Em 2018, o Congresso americano aprovou o CLOUD Act para resolver um imbr\u00f3glio jur\u00eddico espec\u00edfico: o caso United States v. Microsoft, em que o governo dos EUA queria acessar e-mails armazenados num datacenter da Microsoft na Irlanda. A Suprema Corte estava prestes a decidir se um mandado americano alcan\u00e7a dados fora do territ\u00f3rio americano. O Congresso respondeu antes: sim, alcan\u00e7a, desde que o provedor esteja sujeito \u00e0 jurisdi\u00e7\u00e3o dos EUA.<\/p>\n\n\n\n
Isso \u00e9 o CLOUD Act inteiro, na pr\u00e1tica. Ele altera o Stored Communications Act de 1986 para deixar expl\u00edcito que um mandado de busca americano vale sobre dados sob posse, cust\u00f3dia ou controle de uma empresa americana, n\u00e3o importa em qual pa\u00eds o servidor f\u00edsico est\u00e1. O texto n\u00e3o distingue infraestrutura s\u00f3lida de infraestrutura fr\u00e1gil. Distingue apenas quem controla a empresa que guarda o dado.<\/p>\n\n\n\n
Para quem constr\u00f3i aplica\u00e7\u00f5es que rodam fora dos EUA, isso muda uma pergunta que antes parecia s\u00f3 t\u00e9cnica. Onde o servidor est\u00e1 deixa de ser suficiente. A menos que voc\u00ea adicione controles criptogr\u00e1ficos extremos, como manter a gest\u00e3o exclusiva das chaves de criptografia em um servidor f\u00edsico no Brasil (External Key Management) ou criptografar tudo antes de subir para a nuvem, quem \u00e9 o dono da empresa que opera o servidor entra na equa\u00e7\u00e3o. Para n\u00e3o depender dessa complexidade operacional de gest\u00e3o de chaves, manter a infraestrutura sob jurisdi\u00e7\u00e3o brasileira elimina o risco na raiz.<\/p>\n\n\n\n
O texto est\u00e1 codificado em 18 U.S.C. \u00a7 2713<\/a>. A norma vale para qualquer \u201cprovedor de servi\u00e7o de comunica\u00e7\u00e3o eletr\u00f4nica ou servi\u00e7o de computa\u00e7\u00e3o remota\u201d sujeito \u00e0 jurisdi\u00e7\u00e3o americana. Isso inclui empresas com sede nos EUA e qualquer empresa com opera\u00e7\u00e3o relevante em territ\u00f3rio americano, sem exigir que a matriz esteja registrada l\u00e1.<\/p>\n\n\n\n O mandado precisa vir de um processo legal v\u00e1lido, normalmente um mandado de busca assinado por um juiz americano com base em causa prov\u00e1vel, nos moldes da Quarta Emenda. N\u00e3o \u00e9 uma requisi\u00e7\u00e3o administrativa qualquer. A defesa costuma usar essa distin\u00e7\u00e3o para argumentar que o mecanismo tem controle judicial, e tem, mas o controle \u00e9 do judici\u00e1rio americano, n\u00e3o do brasileiro.<\/p>\n\n\n\n A lei tamb\u00e9m criou o mecanismo de acordos executivos bilaterais. Um pa\u00eds pode negociar com os EUA um acordo que permite \u00e0s pr\u00f3prias autoridades desse pa\u00eds requisitar dados diretamente de provedores americanos, sem passar pelo tr\u00e2mite lento de tratado de assist\u00eancia jur\u00eddica m\u00fatua (MLAT). O Brasil n\u00e3o tem esse acordo assinado at\u00e9 o momento. Na pr\u00e1tica, isso significa que uma autoridade nacional que precisar de dados de um provedor americano ainda depende do caminho mais lento, enquanto o pr\u00f3prio governo americano usa o caminho direto do CLOUD Act para seus pr\u00f3prios mandados.<\/p>\n\n\n\n A AWS publica desde 2020 um n\u00famero espec\u00edfico: zero divulga\u00e7\u00f5es de conte\u00fado de cliente empresarial ou governamental armazenado fora dos EUA ao governo americano<\/a>, via CLOUD Act, desde que come\u00e7ou a reportar a estat\u00edstica. A empresa tamb\u00e9m afirma que a lei n\u00e3o d\u00e1 acesso autom\u00e1tico ou irrestrito a dados na nuvem, e que ela mant\u00e9m controles t\u00e9cnicos e operacionais que o cliente pode configurar para dificultar acesso n\u00e3o autorizado.<\/p>\n\n\n\n O dado \u00e9 real e vem direto da fonte, mas prova menos do que parece. Um mandado de acesso a dados pode vir acompanhado de ordens de sigilo (gag orders), o que impede o provedor de notificar a sua empresa sobre o acesso. Embora os relat\u00f3rios de transpar\u00eancia precisem registrar estatisticamente o volume total de pedidos governamentais, \u201czero divulga\u00e7\u00f5es de conte\u00fado\u201d significa apenas que os provedores conseguiram contestar ou redirecionar juridicamente os pedidos at\u00e9 agora. \u00c9 um retrato do passado, n\u00e3o uma garantia estrutural para o futuro, visto que a subordina\u00e7\u00e3o legal \u00e0 justi\u00e7a americana permanece.<\/p>\n\n\n\n Isso n\u00e3o torna o CLOUD Act uma amea\u00e7a iminente para toda aplica\u00e7\u00e3o. Torna a divulga\u00e7\u00e3o da AWS um dado parcial, \u00fatil como piso de transpar\u00eancia, insuficiente como garantia.<\/p>\n\n\n\n Para a maioria das aplica\u00e7\u00f5es B2C ou de e-commerce local, o risco pr\u00e1tico de um mandado individual do CLOUD Act \u00e9 baixo. O mecanismo existe para investiga\u00e7\u00f5es espec\u00edficas, normalmente crimes graves: terrorismo, tr\u00e1fico, crimes cibern\u00e9ticos de grande escala, casos com elemento americano relevante. Uma aplica\u00e7\u00e3o de gest\u00e3o financeira para pequenas empresas paulistas n\u00e3o \u00e9 o alvo t\u00edpico.<\/p>\n\n\n\n O risco muda de categoria em tr\u00eas cen\u00e1rios:<\/p>\n\n\n\n Dado que interessa a uma investiga\u00e7\u00e3o americana.<\/strong> Se a aplica\u00e7\u00e3o lida com transa\u00e7\u00f5es financeiras internacionais, comunica\u00e7\u00e3o de executivos, ou qualquer dado que possa aparecer numa investiga\u00e7\u00e3o de lavagem de dinheiro, san\u00e7\u00f5es ou fraude com nexo nos EUA, a superf\u00edcie de exposi\u00e7\u00e3o cresce.<\/p>\n\n\n\n Setor regulado que j\u00e1 exige rastreabilidade jurisdicional.<\/strong> Sa\u00fade, dados financeiros sob BACEN e informa\u00e7\u00e3o classificada de governo j\u00e1 t\u00eam camadas de exig\u00eancia que tornam a resposta \u201cseu provedor pode ser obrigado a entregar isso a um governo estrangeiro sem que voc\u00ea saiba\u201d inaceit\u00e1vel por si s\u00f3, independentemente da probabilidade real de isso acontecer.<\/p>\n\n\n\n Cliente ou parceiro que audita a cadeia de fornecedores.<\/strong> Empresas que vendem para governo, para setor financeiro regulado ou para clientes corporativos com pol\u00edtica de seguran\u00e7a madura cada vez mais perguntam, no processo de due diligence, sob qual jurisdi\u00e7\u00e3o os dados do fornecedor est\u00e3o. N\u00e3o ter resposta clara j\u00e1 \u00e9 um ponto perdido antes de qualquer mandado ser emitido.<\/p>\n\n\n\n Fora desses tr\u00eas cen\u00e1rios, o CLOUD Act \u00e9 menos o problema em si e mais sintoma de uma pergunta maior que a arquitetura j\u00e1 deveria estar respondendo: sob qual jurisdi\u00e7\u00e3o o dado do usu\u00e1rio est\u00e1, e quem decide isso al\u00e9m de voc\u00ea?<\/p>\n\n\n\n \u00c9 comum ver os dois tratados como concorrentes diretos, e n\u00e3o s\u00e3o. O artigo 33 da LGPD regula a transfer\u00eancia internacional de dados: quando um dado pessoal sai do Brasil, sob qual base legal isso pode acontecer. A Resolu\u00e7\u00e3o CD\/ANPD n\u00ba 19\/2024, com o per\u00edodo de adequa\u00e7\u00e3o encerrado em agosto de 2025, exige que essa transfer\u00eancia esteja documentada por cl\u00e1usulas contratuais padr\u00e3o, decis\u00e3o de adequa\u00e7\u00e3o da ANPD ou consentimento espec\u00edfico.<\/p>\n\n\n\n O CLOUD Act \u00e9 outra coisa: uma lei americana que autoriza o governo dos EUA a requisitar dados de provedores sob sua jurisdi\u00e7\u00e3o, independentemente de o dado ter sido transferido internacionalmente de forma regular ou n\u00e3o. Uma empresa brasileira pode estar em conformidade plena com o artigo 33, com as cl\u00e1usulas contratuais padr\u00e3o da Resolu\u00e7\u00e3o CD\/ANPD n\u00ba 19\/2024 assinadas<\/a> e o ROPA atualizado, e ainda assim ter o dado sujeito a um mandado americano, porque a base legal para a transfer\u00eancia e a jurisdi\u00e7\u00e3o do provedor s\u00e3o quest\u00f5es diferentes.<\/p>\n\n\n\n Isso derruba um racioc\u00ednio comum: \u201cmeu contrato de transfer\u00eancia internacional est\u00e1 em dia, logo estou protegido\u201d. Protegido da LGPD, talvez. Do CLOUD Act, n\u00e3o. S\u00e3o duas exposi\u00e7\u00f5es que se resolvem por caminhos distintos, e resolver uma n\u00e3o resolve a outra.<\/p>\n\n\n\n Jurisdi\u00e7\u00e3o do provedor vira crit\u00e9rio de projeto, n\u00e3o s\u00f3 de conformidade jur\u00eddica.<\/strong> A pergunta n\u00e3o \u00e9 apenas \u201co servidor est\u00e1 no Brasil\u201d. \u00c9 \u201co provedor tem sede jur\u00eddica e controle operacional fora dos EUA e de qualquer pa\u00eds com acordo executivo ativo\u201d. Um datacenter f\u00edsico em S\u00e3o Paulo operado por uma empresa sujeita \u00e0 jurisdi\u00e7\u00e3o americana continua exposto ao mecanismo do CLOUD Act.<\/p>\n\n\n\n Mapeamento de dado sens\u00edvel por dom\u00ednio de neg\u00f3cio ou microsservi\u00e7o, n\u00e3o por sistema inteiro.<\/strong> Nem todo dado de uma aplica\u00e7\u00e3o carrega o mesmo peso de exposi\u00e7\u00e3o. Separar o que \u00e9 dado pessoal sens\u00edvel, dado financeiro regulado ou comunica\u00e7\u00e3o interna de executivos do que \u00e9 log operacional ou m\u00e9trica agregada permite decidir a arquitetura por servi\u00e7o, hospedando a aplica\u00e7\u00e3o completa que lida com o escopo sens\u00edvel num provedor de sede nacional. Tentar dividir apenas a camada de dados de uma mesma aplica\u00e7\u00e3o entre nuvens diferentes gera custos de transfer\u00eancia (egress) e lat\u00eancia de rede que inviabilizam a performance.<\/p>\n\n\n\n Documenta\u00e7\u00e3o de jurisdi\u00e7\u00e3o como artefato de auditoria, n\u00e3o como resposta improvisada.<\/strong> Quando um cliente corporativo perguntar sob qual jurisdi\u00e7\u00e3o o dado dele est\u00e1, a resposta correta \u00e9 um documento, n\u00e3o uma explica\u00e7\u00e3o verbal constru\u00edda na hora. Isso vale tanto para conformidade com o artigo 33 quanto para a due diligence de seguran\u00e7a que parceiros maiores j\u00e1 cobram.<\/p>\n\n\n\n Backup e disaster recovery entram na mesma an\u00e1lise.<\/strong> Um workload em nuvem nacional<\/a> pode ter uma r\u00e9plica de conting\u00eancia hospedada num provedor sujeito a outra jurisdi\u00e7\u00e3o sem que ningu\u00e9m tenha decidido isso conscientemente. Vale mapear onde cada camada de redund\u00e2ncia mora, n\u00e3o s\u00f3 onde a produ\u00e7\u00e3o roda<\/a>.<\/p>\n\n\n\nO que a AWS diz sobre isso, e o que isso n\u00e3o prova<\/h2>\n\n\n\n
Onde o risco do CLOUD Act \u00e9 concreto, e onde \u00e9 te\u00f3rico?<\/h2>\n\n\n\n
LGPD e CLOUD Act resolvem o mesmo problema?<\/h2>\n\n\n\n
O que muda na decis\u00e3o de arquitetura<\/h2>\n\n\n\n