Os factos mais importantes em resumo
- A Lei CLOUD dos EUA (Clarifying Lawful Overseas Use of Data Act) é uma lei federal dos EUA de 2018 que permite às autoridades dos EUA solicitar dados aos fornecedores de serviços de computação em nuvem dos EUA, independentemente do local de armazenamento.
- É considerado um risco estratégico e uma potencial violação do RGPD, uma vez que priva os cidadãos e as empresas da UE de uma proteção jurídica eficaz.
- Os documentos sensíveis, como contratos juridicamente válidos e comprovativos de identidade pessoal, estão particularmente em risco, uma vez que representam bens comerciais ou pessoais valiosos.
- A resposta estratégica segura para as empresas é optar consistentemente por plataformas europeias e locais de armazenamento de dados que estejam exclusivamente sujeitos à legislação da UE (RGPD, eIDAS).
- Sendo uma plataforma 100% europeia, a sproof oferece a soberania digital necessária e é, portanto, a alternativa sem riscos para a tua gestão de assinaturas.
O cerne do problema: o acesso extraterritorial
As empresas europeias são cada vez mais confrontadas com conflitos entre a legislação dos EUA e da UE num mundo digital. A Lei CLOUD dos EUA (Clarifying Lawful Overseas Use of Data Act), que entrou em vigor em 2018, está no centro deste dilema.
Autoriza as autoridades policiais dos EUA a solicitar dados a fornecedores de serviços de computação em nuvem dos EUA, como a Amazon, a Microsoft ou a Google. O ponto decisivo e estrategicamente relevante é o facto de estes pedidos serem independentes da localização geográfica de armazenamento dos dados. O facto de os teus contratos digitais estarem localizados em Frankfurt, Dublin ou Amesterdão é irrelevante do ponto de vista da Lei CLOUD, desde que o fornecedor de serviços seja uma empresa americana, criando uma zona cinzenta do ponto de vista jurídico, uma vez que o acesso dos EUA pode entrar em conflito com os requisitos rigorosos do Regulamento Geral sobre a Proteção de Dados (RGPD) europeu.
A Lei CLOUD e a violação do RGPD
O risco estratégico é claro: o RGPD exige que os dados pessoais só possam ser transferidos ou tratados em países terceiros se for garantido um nível de proteção adequado (artigo 45.º do RGPD).
No entanto, na sequência dos acórdãos do Tribunal de Justiça das Comunidades Europeias (TJCE, por exemplo, Schrems II), ficou estabelecido que as leis de vigilância dos EUA, como a Lei CLOUD, não proporcionam uma proteção adequada dos dados da UE.
| Aspeto | RGPD (legislação da UE) | Lei CLOUD dos EUA (lei dos EUA) |
| Legitimação do acesso | Ordem judicial na UE, forte justificação | Mandado de captura ou intimação dos EUA, menos obstáculos |
| Notificação | As pessoas afectadas devem ser informadas | O prestador de serviços pode estar sujeito a um dever de confidencialidade (sem notificação) |
| Alcance territorial | Limitado ao território da UE | Extraterritorial, aplica-se a nível mundial aos fornecedores dos EUA |
No caso de um processo de assinatura digital, trata-se de dados altamente sensíveis: Os próprios contratos, mas também a prova de identidade e toda a pista de auditoria (protocolo de assinatura).
Os contratos digitais e a verificação de identidade subjacente são os activos de dados mais importantes da sua empresa. Não podes fazer concessões em termos de soberania.
O caminho para a minimização dos riscos: ação interna
A solução para as empresas europeias não é apenas ter conhecimento do CLOUD Act, mas também agir:
- Identifica os volumes de trabalho críticos: Avalia quais os dados (contratos, ficheiros de RH, documentos de PI) que têm uma elevada necessidade de proteção.
- Escolhe uma infraestrutura europeia soberana: Confia em soluções de assinatura e alojamento europeias e compatíveis com o eIDAS para estas áreas críticas.
- Acesso seguro e gestão da identidade: Assegurar que tanto o acesso como a verificação da identidade digital para os dados relevantes para a assinatura permaneçam sob controlo europeu – por exemplo, através de serviços de confiança regulamentados na Europa (conformes com o eIDAS).
Soberania digital: sproof como resposta europeia
O conflito em torno da Lei CLOUD sublinha a necessidade da soberania digital da Europa. As empresas devem agir de forma proactiva para tornar as suas infra-estruturas de dados imunes aos direitos de acesso de países terceiros.
A sproof foi desenvolvida como uma plataforma europeia precisamente com este foco estratégico. A nossa perspetiva é intransigente:
- Exclusividade da legislação da UE: as soluções sproof, incluindo sproof Sign, sproof Ident, sproof Widget, sproof Fastlane, sproof eID Hub, sproof Validate são 100% desenvolvidas na Europa e alojadas em servidores europeus. Estão exclusivamente sujeitas ao RGPD e ao eIDAS.
- Não há risco da Lei CLOUD: Uma vez que a sproof não é uma empresa dos EUA e não tem subsidiárias nos EUA, as autoridades dos EUA não podem impor o acesso através da Lei CLOUD.
- Certificação eIDAS: Os nossos serviços cumprem as mais elevadas normas europeias de confiança, em particular no que se refere à Assinatura Eletrónica Qualificada (QES).
Esta escolha não é apenas uma questão de conformidade legal, mas sim uma vantagem competitiva estratégica que transmite a máxima confiança aos seus clientes e parceiros.
Protege os teus dados mais críticos. Escolhe a soberania digital. Começa agora a tua migração para uma plataforma de assinatura 100% europeia que garante a tua segurança de conformidade →
