Soberania jurídica e regulatória: por que o controle é definido pela lei (Parte 7)

Anteriormente, exploramos a soberania de TI em áreas como infraestrutura, nuvem, inteligência artificial, segurança cibernética e redes. Cada camada destacou o mesmo desafio subjacente: como as empresas podem se beneficiar dos ecossistemas digitais globais e, ao mesmo tempo, manter o controle sobre seus ativos mais críticos.

Mas a soberania não é apenas uma questão técnica, é uma questão jurídica.

Por mais robusta que seja uma arquitetura, o controle pode, em última instância, ser moldado ou anulado pelas leis que se aplicam aos seus dados, provedores e operações. Isso levanta uma questão fundamental: Quais leis regem seus dados e o que acontece quando elas entram em conflito?

O que significa soberania jurídica?

A soberania jurídica e regulatória refere-se à capacidade de uma organização de garantir que seus dados e operações digitais continuem sendo regidos pelas jurisdições que ela escolher, e não por aquelas impostas indiretamente por meio de fornecedores ou dependências transfronteiriças.

Na prática, isso raramente é simples.

Os dados podem ser armazenados em um país, processados em outro e gerenciados por um provedor com sede em outro local. Cada etapa traz riscos jurídicos potenciais, muitas vezes sem que haja total visibilidade.

Consequentemente, a soberania não se resume mais apenas ao local onde os dados estão armazenados, mas também a:

• Quais autoridades podem solicitar acesso
• Quais marcos legais se aplicam ao tratamento e à transferência
• Se obrigações conflitantes podem ser conciliadas
  
  

  Os riscos da sobreposição de marcos jurídicos

Para as empresas internacionais, o desafio não é uma única regulamentação, mas a interação entre diversos marcos regulatórios.

Leis conflitantes sobre acesso a dados

Diferentes jurisdições podem impor obrigações conflitantes. Uma lei pode exigir o acesso aos dados, enquanto outra restringe sua transferência ou divulgação.

Por exemplo, a Lei CLOUD dos EUA (Clarifying Lawful Overseas Use of Data Act) esclarece que as autoridades americanas podem exigir a divulgação de dados de provedores sujeitos à jurisdição dos EUA, incluindo dados armazenados no exterior. Ao mesmo tempo, as regulamentações europeias podem restringir tais transferências.

Requisitos mais rigorosos de proteção de dados

O Regulamento Geral sobre a Proteção de Dados (RGPD) impõe requisitos rigorosos quanto à forma como os dados pessoais são tratados e quanto à forma como podem ser transferidos para fora da União Europeia, incluindo a necessidade de decisões de adequação ou salvaguardas adequadas.

Essas obrigações foram reforçadas pela decisão Schrems II, que invalidou o Escudo de Proteção de Dados UE-EUA e exige que as organizações avaliem se os dados transferidos recebem proteção equivalente na prática.

Ampliação do escopo regulatório

Novos marcos regulatórios, como a Diretiva revisada sobre Segurança de Redes e Informações (NIS2) e a Lei de Resiliência Operacional Digital (DORA) no setor financeiro, ampliam o foco regulatório para além da proteção de dados, passando a incluir a segurança da cadeia de suprimentos, a resiliência operacional e os riscos relacionados a terceiros.

Em conjunto, esses avanços destacam uma realidade fundamental: o risco jurídico não se limita às fronteiras; ele acompanha os dados, o provedor e a arquitetura.

Estratégias para mitigar riscos de soberania jurídica

Os conflitos jurídicos não podem ser totalmente eliminados, mas podem ser gerenciados por meio de uma combinação de medidas arquitetônicas, contratuais e de governança.

a) Alinhar a localização dos dados aos requisitos legais

Sempre que possível, os dados confidenciais devem ser armazenados e processados em jurisdições que estejam em conformidade com as obrigações regulatórias. Isso reduz a exposição a disposições legais conflitantes.

Na prática, isso significa avaliar não apenas onde os dados estão fisicamente armazenados, mas também qual jurisdição se aplica ao provedor. Por exemplo, dados hospedados em um data center europeu podem ainda estar sujeitos a leis estrangeiras se o provedor tiver sede em outro lugar.

b) Fortalecer as proteções contratuais

Os contratos com os prestadores de serviços devem incluir:

• Compromissos claros quanto à residência dos dados
• Transparência em relação às solicitações de acesso por parte do governo
• Obrigações de contestar ou notificar solicitações de divulgação de dados, sempre que for legalmente possível

c) Controle da criptografia e do gerenciamento de chaves

A criptografia é uma das medidas de proteção mais eficazes. Ao manter o controle sobre as chaves de criptografia, as empresas podem limitar o impacto prático das solicitações externas de acesso aos dados.

d) Reduzir a dependência de uma única jurisdição

Estratégias com múltiplos prestadores e híbridas ajudam a distribuir o risco jurídico. Evitar a dependência de um único prestador ou jurisdição aumenta a flexibilidade na resposta a mudanças regulatórias.

e) Implementar a classificação e a governança de dados

Nem todos os dados exigem o mesmo nível de soberania. Classificar os dados com base na sensibilidade e nos requisitos regulatórios permite que as organizações apliquem controles onde eles são mais importantes.

Quando a soberania jurídica é fundamental?

A soberania jurídica torna-se essencial quando:

• Os dados pessoais estão sujeitos a rigorosos requisitos regulatórios
• As operações estão sujeitas a marcos normativos setoriais específicos, como regulamentações financeiras ou relativas a infraestruturas críticas
• O acesso aos dados por autoridades estrangeiras pode gerar riscos jurídicos, operacionais ou de reputação
• Os fluxos transfronteiriços de dados são fundamentais para as operações comerciais

Nesses cenários, a soberania não é opcional; é um pré-requisito para o cumprimento das normas e a continuidade.

Dependências legais aceitáveis

Ao mesmo tempo, o isolamento jurídico total não é nem prático nem desejável.

As empresas globais continuarão a operar em diversas jurisdições e a contar com prestadores de serviços internacionais. O importante é distinguir entre:

• Dependências críticas, nas quais os riscos jurídicos devem ser rigorosamente controlados
• Dependências aceitáveis, nas quais os riscos podem ser mitigados por meio de medidas de proteção

Por exemplo, as empresas podem aceitar:

• Utilização de provedores estrangeiros para cargas de trabalho não confidenciais
• Processamento de dados criptografados ou anônimos além das fronteiras
• Aproveitamento de plataformas globais nas quais existam controles adequados

A soberania jurídica, assim como a soberania técnica, resume-se, em última análise, à tomada de decisões com base no risco.

A Questão Essencial

A tecnologia define o que é possível.

Mas a lei define o que é permitido.

ISe seus provedores estão sujeitos a leis que você não pode controlar, até que ponto sua TI é soberana?

O que vem depois?

Na parte final desta série, examinaremos as escolhas estratégicas e as dependências aceitáveis, bem como a forma como as empresas podem equilibrar inovação, custo e controle em um cenário tecnológico global.