Solicitações transfronteiriças de dadosUma exigência precisa se tornar uma ordem no lugar onde o disco está, ou continua sendo só uma carta.

A expressão que este mercado usa e nunca explica

Basta acompanhar um pouco este setor para encontrar a mesma alegação em duas direções opostas. Uma diz que um servidor no exterior está simplesmente fora de alcance. A outra diz que nada disso importa, porque de qualquer forma eles vão conseguir os dados. As duas são chutes, e aquilo sobre o que estão chutando tem nome, procedimento, fila e rastro documental.

Um investigador em um país que quer registros mantidos por uma empresa em outro tem um número pequeno de rotas disponíveis — cinco, em uma contagem generosa. Só uma delas é o tratado que todo mundo cita e ninguém descreve. Duas são mais rápidas que o tratado e se apoiam em um teste que nada tem a ver com onde está o hardware. E as rotas mais rápidas de todas não são lei nenhuma, e é essa a parte que realmente encerra sites.

As cinco rotas através de uma fronteira

Elas diferem em quem é notificado, quem pode recusar, e se um juiz chega a ler o processo. Da mais rápida para a mais lenta, aproximadamente, o que é quase o inverso do peso que cada uma carrega.

Três das cinco terminam com alguém local notificando um documento local, e essa é a frase que vale a pena guardar dessa tabela. As outras duas pedem que uma empresa aja com base em um documento sem força alguma onde a empresa está. Se “offshore” significa alguma coisa, a resposta está quase inteiramente no que um provedor faz com essas duas.

O que é, de fato, a assistência jurídica mútua

Um MLAT é um tratado entre dois Estados prometendo ajuda mútua em matéria criminal: provas, depoimentos, registros, a notificação de documentos. Existem centenas deles, quase todos bilaterais; os Estados Unidos sozinhos são parte de mais de sessenta. Eles existem porque um promotor não tem poder no exterior, e uma ordem judicial é um instrumento doméstico. O tratado não dá alcance ao Estado requerente. Dá a ele uma fila.

A fila passa por repartições designadas chamadas autoridades centrais, e uma solicitação é passada de uma para a seguinte, em vez de enviada diretamente ao destino. Nos Estados Unidos, essa repartição é o Escritório de Assuntos Internacionais do Departamento de Justiça; em outros lugares, costuma ser o ministério da justiça. A cadeia tem praticamente o mesmo formato em quase todo lugar:

1. Um investigador redige a solicitação e a entrega à sua própria autoridade central, na forma que o tratado especifica, nomeando o delito e os registros desejados.
2. Essa autoridade verifica se a solicitação se enquadra no tratado e a transmite à autoridade central do Estado requerido. Solicitações são devolvidas nessa etapa por serem vagas, e muitas são.
3. A autoridade que recebe a testa contra a lei do próprio país e a entrega a um promotor local ou a um juiz de instrução.
4. Esse promotor requer a um tribunal local uma ordem doméstica, exatamente como faria em um caso doméstico, com base em fundamentos domésticos.
5. O tribunal concede ou recusa. Se conceder, uma ordem doméstica é notificada à empresa — no próprio país dela, no próprio idioma dela, sob a própria lei dela.
6. O que for produzido viaja de volta pela mesma cadeia, em sentido inverso, cada etapa com sua própria fila.

Uma carta rogatória é a mesma jornada, sem nada por trás: uma solicitação de um tribunal em um país a um tribunal em outro, enviada por canais diplomáticos e concedida por cortesia internacional, não por obrigação. É o que se usa onde não existe tratado, e é mais lenta que o mecanismo que as pessoas já reclamam ser lento.

Os quatro filtros que uma solicitação precisa superar

Esses não são formalidades. É onde o desgaste acontece, e três dos quatro são aplicados por pessoas sem interesse algum na investigação.

1. Dupla incriminação. A maioria dos tratados permite recusar assistência quando a conduta descrita também não é crime no Estado requerido. Um país cuja lei não reconhece o delito não tem nada a instruir aos próprios tribunais.
2. Especificidade. A solicitação precisa nomear o que se quer com precisão suficiente para que um juiz local assine uma ordem sobre isso. “Tudo o que estiver associado a este site” não é algo para o qual um tribunal em um Estado de Direito emite uma ordem.
3. A própria lei do Estado requerido. A ordem que finalmente chega é uma ordem doméstica, então precisa satisfazer exigências domésticas — proporcionalidade, proteção de dados e, na União Europeia, o Artigo 48 do RGPD, que só torna uma exigência de um país terceiro reconhecível quando um acordo internacional a sustenta.
4. O registro precisa existir. Nenhum tratado obriga uma empresa a produzir algo que ela não possui, e nenhum tribunal a manda reconstruir um.

O quarto filtro é o único sobre o qual um cliente tem alguma influência, e por isso é o único que vale a pena gastar dinheiro. Tudo o mais nessa lista é procedimento de outra pessoa. O que está nos registros é uma decisão tomada por um provedor anos antes de a solicitação chegar, e por você, ao escolher o que a sua própria aplicação registra. O que o seu próprio site registra sobre os leitores é o assunto de um guia à parte.

Por que demora o quanto demora

Cada salto nessa cadeia é uma repartição com fila de pendências, e os atrasos se acumulam em vez de se sobrepor. A cifra normalmente citada para uma solicitação de assistência jurídica mútua concluída é próxima de dez meses, e ela não vem deste setor: o próprio grupo de revisão dos Estados Unidos sobre inteligência e tecnologias de comunicação a relatou em 2013, e a Comissão Europeia citou uma cifra comparável ao defender o instrumento descrito duas seções abaixo. Nada desde então tornou isso dramaticamente mais rápido.

Dez meses não é um detalhe técnico nem um motivo para relaxar, e tratá-lo como qualquer um dos dois é um erro. É um fato estrutural sobre um processo com seis filas dentro dele, e é por isso que existe a solicitação de preservação: um instrumento breve, enviado no primeiro dia, pedindo que registros que existem hoje parem de ser apagados enquanto a máquina lenta funciona. Preservação é a parte que as pessoas ignoram quando pensam em prazos. Uma exigência que não produz nada por um ano ainda pode ter congelado algo na primeira tarde — se havia algo ali para congelar.

O CLOUD Act é sobre a empresa, não sobre o país

Em 2013, os Estados Unidos notificaram um mandado à Microsoft por e-mails armazenados em Dublin. A Microsoft argumentou que um mandado doméstico não alcançava a Irlanda. O caso chegou até a Suprema Corte, e em março de 2018 o Congresso o tornou sem objeto ao aprovar o CLOUD Act.

O que o Act fez cabe em uma frase, e é a frase que este mercado deveria ter lido. Ele alterou o Stored Communications Act — 18 U.S.C. §2703 — para exigir que um provedor sujeito à jurisdição dos Estados Unidos produza dados em sua posse, custódia ou controle, independentemente de esses dados estarem armazenados dentro dos Estados Unidos ou não.

Agora leia pelo que ele não diz. Ele não diz absolutamente nada sobre onde está o servidor. A localização do disco deixou de ser a questão; a única pergunta que o Act faz é se a empresa que o detém pode ser alcançada por um tribunal dos Estados Unidos. Uma corporação americana com um datacenter em Frankfurt está dentro. Uma empresa sem presença nos EUA está fora, e o disco estar na Virgínia não mudaria isso — para isso, os Estados Unidos voltam para a fila descrita acima.

O Act abriu uma segunda rota também: acordos executivos entre os Estados Unidos e um governo estrangeiro qualificado, sob os quais as autoridades de cada lado podem notificar ordens diretamente a provedores no outro país. O Reino Unido assinou o primeiro em 2019, e ele entrou em vigor em 2022; a Austrália seguiu o exemplo. Isso alcança provedores dentro do alcance dos governos signatários, e mais ninguém, o que é o mesmo teste de antes, com outra roupagem.

O que mudou na Europa em agosto de 2026

A União Europeia construiu sua própria versão da rota direta, e ela começou a se aplicar em 18 de agosto de 2026 — recentemente o bastante para que a maioria das páginas deste mercado ainda não tenha se atualizado. O Regulamento (UE) 2023/1543 cria a Ordem Europeia de Produção e a Ordem Europeia de Preservação: uma autoridade em um Estado-membro pode emitir uma ordem e notificá-la diretamente a um provedor de serviços que atua na União, sem passar pelas autoridades do segundo Estado, como faz a assistência mútua.

Sua companheira, a Diretiva (UE) 2023/1544, é a parte que faz isso funcionar. Provedores que oferecem serviços na União precisam designar um estabelecimento ou um representante legal em um Estado-membro para receber essas ordens. Essa designação é o gancho, e é o teste do CLOUD Act escrito ao contrário, à moda europeia: o instrumento alcança quem quer que tenha concordado, ao operar ali, em ser alcançável.

A última linha é a mais citada de forma errada. A Convenção de Budapeste sobre o Cibercrime — tratado ETS 185 do Conselho da Europa, aberto para assinatura em 2001 e hoje ratificado bem além da Europa — prevê preservação expedita no Artigo 29, assistência mútua para dados armazenados no Artigo 31, e no Artigo 35 exige que cada parte mantenha um ponto de contato disponível vinte e quatro horas por dia. O Artigo 32(b), o que as pessoas citam como um poder geral de acesso remoto, permite isso apenas quando os dados são publicamente disponíveis ou quando a pessoa legalmente autorizada a divulgá-los consente. É uma porta estreita, e não é uma porta dos fundos.

As duas rotas que nunca passam por um juiz

Aqui está a metade desconfortável da resposta. Toda rota acima é lenta, formal e contável — o relatório no fim desta página as conta. As rotas que realmente encerram a maioria dos sites não são nada disso, e um leitor que acompanhou a máquina dos tratados até aqui costuma estar preocupado com a coisa errada.

• O upstream. Um provedor aluga trânsito de operadoras e espaço físico de uma instalação. Uma reclamação enviada a eles, em vez de ao provedor, alcança uma parte sem relação nenhuma com você e nada a perder ao agir sobre ela. Quem responde por isso é um provedor que é dono da relação e já recusou antes.
• O registrador. Um domínio é uma licença de um operador de registro em sua própria jurisdição, e um operador de registro pode suspender um nome sem tocar no servidor de forma alguma. A máquina continua respondendo; nada mais resolve. É uma superfície de ataque diferente, com um guia próprio.
• O meio de pagamento. Um processador de cartões pode congelar uma conta mediante uma reclamação, a seu critério, sem processo digno do nome e sem recurso possível. É a maior parte do motivo pelo qual a liquidação aqui é somente on-chain.
• A central de abuso. Uma reclamação é lida por uma pessoa em uma repartição diferente, em um ritmo diferente, contra uma política, não contra uma lei. Quem lê uma denúncia sobre você descreve isso por dentro.

Nenhuma dessas coisas é uma solicitação de dados transfronteiriça, e é exatamente por isso que elas pertencem a um guia sobre solicitações de dados transfronteiriças. A ameaça que leva as pessoas a comprar hospedagem offshore frequentemente não é a ameaça que as alcança.

Lendo a estrutura de um host à luz de tudo isso

Tudo o que foi dito acima se reduz a um punhado de fatos verificáveis sobre uma empresa, e cada um deles pode ser estabelecido antes de você gastar qualquer coisa.

1. Qual entidade está na fatura, e onde ela é registrada. Não a região, não a bandeira no mapa: a empresa com a qual você está formando um contrato.
2. Uma entidade, ou uma para cada região. Uma única empresa operando oito países é um único réu com oito endereços, e uma ordem contra ela alcança todos eles.
3. Se há algo no grupo alcançável a partir da jurisdição que você está considerando. Uma controladora, uma subsidiária, um escritório, uma conta bancária. Este é o teste do CLOUD Act, e ele se aplica de forma muito mais ampla do que o próprio Act.
4. O que o provedor diz que faz diante de uma ordem estrangeira. Por escrito, com um prazo, publicado antes de precisar dele.
5. O que ele publica depois. Uma contagem do que chegou, do que atendeu ao critério, e do que foi de fato produzido. O terceiro número é o único que ninguém falsifica de forma convincente, porque é o único que seria constrangedor.
6. O que existe para ser produzido, afinal. A última pergunta, e no fim das contas a única que decide alguma coisa.

A estrutura desta infraestrutura é de oito regiões e oito empresas, cada uma no registro do seu próprio país, e é por isso que uma ordem obtida contra uma não é executável contra outra sem recomeçar todo o processo no segundo país. É uma forma cara de organizar um negócio, e é organizada assim exatamente por esse motivo; os termos dizem isso na cláusula 1, e a lista de entidades está na página Sobre.

Como isso aparece nos números

Esta infraestrutura publica o que chega, por trimestre, desde que foi aberta. De 164 solicitações de autoridades policiais recebidas até hoje, 54 atenderam ao critério legal — uma ordem de um tribunal com jurisdição sobre a entidade notificada — e 31 produziram alguma coisa.

A cifra que vale a pena ler é a lacuna. Cento e dez solicitações, dois terços de tudo que chegou, nunca passaram da pergunta sobre a qual todo este guia trata: se aquilo foi notificado por um tribunal capaz de alcançar a empresa notificada. Isso não é uma taxa de recusa, e não é desafio. É a forma do problema, em uma amostra de uma única empresa.

A segunda cifra está na outra ponta. Das trinta e uma que produziram algo, o que foi produzido é inventário — um endereço de e-mail associado a uma conta, um lançamento em livro-razão on-chain — e nunca o conteúdo de um disco. Não porque uma linha tenha sido heroicamente defendida, mas porque um registro que nunca foi criado não pode ser entregue a ninguém. O relatório completo está na página de transparência, e o processo que ela contabiliza está descrito na política para autoridades.

Perguntas que as pessoas realmente fazem

Todos os preços desta estrutura são publicados por completo, em um só lugar. Veja o catálogo completo