A residência de dados não é a mesma questão que a conformidade em geral — é especificamente sobre onde os seus dados residem fisicamente e as leis de que país lhes podem chegar. Para as empresas europeias, esta questão tornou-se mais aguda, não mais branda, nos últimos anos.
O que significa mesmo a residência de dados
A residência de dados diz respeito à localização física e legal dos seus dados: em que país estão os servidores e, por isso, que leis e regras de acesso governamental se lhes aplicam. É uma questão mais estreita e concreta do que a conformidade geral com o RGPD — veja a nossa checklist RGPD para o panorama mais amplo — mas determina cada vez mais onde as empresas escolhem sequer alojar-se.
Porque importa mais desde o Schrems II
A decisão Schrems II invalidou o anterior regime de transferência de dados UE-EUA porque a legislação de vigilância dos EUA podia alcançar dados detidos por fornecedores sediados nos EUA, mesmo nos seus centros de dados na UE. O efeito prático: transferir dados pessoais da UE para um fornecedor sujeito à lei dos EUA acarreta um risco legal real, não apenas teórico, e as cláusulas contratuais-tipo por si só podem não fechar totalmente essa lacuna.
- Dados pessoais da UE que fluem para uma empresa-mãe fora da UE podem desencadear salvaguardas legais adicionais.
- Que tribunais e agências de que país podem obrigar ao acesso aos seus dados depende de quem opera a infraestrutura, não só de onde estão os servidores.
- É por isso que alguns reguladores e compradores do setor público exigem agora especificamente infraestrutura detida e operada por entidades da UE — «soberania», não só «localização».
Perguntas a fazer a qualquer fornecedor de alojamento ou cloud
- Em que país estão exatamente localizados fisicamente os nossos servidores, e isso pode ser garantido contratualmente?
- A empresa operadora (e a sua empresa-mãe, se existir) está sujeita a leis fora da UE que possam obrigar ao acesso aos dados?
- O que acontece aos nossos dados e acessos se quisermos sair — há portabilidade real, ou aprisionamento ao fornecedor?
- Os subcontratantes (backups, CDN, ferramentas de suporte) também permanecem dentro da UE, ou os dados saem pela porta dos fundos?
O aprisionamento ao fornecedor é o compromisso silencioso aqui: uma stack totalmente soberana, só de UE, pode significar menos integrações com grandes nomes. Para a maioria das empresas europeias, essa troca vale a pena — o risco está nos dados, não na comodidade.