O que é a soberania de dados e porque é importante para as tuas fotos?
A soberania de dados aparece em quase todas as políticas de privacidade e páginas de marketing que lês. Os fornecedores cloud referem-na. Os governos usam-na em legislação. Startups inteiras constroem marcas em torno dela. Mas se perguntares a três pessoas o que significa, normalmente obténs quatro respostas diferentes.
Isso é um problema, porque o termo tem de facto um significado específico, e a diferença entre a definição técnica e a versão de marketing é a diferença entre proteção real e uma brecha legal.
O que a soberania de dados realmente significa
A soberania de dados é o princípio segundo o qual os dados estão sujeitos às leis do país em que se encontram fisicamente. Se as tuas fotos estão em servidores na Alemanha, aplica-se a lei alemã. Se estão na Irlanda, aplica-se a lei irlandesa. E porque a Irlanda e a Alemanha são ambos Estados-Membros da UE, regulamentos como o GDPR governam como os dados podem ser recolhidos, processados e partilhados.
O conceito parece simples. Na prática, é complicado por três coisas que a maioria das páginas de privacidade não detalha.
As três camadas da soberania
Para perceber se um serviço oferece realmente soberania de dados, precisas de fazer três perguntas distintas.
Onde residem fisicamente os dados? Esta é a camada em que a maioria se foca. Quando um serviço diz “dados guardados na UE”, normalmente significa que os seus servidores estão num centro de dados europeu. É necessário, mas não suficiente.
Quem opera a infraestrutura? O servidor físico pode estar em Frankfurt, mas se for operado por um fornecedor cloud norte-americano, o operador está sujeito à lei dos EUA. Quando o governo dos EUA emite um pedido, o operador responde, independentemente de onde a máquina esteja.
Onde está registada a empresa? Esta é a camada que determina que leis a própria empresa tem de cumprir. Uma empresa registada na Califórnia está sujeita à lei dos EUA, incluindo o CLOUD Act, independentemente de onde estejam os seus servidores ou clientes.
Para que a soberania de dados se mantenha, as três camadas têm de estar alinhadas. O servidor tem de estar na jurisdição relevante, o operador tem de estar sujeito à lei dessa jurisdição, e a empresa não pode estar legalmente obrigada a cumprir pedidos de um governo estrangeiro.
Porque “guardado na UE” não chega
O intervalo entre a promessa de marketing e a realidade legal tornou-se claro com uma decisão do Tribunal de Justiça da União Europeia em 2020, conhecida como Schrems II. O tribunal considerou que a transferência de dados pessoais da UE para os EUA não protegia adequadamente os europeus contra as leis de vigilância norte-americanas, mesmo quando os dados nunca atravessavam o Atlântico.
O raciocínio do tribunal foi direto. Se uma empresa dos EUA detém os dados, a lei dos EUA alcança-os, onde quer que os servidores estejam. A localização de armazenamento por si só não determina que leis se aplicam.
Por isso “alojado na UE” é uma frase comum e uma afirmação fraca. Cobre apenas a primeira das três camadas. Sem as outras duas, a proteção que implica não se sustenta.
O que o CLOUD Act muda
O CLOUD Act dos EUA foi aprovado em 2018. Dá às autoridades dos EUA o poder de obrigar empresas sediadas nos EUA a entregar dados que detêm ou controlam, independentemente de onde esses dados estejam fisicamente guardados.
Isto significa que um fornecedor cloud norte-americano que opere servidores nos Países Baixos pode ser legalmente obrigado a entregar dados guardados nesses servidores às autoridades dos EUA. O governo neerlandês não precisa de ser informado. O utilizador afetado não precisa de ser notificado. As garantias de proteção de dados do GDPR não anulam o pedido.
O GDPR limita o que as empresas fazem com os teus dados por iniciativa própria. O CLOUD Act permite a um ator externo específico contornar essa limitação. Ambas as leis estão em vigor ao mesmo tempo, e apontam em direções opostas.
O nosso colega escreveu uma explicação mais detalhada sobre como o CLOUD Act funciona e o que significa para o armazenamento de fotos.
O que a verdadeira soberania europeia de dados exige
Para que um serviço ofereça verdadeira soberania europeia de dados, três condições têm de ser cumpridas.
Os dados têm de estar guardados em servidores localizados na UE. O operador da infraestrutura tem de estar sujeito ao direito da UE. A empresa proprietária do serviço tem de estar registada na UE e livre de controlo de uma empresa-mãe dos EUA.
Quando as três se verificam, o serviço é regido pelo direito da UE, e apenas pelo direito da UE. Um pedido do governo dos EUA não tem qualquer via legal para chegar aos dados.
Quando falta qualquer uma das três, a afirmação de soberania é parcial. Pode ainda representar uma melhoria face a outras opções, mas não oferece a proteção que o termo sugere.
Porque isto importa para as tuas fotos
As fotos são uma das categorias de dados mais pessoais que carregas para qualquer lugar. Contêm o teu rosto, os rostos das pessoas próximas de ti, os locais onde vais e as marcas temporais do teu quotidiano. O artigo sobre metadados mostra quanta informação um único ficheiro de foto transporta.
Quando escolhes onde guardar essa biblioteca, a questão da soberania não é abstrata. Determina quem pode obrigar ao acesso a essas fotos, sob que enquadramento legal, e com que recurso.
O que a PixelUnion faz
A PixelUnion está registada na UE. Os nossos servidores estão localizados na UE. A nossa infraestrutura é operada sob direito da UE. Não há empresa-mãe norte-americana, e não há via legal por onde o CLOUD Act chegue aos dados dos nossos clientes.
Isto não é uma decisão de marketing. É uma decisão estrutural sobre o que “guardado na UE” tem de significar para que a frase seja honesta.
O artigo sobre o GDPR cobre os direitos que o regulamento te dá e como se aplicam na prática. A soberania de dados é a condição subjacente que torna esses direitos exigíveis em primeiro lugar.
Queres ver como a soberania europeia se traduz numa alternativa real aos serviços dos EUA? O nosso colega preparou um guia prático para sair completamente das Big Tech, com alternativas concretas para cada serviço.