A CLOUD Act explicada: O que significa para suas fotos e privacidade

Suas fotos estão na “nuvem”. Mas em cuja nuvem? E quais leis se aplicam?

Se você está armazenando fotos no Google Fotos, iCloud, OneDrive ou Dropbox, provavelmente presume que seus dados estão protegidos pelas leis de privacidade do país onde esses servidores estão. Se suas fotos estão armazenadas na Europa, você pode pensar que as regras de privacidade europeia - como GDPR - o protegem. Mas há uma lei americana que você provavelmente nunca ouviu falar que pode anular tudo isso. É chamada CLOUD Act, e é mais importante do que você pensa.

O que é a CLOUD Act?

A CLOUD Act é uma lei americana breve e complexa de 2018. O nome significa “Clarifying Lawful Overseas Use of Data” - que, honestamente, soa mais confuso que a própria lei. Você pode ler o texto real aqui, mas o traduzimos para português simples.

Aqui está a ideia central: Se uma empresa americana armazena seus dados - mesmo que esses servidores estejam fisicamente na Europa - a aplicação da lei americana pode exigir que essa empresa lhe entregue seus dados diretamente, sem primeiro pedir permissão às autoridades europeias.

Pense assim: Você aluga um apartamento em Paris. O proprietário é americano. De acordo com as regras normais, se a polícia quisesse revistar seu apartamento, teria que passar pelos tribunais franceses e obter aprovação francesa. Mas e se houvesse uma regra que diz que os proprietários americanos têm que abrir suas portas para a polícia americana sempre que ela pedir? Isso é essencialmente o que o CLOUD Act faz - permite que a aplicação da lei americana contorne processos legais europeus e vá direto para a empresa que armazena seus dados.

O CLOUD Act permite que as autoridades americanas exijam dados de empresas de tecnologia americanas, mesmo quando esses dados estão armazenados em servidores europeus e pertencem a cidadãos europeus - possivelmente anulando proteções de privacidade europeia.

Por que isso importa (mesmo se seus dados estão na Europa)

Você pode pensar: “Minhas fotos estão armazenadas em um datacenter alemão, protegido pela lei alemã”. Isso parece seguro. Mas não é a lei que protege o prédio que importa - é a lei que protege a empresa que opera o prédio.

Quando você faz upload de fotos no Google Fotos, a Google (uma empresa americana) é responsável por elas. A sede da Google fica na Califórnia. A Google deve cumprir as leis americanas. Se a aplicação da lei americana se apresentar com uma solicitação legal, a Google tem que cumprir a lei americana - mesmo se suas fotos estão em servidores em Frankfurt, Amsterdam ou Dublin.

O CLOUD Act foi realmente projetado para resolver um problema diferente: era destinado a ajudar as empresas de tecnologia americanas a evitar demandas legais conflitantes de múltiplos países. Mas o efeito colateral foi criar um caminho legal para as autoridades americanas acessarem dados armazenados em qualquer lugar do mundo, desde que uma empresa americana os detenha.

GDPR não o protege do CLOUD Act

É aqui que fica importante: GDPR (o Regulamento Geral sobre Proteção de Dados da UE) é fantástico. Oferece-lhe direitos, limita o que as empresas podem fazer com seus dados, e força transparência. Mas GDPR é sobre o que as empresas podem fazer com seus dados por vontade própria. Não é um escudo contra solicitações do governo.

O CLOUD Act é sobre acesso governamental. GDPR não pode impedir que a aplicação da lei americana faça uma solicitação legal sob as regras do CLOUD Act. São duas coisas diferentes:

• GDPR controla o que as empresas fazem com seus dados em negócios normais e cotidianos
• CLOUD Act controla o que os governos podem exigir dessas empresas

Até mesmo uma empresa que segue o GDPR perfeitamente ainda tem que cumprir com uma solicitação do CLOUD Act das autoridades americanas. É como ter as regras de aluguel mais rigorosas do mundo - mas a polícia ainda pode entrar se tiver um mandado.

Quem é realmente afetado?

Basicamente: qualquer pessoa que use serviços principais de armazenamento em nuvem ou fotos. Isso inclui:

• Google Fotos e Google Drive
• Apple iCloud
• Microsoft OneDrive e Outlook
• Dropbox
• Fotos da Amazon
• Facebook e Instagram (que também hospedam suas fotos)
• Qualquer outra empresa de nuvem americana

Se uma empresa americana armazena seus dados, o CLOUD Act pode se aplicar. Isso não é teórico - a aplicação da lei americana já usou poderes do CLOUD Act para solicitar dados de empresas de tecnologia, e as empresas geralmente cumprem.

Consequências do mundo real

Vamos tornar isso concreto. Imagine:

• Um jornalista na Polônia usa Google Drive para armazenar pesquisas e documentos. As autoridades americanas investigando as fontes do jornalista poderiam exigir que a Google entregue tudo - mesmo que os dados estejam armazenados na Europa e o jornalista seja europeu.

• Um fotógrafo na Alemanha usa Dropbox para fazer backup de fotos de clientes e contratos. Se for investigado por algum motivo, as autoridades americanas poderiam acessar esses arquivos sem passar pelos tribunais alemães.

• Um ativista na Hungria usa Gmail e Google Fotos. As autoridades americanas poderiam acessar seus e-mails e fotos se tivessem uma base legal para fazê-lo.

Esses não são cenários paranóicos. É assim que a lei realmente funciona.

Como o CLOUD Act difere de outras regras

Você pode ouvir sobre leis como GDPR, SCHREMS II ou decisões de adequação. Estes são importantes, mas funcionam diferentemente:

• GDPR diz às empresas como lidar com seus dados. Não para governos.
• Decisões de adequação (como entre a UE e EUA) tentam criar confiança entre regiões. Mas não anulam o CLOUD Act.
• SCHREMS II dificultou mover dados entre continentes. Mas não impede solicitações do CLOUD Act uma vez que os dados estão com uma empresa americana.

O CLOUD Act está acima da maioria disso - é um caminho legal direto para as autoridades americanas acessarem dados.

O que você pode realmente fazer?

Você não pode sair do CLOUD Act. Mas você tem escolhas:

1. Use alternativas européias. Serviços como Nextcloud, Proton (sediado na Suíça) ou provedores europeus menores não estão sujeitos ao CLOUD Act porque não são empresas americanas. Isso oferece-lhe proteção real sob a lei europeia.

2. Criptografe antes de enviar. Se seus dados estão criptografados de ponta a ponta (você tem as chaves, a empresa não), as empresas não podem entregar dados legíveis mesmo se as autoridades exigirem. Procure por serviços com arquitetura de conhecimento zero.

3. Entenda o risco. Para fotos familiares ocasionais? Talvez o risco seja aceitável. Para documentos sensíveis, registros médicos ou qualquer coisa que você precise manter privada? Vale a pena considerar alternativas.

4. Apoie a legislação de privacidade. Defenda leis de proteção de dados mais fortes na Europa e regulamentos que limitem como as autoridades americanas podem acessar dados de cidadãos da UE.

Por que PixelUnion existe

Construímos PixelUnion precisamente por preocupações como essa. PixelUnion é um serviço europeu, focado em privacidade, de armazenamento gerenciado de fotos e vídeos. Seus dados permanecem na Europa, sob proteções legais europeias. Não vendemos seus dados, não construímos perfis sobre você, e não estamos sujeitos ao CLOUD Act porque não somos uma empresa americana.

Acreditamos que você deve ser capaz de armazenar suas fotos e memórias sem se perguntar se um governo estrangeiro pode acessá-las sem seu conhecimento ou consentimento.

O CLOUD Act não é uma conspiração secreta. É uma lei real com consequências reais. Você não precisa entrar em pânico, mas precisa entendê-lo - especialmente se se importa com sua privacidade. Suas fotos contam sua história. Você merece saber quais leis protegem essa história.

Descubra armazenamento de fotos focado em privacidade sem preocupações do CLOUD Act. Saiba mais sobre PixelUnion.