lei estrangeira, ou recusar se um pedido for legalmente deficiente. Mas se os recursos legais se esgotarem e a ordem permanecer válida, o fornecedor será forçado a cumprir.
Qual é a diferença entre o CLOUD Act e um MLAT?
Quando são solicitadas provas digitais através de um Tratado de Auxílio Judiciário Mútuo (MLAT), esse pedido é sujeito a revisão judicial, um processo minucioso e lento. Os acordos executivos ativados pelo CLOUD Act permitem que as autoridades policiais contornem o processo MLAT ao solicitar dados a um país parceiro. Até agora, apenas o Reino Unido e a Austrália têm acordos executivos com os EUA.
A encriptação impede pedidos do CLOUD Act?
A encriptação não impede uma ordem legal, mas se um fornecedor armazenar dados de clientes com encriptação ponto a ponto ou encriptação de acesso zero, então não terá quaisquer dados legíveis para entregar às autoridades, porque não tem as chaves de desencriptação. Assim, entregaria apenas ficheiros encriptados.
