Quando carrega um ficheiro para a nuvem, ele vai parar a um servidor real nalgum país. E as leis desse país passam a alcançá-lo. Isto é a soberania de dados. É uma das escolhas de privacidade mais ignoradas que faz. Este guia explica o que é, em que difere da residência de dados, e porque o país do seu fornecedor importa mais do que a maioria pensa.
A definição curta
Soberania de dados significa que os seus dados seguem as leis do país onde são guardados. Ponha os seus ficheiros num servidor nos Estados Unidos, e a lei dos EUA aplica-se a eles. Isso inclui pedidos legais de acesso. Não importa onde vive nem onde o seu fornecedor está sediado. O sítio onde os dados estão decide as regras de quem os rege.
Soberania de dados vs residência de dados
As pessoas confundem isto, mas a diferença é simples. Residência de dados é onde os seus dados estão, ou seja, o país do servidor. Soberania de dados é as leis de quem se aplicam a eles por causa disso. Escolhe a residência ao escolher uma região. A soberania é o que decorre dessa escolha. A residência é o lugar; a soberania é a lei que esse lugar traz.
Porque importa a jurisdição
Aqui está a parte que afeta a sua privacidade. O país do seu fornecedor, e onde estão os seus servidores, decide quem pode forçar legalmente o acesso aos seus dados. Um fornecedor num país com amplos poderes de espionagem, ou dentro de uma aliança de partilha de dados, pode ser ordenado a entregá-los. Por vezes sem o avisar. Um fornecedor num país amigo da privacidade, com uma lei forte de proteção de dados, como a Suíça, enfrenta uma barreira mais alta. Os mesmos ficheiros, um risco muito diferente, definido pela geografia.
Como manter o controlo
Não está impotente perante isto. Duas alavancas devolvem-lhe o controlo:
- Escolha a jurisdição. Escolha um fornecedor e uma região de dados regidos por uma lei forte de privacidade, não um que esteja dentro de uma ampla aliança de vigilância.
- Encripte de ponta a ponta. Com a encriptação ponta a ponta (de conhecimento zero), o fornecedor só alguma vez detém texto cifrado que não consegue ler, por isso até um pedido legal bem-sucedido devolve dados ilegíveis.
A jurisdição reduz a hipótese de um pedido ter sucesso; a encriptação torna os dados inúteis se isso acontecer. Juntas, devolvem o controlo do local de armazenamento de volta para si.
Armazenamento em jurisdição suíça → pCloud + Crypto
Lei suíça de proteção de dados · Encriptação opcional do lado do cliente (conhecimento zero) com o extra Crypto · Você escolhe a região de dados
Soberania vs residência vs localização - as distinções reais
Estes três termos são usados como sinónimos, mas respondem a perguntas diferentes. Distingui-los é a diferença entre uma promessa de marketing e uma verdadeira garantia.
| Termo | A que responde | Exemplo |
|---|---|---|
| Residência de dados | Onde são guardados os dados? | « Os seus ficheiros estão na nossa região de Frankfurt. » |
| Soberania de dados | As leis de quem os regem? | « Como estão na Alemanha, aplicam-se o direito da UE e o alemão. » |
| Localização de dados | A lei obriga os dados a ficar no país? | « As regras russas e chinesas forçam certos dados a ficar em servidores nacionais. » |
A armadilha é supor que a residência dá soberania. Não dá. Uma empresa com sede nos EUA pode guardar os seus dados numa região da UE e mesmo assim continuar alcançável por um processo judicial norte-americano por causa de onde a empresa está constituída, não apenas de onde estão os bytes. O CLOUD Act norte-americano de 2018 di-lo explicitamente: permite às autoridades dos EUA obrigar um fornecedor sediado nesse país a entregar dados onde quer que estes estejam guardados no mundo. Por isso a « residência UE » sozinha não coloca os seus dados fora do alcance dos EUA se o fornecedor for norte-americano.
A localização é uma ideia distinta e mais estrita: alguns países (Rússia, China e outros) exigem por lei que certas categorias de dados permaneçam dentro das fronteiras nacionais. É uma imposição feita às empresas, não uma escolha de privacidade que você faça. Para a maioria das pessoas, a alavanca que importa é a soberania - escolher uma jurisdição em cujas leis confia.
Como a soberania molda a escolha do seu fornecedor de nuvem
Uma vez que sabe que é a jurisdição da empresa, não apenas a do servidor, que decide quem pode alcançar os seus dados, a escolha torna-se concreta. Duas coisas a verificar antes de confiar num fornecedor:
- Onde está a empresa constituída e sediada? Um fornecedor sediado nos EUA cai sob o CLOUD Act. Um sediado na Suíça está fora da UE e fora do quadro norte-americano, sob a Lei Federal Suíça de Proteção de Dados (LPD / nLPD), um dos regimes de privacidade mais estritos. Os fornecedores da UE caem sob o RGPD, que concede direitos fortes mas não bloqueia por si só um pedido estrangeiro se a empresa-mãe for alcançável noutro lugar.
- A que alianças legais pertence esse país? Os acordos de partilha de informações (muitas vezes descritos como os grupos « Five/Nine/Fourteen Eyes ») fazem com que um pedido num país membro se possa propagar aos outros. Uma jurisdição fora desses acordos tem menos canais automáticos de partilha forçada.
A lição prática: um fornecedor suíço ou da UE que esteja também constituído nessa jurisdição - não um centro de dados local detido por uma empresa-mãe estrangeira - oferece-lhe a soberania mais limpa. E seja qual for a jurisdição que escolha, sobrepor uma encriptação de conhecimento zero torna a questão jurídica muito menos importante: um pedido bem-sucedido continua a devolver apenas texto cifrado.
Perguntas frequentes
A « residência UE » basta para proteger os meus dados da lei norte-americana?
Não por si só. Se o fornecedor for uma empresa norte-americana, o CLOUD Act pode obrigá-lo a entregar dados mesmo guardados na UE. A residência indica a localização do servidor; não muda a jurisdição de origem da empresa. Para se apoiar no direito da UE ou suíço, normalmente precisa de um fornecedor constituído lá, não apenas de um centro de dados na UE operado por uma empresa-mãe sediada nos EUA.
O RGPD dá-me soberania de dados?
O RGPD dá-lhe direitos fortes sobre os seus dados pessoais e restringe as transferências para fora da UE, mas é uma lei de proteção de dados, não um escudo que derrote automaticamente todo o pedido legal estrangeiro. Reforça a sua posição; não garante por si só que nenhuma outra jurisdição possa alguma vez alcançar dados na posse de um fornecedor ligado globalmente.
O que faz da Suíça uma jurisdição amiga da privacidade?
A Suíça está fora dos quadros jurídicos tanto da UE como dos EUA e é regida pela Lei Federal Suíça de Proteção de Dados (LPD), um dos regimes de privacidade mais estritos. Não faz parte das estruturas da UE, o que significa que os dados aí guardados são regidos especificamente pelo direito suíço - um ambiente jurídico distinto e orientado para a privacidade.
A encriptação torna a jurisdição irrelevante?
Reduz muito o seu peso. Com encriptação ponta a ponta (de conhecimento zero), mesmo um pedido legal bem-sucedido devolve texto cifrado ilegível, porque o fornecedor nunca detém as suas chaves. A jurisdição continua a importar para os metadados e para a hipótese de um pedido ter sucesso, por isso o mais seguro é combinar uma jurisdição de confiança com encriptação ponta a ponta, e não confiar apenas numa delas.
A conclusão
Soberania de dados significa que o país onde os seus dados estão controla quais as leis que se lhes aplicam, incluindo quem pode exigir o acesso. Não é um ponto jurídico abstrato; é uma decisão de privacidade concreta que faz sempre que escolhe um fornecedor de nuvem. Escolha uma jurisdição que respeita a privacidade, acrescente encriptação ponta a ponta, e a pergunta « a lei de quem governa os meus ficheiros » passa finalmente a ter uma resposta que controla.
Perguntas frequentes
- O que é a soberania de dados em termos simples?
- Soberania de dados significa que os dados estão sujeitos às leis e regulamentos do país onde são guardados fisicamente. Se os seus ficheiros estão num servidor nos Estados Unidos, a lei dos EUA pode aplicar-se a eles, incluindo pedidos legais de acesso, não importa onde viva. É o princípio de que a localização dos seus dados decide quais as regras do governo que os regem.
- Qual é a diferença entre soberania de dados e residência de dados?
- Residência de dados é simplesmente onde os seus dados são guardados fisicamente, ou seja, o país ou a região do servidor. A soberania de dados vai mais longe: tem a ver com quais as leis que se aplicam a esses dados por causa de onde vivem. Pode escolher a residência de dados (escolher uma região), mas a soberania é a consequência legal dessa escolha. A residência é o « onde »; a soberania é o « lei de quem ».
- Porque importa a jurisdição do meu fornecedor de nuvem?
- Porque o país do fornecedor, e onde estão os seus servidores, determina quem pode obrigar legalmente ao acesso aos seus dados. Um fornecedor sediado num país com amplos poderes de vigilância ou alianças de partilha de dados pode ser ordenado a entregar os dados, por vezes em segredo. Escolher um fornecedor numa jurisdição que respeita a privacidade, como a Suíça, com uma lei forte de proteção de dados, reduz essa exposição. É uma das decisões de privacidade mais ignoradas.
- Como posso manter o controlo de onde vivem os meus dados?
- Há duas alavancas. Primeiro, escolha um fornecedor e uma região de dados numa jurisdição com uma lei forte de privacidade. Segundo, use encriptação ponta a ponta (de conhecimento zero) para que, mesmo que os dados sejam exigidos, sejam texto cifrado ilegível sem as suas chaves. A jurisdição reduz a hipótese de um pedido ter sucesso; a encriptação torna os dados inúteis se isso acontecer. Usadas em conjunto, mantêm o controlo nas suas mãos, não no local de armazenamento.
Armazenamento cloud cifrado → pCloud
Sediada na Suíça · add-on Crypto do lado do cliente · planos vitalícios
