Em junho de 2024, Anton Carniaux, diretor de assuntos públicos e jurídicos da Microsoft França, foi ouvido pelo Senado francês durante um inquérito sobre contratações públicas e soberania digital europeia. A pergunta feita sob juramento foi direta: a Microsoft poderia garantir que dados de cidadãos franceses jamais seriam entregues às autoridades dos Estados Unidos sem autorização do governo francês? A resposta foi não. Se uma ordem judicial baseada no Cloud Act, Clarifying Lawful Overseas Use of Data Act, lei americana de 2018 que obriga empresas sediadas nos Estados Unidos a fornecer dados sob sua custódia a qualquer autoridade judicial americana, independentemente de onde esses dados estejam armazenados, fosse apresentada, a Microsoft teria de cumpri-la, mesmo violando as leis europeias de proteção de dados. Não foi uma confissão de má conduta. Foi a descrição do funcionamento normal do sistema. E o Brasil, ao contrário da União Europeia, ainda não construiu o equivalente jurídico que ampara uma recusa.

A audiência que expôs o funcionamento normal do sistema

A declaração de Carniaux no Senado francês não foi uma novidade técnica para quem acompanha o debate sobre soberania digital. Foi, porém, um momento raro de transparência pública sobre uma realidade que costuma permanecer nos bastidores dos contratos corporativos: o alcance do Cloud Act supera qualquer acordo de localização de dados.

A lei americana estabelece que empresas com presença nos Estados Unidos, de tecnologia da informação ou de computação remota, estão sujeitas a ordens judiciais americanas para fornecimento de dados que estejam sob sua posse, custódia ou controle, independentemente de onde esses dados estejam fisicamente armazenados. Isso significa que um data center instalado em Paris, em São Paulo ou em Tóquio não altera a obrigação da empresa operadora, se ela for americana. O endereço do servidor muda. A lei aplicável à empresa não.

Essa distinção é o núcleo do problema de soberania digital que o episódio do Senado francês tornou visível. Governos e organizações que contratam serviços de empresas americanas, independentemente de onde os servidores estejam fisicamente, continuam sujeitos ao alcance do Cloud Act enquanto não houver salvaguardas jurídicas que amparem a recusa à entrega de dados. A localização da infraestrutura é uma condição necessária, mas não suficiente, para garantir soberania sobre os dados que nela circulam.

O princípio que atravessa fronteiras: jurisdição segue a operadora

O modelo de submissão corporativa às leis do país-sede não é uma invenção americana nem uma particularidade do contexto atual. É um princípio que se repete em diferentes ordenamentos jurídicos ao redor do mundo, com variações de alcance e propósito.

A Lei de Inteligência Nacional da China de 2017 obriga qualquer empresa chinesa, independentemente de onde opere no mundo, a cooperar com as agências de inteligência do Estado. O Investigatory Powers Act britânico de 2016 autoriza mandados de interceptação fora do território do Reino Unido, estendendo a capacidade de vigilância da inteligência britânica para além das suas fronteiras. O TOLA australiano de 2018, Telecommunications and Other Legislation Amendment, pode forçar empresas globais de tecnologia a construir capacidades de acesso a comunicações criptografadas, incluindo aquelas que operam fora da Austrália.

É importante reconhecer, como a própria análise aponta, que o propósito declarado da maioria dessas leis é apoiar a cooperação internacional contra o crime organizado, o terrorismo e ameaças à segurança nacional. A questão não é que essas leis sejam ilegítimas em seu propósito original. É que o mecanismo que criam, ao subordinar empresas privadas globais às leis do seu país de origem, transforma dados de cidadãos de outros países em objeto de disputa entre soberanias, sem que esses cidadãos tenham qualquer participação no processo.

A arquitetura de vigilância cruzada e a diluição das proteções individuais

Além das leis nacionais, existe um arranjo estrutural que vai além de qualquer texto legal individual: o Five Eyes, aliança de inteligência que reúne os Estados Unidos, o Reino Unido, o Canadá, a Austrália e a Nova Zelândia. Essa aliança cria uma arquitetura de vigilância cruzada que contorna, na prática, as proteções constitucionais de cada membro individualmente.

O mecanismo funciona porque cada país da aliança tem restrições legais para vigiar os próprios cidadãos. Mas não tem as mesmas restrições para compartilhar informações sobre cidadãos de outros países com seus parceiros. O resultado é que a inteligência de um país sobre cidadãos de outro pode circular entre os membros sem acionar as proteções domésticas que cada um deles aplicaria se fosse vigiar os próprios nacionais. A arquitetura transforma a limitação individual de cada ordenamento em uma abertura sistêmica para acesso compartilhado.

Trump não inventou esse mecanismo, como aponta Consuelo Rodrigues. Acelerou algo que já existia, transformando empresas privadas em pontos de tensão entre Estados soberanos e convertendo os dados de cidadãos em moeda de pressão geopolítica. O que mudou com a conjuntura recente não foi a estrutura, foi a disposição de usá-la de forma mais explícita e menos mediada pelos compromissos multilaterais que anteriormente moderavam o exercício desse poder.

A experiência europeia: de Schrems I a Schrems II e o artigo 48 do GDPR

A União Europeia não chegou ao debate atual sem ter percorrido um caminho longo e custoso. Os julgamentos Schrems I, de 2015, e Schrems II, de 2020, pelo Tribunal de Justiça da União Europeia, foram os marcos que forçaram o reconhecimento de que acordos voluntários de proteção de dados não resistem ao confronto com a legislação de vigilância americana.

No caso Schrems I, o Tribunal invalidou o Safe Harbor, o acordo que desde 2000 regulamentava a transferência de dados pessoais de cidadãos europeus para empresas americanas que aderissem a seus princípios. A razão central foi que o Safe Harbor não era oponível ao governo dos Estados Unidos, o que permitia que empresas aderentes fossem obrigadas a afastar sua aplicação por razões de segurança pública ou defesa nacional. O Privacy Shield, criado para substituí-lo em 2016, foi igualmente invalidado no caso Schrems II, em julho de 2020, pelo mesmo fundamento: a legislação americana de vigilância não oferece aos dados de cidadãos europeus um nível de proteção equivalente ao garantido pelo GDPR, Regulamento Geral de Proteção de Dados.

A resposta normativa europeia está codificada no artigo 48 do GDPR, que proíbe que empresas operando na Europa entreguem dados com base em ordens de países terceiros, salvo quando isso ocorra com base em tratado de assistência judiciária em vigor entre o país solicitante e um Estado-membro da União Europeia. Esse é o chamado estatuto de bloqueio: uma barreira legal que ampara juridicamente a recusa à entrega de dados diante de uma ordem judicial estrangeira que não passe pelos mecanismos multilaterais acordados. A LGPD brasileira, Lei Geral de Proteção de Dados Pessoais, não tem equivalente.

O que a LGPD tem e o que ainda não tem

A LGPD representa um avanço real na proteção de dados pessoais no Brasil. Ela estabelece um conjunto robusto de direitos para os titulares, obrigações para os controladores e operadores, e mecanismos de fiscalização pela ANPD, Autoridade Nacional de Proteção de Dados. O arcabouço legal brasileiro tem também alcance extraterritorial: aplica-se ao tratamento de dados de pessoas localizadas no Brasil, independentemente de onde o tratamento seja realizado ou onde esteja sediado o agente.

O problema está em outro nível. O Brasil tem legislação com alcance extraterritorial, mas enfrenta o desafio real de exercê-la quando o operador está fora da jurisdição nacional. E, mais especificamente, não dispõe de um estatuto de bloqueio explícito, uma norma que autorize juridicamente uma empresa a recusar o cumprimento de uma ordem judicial estrangeira de vigilância que não tenha passado pelos canais multilaterais de assistência judiciária.

Sem esse amparo normativo, a posição das empresas que operam no Brasil é frágil diante de uma ordem baseada no Cloud Act ou em equivalentes de outras jurisdições. Elas não têm, no direito brasileiro, um fundamento legal explícito que lhes permita recusar o cumprimento desse tipo de ordem, da forma que o artigo 48 do GDPR oferece às empresas operando na Europa. Construir soberania de dados exige ir além da proteção interna, com salvaguardas que impeçam que os direitos dos cidadãos brasileiros sejam arbitrados por leis de outro Estado.

Perguntas frequentes sobre soberania de dados e jurisdição extraterritorial

P: O que é o Cloud Act e por que ele afeta dados fora dos Estados Unidos?

O Cloud Act, Clarifying Lawful Overseas Use of Data Act, é uma lei americana promulgada em 2018 que obriga empresas de tecnologia sediadas nos Estados Unidos a fornecer, mediante ordem judicial, dados sob sua custódia onde quer que estejam armazenados. O Cloud Act afeta dados fora dos Estados Unidos porque o critério de aplicação é a nacionalidade da empresa operadora, não a localização física do servidor. Um dado armazenado em um servidor no Brasil, se estiver sob a operação de uma empresa americana, pode ser requisitado por autoridades americanas sem que o endereço físico do servidor ofereça qualquer proteção.

P: O que foi o caso Schrems I e qual sua relevância para a proteção de dados?

O caso Schrems I foi um julgamento do Tribunal de Justiça da União Europeia, decidido em outubro de 2015, que declarou inválido o Safe Harbor, acordo que desde 2000 regulamentava a transferência de dados pessoais de cidadãos europeus para empresas americanas. O caso Schrems I demonstrou que acordos voluntários de proteção de dados não resistem ao confronto com a legislação de vigilância americana, pois o Safe Harbor não era oponível ao governo dos Estados Unidos em questões de segurança nacional, deixando os dados de cidadãos europeus vulneráveis ao acesso pela inteligência americana.

P: O que é um estatuto de bloqueio e por que a LGPD não tem um?

Um estatuto de bloqueio é uma norma legal que autoriza juridicamente uma empresa a recusar o cumprimento de uma ordem judicial estrangeira de acesso a dados que não tenha passado pelos canais multilaterais de assistência judiciária reconhecidos entre os países envolvidos. O artigo 48 do GDPR, Regulamento Geral de Proteção de Dados da União Europeia, é o exemplo mais consolidado desse mecanismo. A LGPD, Lei Geral de Proteção de Dados Pessoais, não tem equivalente a esse artigo, o que significa que empresas operando no Brasil não têm amparo legal explícito no direito brasileiro para recusar ordens judiciais estrangeiras de vigilância.

P: O que é o Five Eyes e como ele se relaciona com a soberania de dados?

O Five Eyes é uma aliança de inteligência entre Estados Unidos, Reino Unido, Canadá, Austrália e Nova Zelândia que cria uma arquitetura de vigilância cruzada entre seus membros. O Five Eyes se relaciona com a soberania de dados porque cada país da aliança tem restrições legais para vigiar os próprios cidadãos, mas não necessariamente as mesmas restrições para compartilhar com seus parceiros informações sobre cidadãos de outros países. O resultado é uma capacidade de acesso compartilhado que contorna, na prática, as proteções constitucionais individuais de cada membro quando aplicadas a cidadãos estrangeiros.

P: Por que a localização do servidor não é suficiente para garantir soberania de dados?

A localização do servidor não é suficiente para garantir soberania de dados porque o critério relevante para a aplicação das leis de vigilância extraterritorial não é o endereço físico do equipamento, mas a nacionalidade da empresa operadora. Uma Big Tech americana instalando data centers no Brasil continua subordinada às leis dos Estados Unidos, incluindo o Cloud Act. O endereço do disco rígido muda. A lei aplicável à empresa não muda. Soberania de dados requer, além da localização física da infraestrutura, controle sobre quem opera essa infraestrutura e sob qual lei essa operação responde.

P: Qual foi a declaração da Microsoft no Senado francês e o que ela revela?

Em junho de 2024, Anton Carniaux, diretor de assuntos públicos e jurídicos da Microsoft França, confirmou ao Senado francês, em audiência sob juramento, que a Microsoft não pode garantir que dados de cidadãos franceses não sejam entregues ao governo dos Estados Unidos sem a autorização do governo francês. A declaração revela que o funcionamento normal do sistema legal vigente, especificamente o Cloud Act, coloca empresas americanas em posição de cumprir ordens judiciais dos Estados Unidos mesmo quando isso conflita com as leis de proteção de dados dos países onde operam. O episódio ilustra que a subordinação corporativa às leis do país-sede não é uma hipótese teórica: é a descrição do mecanismo em operação.

Um país que delega a custódia dos dados dos seus cidadãos a empresas sujeitas a jurisdições estrangeiras não controla, de fato, o destino desses cidadãos. Essa frase resume a consequência jurídica e política do modelo atual. A ausência de um estatuto de bloqueio na LGPD não é uma lacuna técnica menor: é a expressão de uma escolha ainda não feita sobre o nível de proteção que o Brasil decide oferecer aos titulares de dados quando a ameaça vem de fora dos seus limites territoriais. Proteção de dados pessoais é, em sua essência, proteção de direitos fundamentais. E direitos fundamentais não respeitam fronteiras apenas quando há mecanismos legais que os façam ser respeitados. Construir soberania de dados é construir esses mecanismos, um por um, com a clareza de que nenhum servidor instalado no Brasil garante automaticamente que os dados nele armazenados sejam governados pelo direito brasileiro.