Hospedagem offshore e o RGPDO regulamento acompanha você, não o rack.

A frase que este mercado erra

A alegação quase nunca é dita abertamente, e é assim que ela sobrevive. Ela chega como uma insinuação: os servidores são offshore, a empresa é offshore, logo as regras europeias ficaram para trás. Leia o regulamento e a insinuação desmorona em uma única frase.

O Artigo 3 define a quem o RGPD se aplica, e em nenhum momento menciona onde está o hardware. O parágrafo 1 diz que o regulamento se aplica ao tratamento realizado por um controlador ou operador estabelecido na União independentemente de o tratamento ocorrer ou não na União. O parágrafo 2 alcança na direção oposta: uma empresa sem nenhum estabelecimento na União ainda está sujeita ao regulamento quando oferece bens ou serviços a pessoas na União, ou monitora o comportamento delas ali.

Isso não é uma decepção, e vale a pena dizer por quê antes de qualquer outra coisa. O motivo para mudar um servidor é que um tribunal de um país não pode dar ordens a um disco em outro. Esse motivo permanece intacto. O que viaja com a máquina é uma obrigação de conformidade, não uma exposição jurídica, e as duas coisas são constantemente confundidas porque ambas são descritas com a palavra “jurisdição”.

A qual de vocês o regulamento se dirige

Dois papéis, definidos no Artigo 4, separados por uma única pergunta: quem decidiu para que os dados serviriam.

Quase toda discussão sobre hospedagem e RGPD é, na verdade, uma discussão sobre essa tabela. Um provedor não pode estar em conformidade em seu nome, porque a maioria dos deveres é do controlador e não pode ser repassada por contrato. O que um provedor pode ser é um operador cuja escolha você consegue justificar, o que é o Artigo 28 — um documento, não uma sensação.

O Artigo 28(3) lista o que esse contrato precisa conter, e a lista é curta o bastante para conferir com a sua. Tratar os dados apenas conforme instruções documentadas. Vincular todos que têm acesso a um dever de confidencialidade. Adotar as medidas de segurança do Artigo 32. Não incluir nenhum suboperador sem autorização. Ajudar você a responder aos titulares dos dados. Ajudar você em casos de violação e em avaliações. Apagar ou devolver tudo ao final. Dar a você o que for necessário para verificar tudo isso.

O que conta como transferência

O Capítulo V — Artigos 44 a 49 — rege o envio de dados pessoais a um país terceiro. País terceiro significa qualquer lugar fora do Espaço Econômico Europeu, que é formado pelos vinte e sete Estados-membros mais Islândia, Liechtenstein e Noruega. O RGPD foi incorporado ao Acordo do EEE em 2018, e é por isso que esses três países estão dentro da linha, e não apenas perto dela.

O Artigo 44 estabelece o princípio: uma transferência só pode ocorrer se o restante do capítulo for cumprido. Existem então três caminhos, em ordem decrescente de facilidade.

A última linha é onde a conformidade improvisada costuma acabar, e ela não se sustenta. O Artigo 49 foi escrito para o ocasional e o específico. Hospedar o banco de dados de clientes em um servidor por três anos não é nem uma coisa nem outra.

As oito regiões, classificadas conforme o Capítulo V as chama

Esta é a parte que uma empresa de hospedagem pode responder e um blog jurídico não, porque é um fato sobre uma infraestrutura específica, não um princípio geral. As oito regiões desta rede se dividem em três grupos, e a distância entre o primeiro grupo e o último é de dois documentos.

Quatro das oito não são transferências, e ponto final. Isso vale mais do que a maior parte do que se publica sobre hospedagem offshore e conformidade, e é uma frase que ninguém que venda um dos dois tem interesse em dizer, porque ela torna o produto difícil desnecessário para metade da infraestrutura.

A metade da pergunta que não é sobre o rack

Onde o disco está decide se existe uma transferência. Com qual empresa você contratou decide quem o mantém, e essas duas coisas se separam com mais frequência do que deveriam.

Um provedor com racks em Frankfurt e uma matriz na Califórnia está exportando seus dados, quer algo cruze um cabo ou não, porque o operador está sujeito a uma jurisdição capaz de alcançá-lo. Essa não é uma distinção hipotética. É o motivo pelo qual a estrutura societária de um provedor é um fato de proteção de dados, não uma curiosidade.

O arranjo aqui é oito jurisdições e oito empresas separadas, definidas na cláusula 1 dos termos. Um servidor em Reykjavík é contratado com a entidade islandesa, que está dentro do EEE, e é por isso que a primeira linha da tabela acima diz o que diz. Se você estiver lendo a página de outra empresa, essa é a pergunta a fazer: não onde está o servidor, mas qual empresa está na fatura e onde essa empresa está.

O que o Artigo 46 realmente exige de você

Se você usa um dos três países terceiros, o trabalho é real, mas é limitado, e não mudou muito desde 2021.

1. Registre a transferência por escrito. Quais categorias de dados pessoais, sobre quem, para qual entidade, em qual país, e em que formato eles chegam — legíveis, ou criptografados sob uma chave que você manteve.
2. Coloque o instrumento em vigor. Na prática, isso significa as cláusulas contratuais-padrão que a Comissão adotou em junho de 2021, no módulo que corresponde à relação. Controlador para operador é o Módulo Dois, que é o que acontece ao alugar um servidor.
3. Avalie o destino. Desde que o Tribunal de Justiça decidiu o caso Schrems II em julho de 2020, assinar as cláusulas não é o suficiente: é preciso analisar se a lei do local onde os dados chegam permite que uma autoridade pública os alcance de uma forma que as cláusulas não resistem. O Comitê Europeu para a Proteção de Dados publicou o método em 2021, e ele tem seis passos.
4. Acrescente o que for necessário para fechar a lacuna encontrada na avaliação, que é a próxima seção, porque na prática existe apenas uma medida que a fecha.
5. Coloque uma data nisso. A avaliação trata da lei de um país, e a lei de um país muda sem avisar você. Fazer uma vez não é conformidade; um intervalo de revisão é.

A medida que realmente fecha a lacuna

As medidas suplementares que o Comitê descreve são, na maior parte, decepcionantes quando lidas com atenção. As contratuais e organizacionais não impedem um Estado com poder de coação, e o Comitê diz isso claramente. Uma medida técnica sobrevive à análise, e é a mesma recomendada em todo o resto deste site, por razões que nada têm a ver com o RGPD.

Se os dados chegam criptografados sob uma chave que nunca sai do seu controle, o operador que os guarda não consegue produzir nada legível para ninguém — nem para um tribunal, nem para você, nem para si mesmo. As recomendações do Comitê tratam a criptografia forte com chave retida pelo exportador como eficaz para dados armazenados, e tratam um operador que precisa dos dados em texto claro como um caso em que nenhuma medida é identificada. O que é a posição honesta: você não consegue, por contrato, evitar que alguém seja capaz de ler um disco.

A distinção que importa na prática é entre armazenamento e processamento. Um object store guardando arquivos criptografados é o caso fácil. Um banco de dados em execução em uma máquina virtual é o difícil, porque a chave precisa estar na memória de um hardware que outra pessoa pode tocar. O que o seu provedor ainda consegue ler examina exatamente onde essa linha cai, e não termina em uma garantia tranquilizadora.

O Artigo 48, que aponta na direção contrária

O Capítulo V contém um artigo raramente citado neste mercado e que mereceria ser. O Artigo 48 diz que uma sentença judicial, ou uma decisão de autoridade administrativa, de um país terceiro que exija que um controlador ou operador divulgue dados pessoais só pode ser reconhecida ou executada quando fundamentada em um acordo internacional — na prática, um tratado de assistência jurídica mútua.

Lido como uma instrução a um provedor, isso diz algo específico: uma ordem vinda de um país sem jurisdição não é, pela lei europeia, motivo para entregar seja o que for. Um provedor que a cumpre mesmo assim não está sendo cuidadoso. Está fazendo uma transferência ilegal e chamando isso de cooperação.

Esta infraestrutura chega à mesma resposta pelo caminho inverso, e chega desde 2019, de um jeito que pode ser verificado, não apenas afirmado: 164 solicitações de autoridades, das quais 31 resultaram em algo, nenhuma ordem de sigilo em vinte e nove trimestres publicados, e o que foi entregue foi um endereço de e-mail e um registro de valores. O guia para autoridades define o critério em uma linha: uma ordem de um tribunal com jurisdição sobre a entidade notificada.

O que não muda, onde quer que a máquina esteja

Esta é a seção que custa uma venda, então é a que vale a pena ler duas vezes. Cada item a seguir é seu, como controlador, e nenhuma decisão de hospedagem afeta qualquer um deles.

Seis linhas, uma resposta. A palavra que mantém isso confuso é “jurisdição”, que faz dois trabalhos ao mesmo tempo: é a resposta a quem pode coagir o disco, e é a resposta a quais regras você segue. Mudar um servidor altera a primeira e deixa a segunda exatamente onde estava.

O que uma fronteira realmente muda

• Quem precisa ser convencido. Uma ordem precisa vir de um tribunal com jurisdição sobre a empresa que detém o disco, e oito empresas em oito países são oito argumentos separados, não um só.
• Se uma notificação tem alguma força. Uma notificação de remoção é correspondência em qualquer lugar; em alguns lugares, é correspondência sobre a qual o provedor é obrigado a agir, e offshore significa que não é. Esse é o assunto do guia sobre DMCA.
• O que o provedor pode ser obrigado a guardar. As exigências de retenção são nacionais. A Romênia derrubou a sua própria duas vezes e nada a substituiu; Moldávia e Panamá não impõem nenhuma. O que um provedor não pode ser obrigado a reter, ele não pode ser obrigado a produzir.
• Se a transferência precisa de um instrumento. O que é o assunto desta página — e o que é um custo de papelada, não um risco.

O que não muda

• Se o RGPD se aplica a você. Artigo 3, decidido por onde você está estabelecido e de quem são os dados que você guarda.
• Qualquer obrigação da tabela acima. Registros, segurança, notificação de violação, avaliações, direitos dos titulares dos dados.
• Os seus próprios logs. A máquina que você aluga registra os visitantes conforme a sua configuração, sob a sua custódia, e é a você que alguém escreve a respeito — o que é um guia à parte porque é um problema à parte.
• Se você pode ser localizado. Se você está estabelecido na União, sua autoridade de controle não precisa alcançar o servidor. Ela precisa alcançar você.

Uma tarde que resolve a questão

Nada do que vem a seguir exige uma ferramenta que você precise comprar, e a sequência inteira é mais curta do que o mercado sugere.

1. Decida se você trata dados pessoais de pessoas na União. Se a resposta honesta for não — e para muitíssimos projetos é — tudo acima é leitura de contexto, e você terminou.
2. Anote com qual entidade você contrata em cada região que usa, e em qual país essa entidade está. Não a região: a empresa que consta na fatura.
3. Classifique-as nos três grupos da tabela. Dentro do EEE, adequado, ou nenhum dos dois.
4. Para o que estiver no terceiro grupo, coloque em vigor as cláusulas de 2021 e escreva a avaliação do destino. Dois documentos, uma vez, por país.
5. Observe o que realmente chega lá. Se a resposta for um arquivo criptografado cuja chave está no seu próprio hardware, diga isso na avaliação, porque esse é o fato que torna o resto simples.
6. Incorpore tudo isso ao seu registro do Artigo 30, que é o documento que uma autoridade de controle pede primeiro, e o que a maioria dos controladores escreve por último.
7. Coloque uma data de revisão na avaliação e a deixe onde a próxima pessoa a mexer nisso vai encontrá-la.

Esse é o exercício inteiro, e ele não entra em conflito com nada mais neste site — o que é a frase que este guia existe para tornar disponível. Escolher uma jurisdição que protege os seus dados e seguir as regras que protegem os seus usuários não são decisões opostas. São a mesma decisão lida a partir das suas duas pontas.

Perguntas que as pessoas realmente fazem

Todos os preços desta estrutura são publicados por completo, em um só lugar. Veja o catálogo completo