Duas promessas diferentes vendidas como uma só palavra
Nuvem soberana é usada para descrever pelo menos duas garantias distintas, e essa ambiguidade faz uma boa parte da venda em nome do fornecedor: onde os dados estão fisicamente localizados, e que tribunais de que país podem obrigar um fornecedor a entregá-los. Estas não são a mesma pergunta, e um produto pode responder bem à primeira deixando a segunda completamente em aberto.
A residência de dados é um facto de localização. A jurisdição legal é uma questão sobre que governo tem poder, através dos seus tribunais e agências, sobre a empresa que opera os servidores, independentemente de onde estes se situem. Uma região de nuvem fisicamente localizada em Frankfurt ou em Paris não responde, por si só, à questão da jurisdição.
O que o CLOUD Act realmente diz
O CLOUD Act dos EUA, de 2018, resolveu a questão da jurisdição para qualquer fornecedor sediado ou com atividade suficiente nos Estados Unidos. O seu texto operativo, codificado em 18 U.S.C. 2713, exige que um fornecedor abrangido cumpra uma ordem legal para preservar, fazer cópia de segurança ou divulgar dados 'independentemente de essa comunicação, registo ou outra informação estar localizada dentro ou fora dos Estados Unidos'.
A própria descrição da Microsoft dos seus compromissos de EU Data Boundary cobre em detalhe a residência de dados e o local de processamento, mas não aborda em lado nenhum a exposição ao CLOUD Act. A lacuna surgiu diretamente sob juramento: em junho de 2025, o diretor jurídico da Microsoft França, Anton Carniaux, disse a uma comissão do Senado francês que analisava a soberania na contratação pública que não podia garantir que os dados de clientes alojados na UE nunca chegariam às autoridades dos EUA, acrescentando apenas que, até então, isso não tinha acontecido.
Só alguns regimes de soberania tocam na verdadeira questão da jurisdição
Três designações europeias de certificação são usadas quase de forma indiferenciada, e apenas uma delas restringe efetivamente quem pode ser legalmente obrigado a entregar os seus dados.
A SecNumCloud francesa, gerida pela agência de cibersegurança ANSSI, exige que os acionistas de fora da UE mantenham uma posição minoritária na empresa operadora e declara explicitamente o seu propósito: proteger o operador de uma ordem emitida por um Estado fora da UE, de modo a que a empresa responda apenas perante o direito da UE. O catálogo C5 alemão, gerido pelo BSI (a autoridade federal alemã de segurança da informação), é um tipo de regime completamente diferente: uma atestação de controlos de segurança, com o BSI a declarar abertamente que nem sequer verifica os auditores que emitem os relatórios C5, sem qualquer requisito de propriedade ou jurisdição nos seus critérios. O regime à escala da UE que deveria situar-se acima de ambos, o EUCS, permanece formalmente por adotar em agosto de 2026. As autoridades nacionais de certificação, incluindo a NCCA neerlandesa, confirmam que não estão a ser emitidos certificados ao abrigo do mesmo.
| Regime | Garantia de jurisdição | Estado, agosto de 2026 |
|---|---|---|
| SecNumCloud (França, ANSSI) | Sim, acionistas de fora da UE limitados, ordens legais de fora da UE bloqueadas | Ativo, a emitir qualificações |
| C5 (Alemanha, BSI) | Não, apenas atestação de controlos de segurança | Ativo, a emitir relatórios |
| EUCS (à escala da UE) | Contestada, dependeria do nível de garantia final | Ainda não adotado |
O que isto significa para si
Uma resposta de conformidade que diz 'usamos uma nuvem soberana' não é uma resposta completa enquanto não souber qual das duas garantias está de facto a comprar.
Pergunte diretamente ao fornecedor se a entidade operadora está legalmente imune à jurisdição de fora da UE, o modelo SecNumCloud, ou se é apenas auditada quanto a controlos de segurança com dados armazenados na região, o modelo C5 a que se assemelham a maioria das ofertas 'região UE' dos fornecedores globais. Se o seu requisito real é manter os dados fora do alcance de um governo estrangeiro, e não apenas cumprir um item de residência de dados, só uma estrutura imune à jurisdição o satisfaz.
Não aceite a expressão 'EU data boundary' sozinha como prova de imunidade jurisdicional. Faça ao departamento jurídico do fornecedor a mesma pergunta que o Senado francês fez ao da Microsoft, e espere a mesma resposta honesta, caso a estrutura não tenha mudado.
Leia a seguir: A Europa construiu a nuvem do euro digital sem os EUA | A França retira a sua base de dados de saúde do Azure
