Armazenar dados na Europa não é o mesmo que controlá-los
A soberania dos dados é frequentemente tratada como uma questão de geografia. Na prática, trata-se igualmente de uma questão de alcance jurídico e de controlo operacional.
A Eurojust, a agência da UE que apoia a cooperação judiciária em matéria penal, explicou que a Lei CLOUD dos EUA tornou explícito que os prestadores de serviços dos EUA podem ser obrigados a preservar e a apresentar os dados que controlam, independentemente do local onde esses dados são armazenados.
Em linguagem simples: O alojamento na UE não elimina automaticamente a exposição legal dos EUA quando o fornecedor continua sujeito à jurisdição dos EUA.
Para as organizações que lidam com vídeos usados pelo corpo, essa distinção é importante. Estes sistemas processam frequentemente filmagens sensíveis, envolvem incidentes públicos e encontram-se em ambientes onde a responsabilidade e a cadeia de custódia são importantes.
O risco torna-se mais grave quando:
- o fornecedor está sujeito à jurisdição dos EUA através de propriedade, controlo ou nexo operacional
- o apoio ou a administração podem aceder aos dados a partir do exterior do EEE (Espaço Económico Europeu)
- os subcontratantes se situam em países terceiros ou os serviços essenciais dependem de entidades não pertencentes ao EEE
O acórdão Schrems II do TJUE sublinhou a importância deste facto. A legislação da UE exige uma proteção essencialmente equivalente quando os dados pessoais são expostos ao acesso de autoridades públicas de países terceiros.
Onde começa a tensão: Acesso legal dos EUA versus regras de proteção de dados da UE
O GDPR não é a fonte do problema. A verdadeira questão é que a lei dos EUA pode obrigar certos fornecedores a divulgar dados sob o seu controlo, enquanto a lei de proteção de dados da UE estabelece limites rigorosos sobre quando os dados pessoais podem ser divulgados ou transferidos.
Isto cria uma tensão direta para as organizações que lidam com vídeos sensíveis de uso corporal. Mesmo que os dados sejam armazenados na UE, a exposição a um fornecedor sob jurisdição dos EUA pode levantar questões de soberania e conformidade.
O Comité Europeu para a Proteção de Dados esclareceu que uma ordem de um governo estrangeiro não cria automaticamente uma base legal ao abrigo do RGPD para a divulgação ou transferência. Por outras palavras, receber uma ordem não é o mesmo que estar autorizado a cumpri-la ao abrigo da legislação da UE.
Para as equipas jurídicas e os responsáveis pelas aquisições, isto significa que a avaliação do fornecedor deve ir além da localização do armazenamento.
Uma lista de controlo para os Assuntos Jurídicos e a contratação pública
Ao avaliar um prestador de serviços, as perguntas-chave são simples:
- Quem é a contraparte legal e qual é a jurisdição que a rege?
- Quem pode aceder tecnicamente aos dados, incluindo o apoio e a resposta a incidentes?
- Qual é o processo documentado para os pedidos de países terceiros, incluindo a contestação, a notificação e os relatórios de transparência?
- Quem controla as chaves de encriptação e o fornecedor pode aceder-lhes?
As Recomendações 01/2020 do CEPD também explicam por que razão podem ser necessárias medidas suplementares, incluindo cifragem forte e controlos organizacionais, quando as ferramentas de transferência, por si só, não proporcionam uma proteção equivalente à da UE.
O que isto significa na prática
Para muitas organizações, a lição prática é simples: O armazenamento de dados na UE, por si só, não é suficiente. Se os dados de vídeo sensíveis ainda podem ser alcançados através da jurisdição dos EUA, então a verdadeira avaliação tem de incluir a estrutura do fornecedor, o acesso operacional, os subprocessadores e a governação.
Isto é especialmente relevante para a polícia, a aplicação da lei, a inspeção e outros contextos do sector público em que as imagens gravadas podem conter dados pessoais, provas ou material legalmente sensível.
Onde se encaixa a ZEPCAM
Para as organizações que pretendem reduzir a exposição potencial à jurisdição dos EUA, uma atenuação mais estrutural é escolher um fornecedor de vídeos usados no corpo cuja propriedade, modelo de alojamento e configuração operacional sejam concebidos para minimizar essa exposição tanto quanto possível.
A ZEPCAM é um fornecedor europeu de vídeo usado no corpo, com sede nos Países Baixos e uma base jurídica e operacional holandesa. Oferece opções de implementação que podem suportar um maior controlo local sobre dados de vídeo sensíveis, incluindo alojamento gerido pela ZEPCAM em jurisdições selecionadas e infra-estruturas controladas pelo cliente, quando aplicável e instalação no local.
A ZEPCAM também destaca as certificações reconhecidas para a segurança da informação, a segurança na nuvem e os controlos de privacidade, incluindo a ISO 27001, a ISO 27017 e a ISO 27018, quando aplicáveis no seu modelo de serviço.
Isto não elimina todas as obrigações de conformidade, mas pode ajudar as organizações a reduzir a exposição legal e operacional em comparação com os modelos de fornecedores que permanecem mais estreitamente ligados à jurisdição não comunitária.
Reflexão final
Se os vídeos usados junto ao corpo fazem parte do teu fluxo de trabalho operacional ou legal, a pergunta certa não é apenas onde os teus dados são armazenados. A questão mais importante é saber quem pode, em última análise, ser obrigado a aceder a esses dados.
É aqui que a diferença entre armazenamento e soberania se torna muito real.