Um ministério de um governo europeu escolheu um fornecedor de armazenamento em nuvem justamente por seu compromisso de soberania de dados: dados armazenados exclusivamente em infraestrutura na UE, operada por uma entidade da UE, com garantias contratuais de que os dados não seriam transferidos para fora da UE sem autorização explícita. O fornecedor era uma subsidiária europeia de uma empresa-mãe norte-americana. A infraestrutura de armazenamento era genuinamente hospedada na UE. A equipe operacional da subsidiária era genuinamente europeia. Dois anos após o início da relação, a empresa-mãe norte-americana recebeu uma National Security Letter de uma agência federal dos EUA solicitando acesso a dados armazenados por sua subsidiária europeia, dados que incluíam registros do ministério. A NSL veio acompanhada de uma ordem de sigilo que impedia a empresa-mãe de revelar a solicitação a qualquer pessoa, inclusive à subsidiária europeia. A empresa-mãe tinha acesso técnico administrativo à infraestrutura da subsidiária por meio de ferramentas compartilhadas de gestão operacional. O compromisso de soberania de dados cobria o local de armazenamento. Ele não regia a estrutura societária pela qual um governo estrangeiro poderia obrigar o acesso sem o conhecimento da entidade europeia.
O que é, de fato, o problema da aplicação da soberania de dados?
A soberania de dados é o princípio de que os dados estão sujeitos às leis e regulamentos da jurisdição em que são armazenados ou tratados, e de que a organização que controla esses dados está protegida contra o acesso de governos estrangeiros, exceto por mecanismos jurídicos definidos: tratados de assistência jurídica mútua, ordens judiciais formais com as devidas garantias processuais e mecanismos semelhantes que oferecem transparência e oportunidade de contestação jurídica. O desafio prático da aplicação da soberania de dados é que os mecanismos jurídicos e técnicos pelos quais governos estrangeiros podem acessar dados armazenados em uma jurisdição soberana vão além do acesso físico direto à infraestrutura de armazenamento e incluem mecanismos de controle societário, a jurisdição da empresa-mãe e o acesso operacional proporcionado por ferramentas de gestão compartilhadas.
A dimensão da estrutura societária é o aspecto mais relevante e menos compreendido do risco de soberania de dados. Um fornecedor que é subsidiária integral de uma empresa-mãe estrangeira opera em um contexto jurídico em que as obrigações da empresa-mãe sob as leis de sua jurisdição de origem se estendem aos dados de suas subsidiárias, por meio da capacidade da empresa-mãe de direcionar as operações da subsidiária, do acesso técnico de gestão compartilhado e das obrigações jurídicas que decorrem do controle societário. A subsidiária na UE está genuinamente sujeita à legislação da UE. A empresa-mãe norte-americana está genuinamente sujeita à legislação dos EUA, incluindo o CLOUD Act, que permite ao governo dos EUA exigir dados mantidos por pessoas e entidades norte-americanas, independentemente de onde os dados estejam armazenados fisicamente.
A dimensão do acesso técnico é igualmente relevante. Empresas-mãe e subsidiárias frequentemente compartilham infraestrutura operacional (sistemas compartilhados de gestão de identidades, plataformas de monitoramento compartilhadas, ferramentas administrativas compartilhadas) que dá à equipe técnica da empresa-mãe acesso operacional à infraestrutura da subsidiária. Esse acesso é justificado do ponto de vista operacional e nada incomum do ponto de vista técnico. É também o mecanismo pelo qual uma exigência de um governo estrangeiro dirigida à empresa-mãe pode resultar em acesso a dados mantidos pela subsidiária, sem o conhecimento da subsidiária, por meio do acesso operacional legítimo da empresa-mãe às ferramentas de gestão compartilhadas.
- Jurisdição estrangeira da empresa-mãe: empresa-mãe sujeita a leis que permitem o acesso compulsório a dados, independentemente de onde os dados da subsidiária estejam armazenados
- Acesso compartilhado de gestão operacional: acesso técnico da empresa-mãe à infraestrutura da subsidiária por meio de ferramentas de administração compartilhadas
- Obrigações jurídicas decorrentes do controle societário: a capacidade jurídica da empresa-mãe de direcionar as operações da subsidiária em cenários de acesso compulsório
- Escopo do compromisso de soberania: compromissos que cobrem o local de armazenamento sem tratar dos caminhos de acesso pela estrutura societária
- CLOUD Act e leis extraterritoriais equivalentes: jurisdições norte-americanas, chinesas, russas e outras com leis que permitem o acesso extraterritorial a dados
Por que isso importa
A aplicação da soberania de dados importa para TPRM porque clientes do setor público, setores regulados e organizações com obrigações de tratamento de dados de segurança nacional exigem cada vez mais uma soberania de dados genuína, e não uma soberania do local de armazenamento que pode ser contornada pela estrutura societária e por leis extraterritoriais. O esquema de certificação de nuvem EUCS da Comissão Europeia, a certificação francesa SecNumCloud e marcos nacionais semelhantes de segurança em nuvem tratam explicitamente a jurisdição da empresa-mãe como fator de risco de soberania, exigindo que os provedores de serviços em nuvem usados para dados governamentais sensíveis estejam livres de obrigações jurídicas extraterritoriais que possam permitir o acesso de governos estrangeiros.
A dinâmica do CLOUD Act é o mecanismo de acesso extraterritorial mais imediatamente relevante para fins de TPRM. Empresas sediadas nos EUA estão sujeitas a exigências do CLOUD Act sobre dados mantidos por suas subsidiárias fora dos EUA, independentemente de onde esses dados estejam armazenados fisicamente. Um fornecedor europeu de nuvem controlado por uma empresa-mãe norte-americana pode receber, por meio dessa empresa-mãe, uma exigência do CLOUD Act sobre dados armazenados na UE. A certificação de soberania de dados confirma o armazenamento na UE. Ela não protege contra o acesso pelo CLOUD Act por meio do controle societário da empresa-mãe.
Para profissionais de TPRM, a avaliação de soberania exige examinar a estrutura societária e a jurisdição da empresa-mãe junto com a certificação do local de armazenamento. São perguntas diferentes, tratadas por instrumentos de governança diferentes, e confirmar uma não responde à outra.
Onde a maioria das equipes erra
A falha mais recorrente é tratar a certificação do local de armazenamento como garantia completa de soberania de dados. O local de armazenamento é necessário, mas não suficiente, para uma soberania de dados genuína. A estrutura societária, a jurisdição da empresa-mãe, o acesso técnico compartilhado e as obrigações jurídicas extraterritoriais criam riscos de soberania que a governança do local de armazenamento não trata.
- Tratar a certificação do local de armazenamento como garantia completa de soberania
- Jurisdição da empresa-mãe não avaliada: controle final e exposição a leis extraterritoriais
- Acesso operacional compartilhado não avaliado: acesso técnico da empresa-mãe à infraestrutura da subsidiária
- CLOUD Act e leis extraterritoriais equivalentes não avaliados para a jurisdição da empresa-mãe
- Escopo do compromisso de soberania não examinado: o que o compromisso cobre e o que não cobre
Como é uma boa prática
Uma governança madura da soberania de dados distingue entre a soberania do armazenamento (dados armazenados em uma jurisdição específica) e a soberania operacional (dados acessíveis somente por meio de entidades sujeitas às leis dessa jurisdição, sem caminhos de acesso extraterritorial). Uma soberania operacional genuína exige avaliar a estrutura societária, a jurisdição da empresa-mãe, o acesso técnico compartilhado e o marco jurídico específico aplicável à entidade do fornecedor.
- Avaliação do beneficiário final: cadeia societária examinada quanto à jurisdição da empresa-mãe
- Avaliação da exposição a leis extraterritoriais: CLOUD Act, PIPL e leis equivalentes avaliados para a jurisdição da empresa-mãe
- Segregação do acesso operacional: confirmação de que a empresa-mãe não tem acesso técnico à infraestrutura da subsidiária na UE
- Revisão do escopo da certificação de soberania: o que a certificação cobre e quais riscos de estrutura societária permanecem
- Requisitos de independência jurisdicional: critérios de seleção de fornecedores que exigem, para os dados de maior sensibilidade, entidades livres de obrigações jurídicas extraterritoriais
Ferramentas
Certificação de nuvem da UE: EUCS, SecNumCloud, BSI C5
Os esquemas europeus de certificação de segurança em nuvem tratam explicitamente a jurisdição da empresa-mãe como fator de risco de soberania. O SecNumCloud (França) e o BSI C5 (Alemanha) são certificações de segurança em nuvem que incluem o risco de acesso extraterritorial no escopo da avaliação. Para profissionais de TPRM, perguntar se o fornecedor possui uma certificação nacional de segurança em nuvem que trate da jurisdição da empresa-mãe, além da ISO 27001 ou do SOC 2 de caráter geral, revela se a soberania para além do local de armazenamento foi avaliada formalmente.
Inteligência sobre estrutura societária: Companies House, registros de empresas da UE, GLEIF
As bases de registros empresariais fornecem informações sobre o beneficiário final, permitindo avaliar toda a cadeia societária de um fornecedor e as jurisdições de todas as entidades controladoras. Para profissionais de TPRM, revisar a estrutura societária de um fornecedor em registros públicos antes de aceitar seu compromisso de soberania oferece uma verificação independente da exposição jurisdicional que o compromisso pode não tratar.
Desafios de governança
O desafio de governança da aplicação da soberania de dados é o problema da interseção entre o técnico e o jurídico. O local de armazenamento é verificável tecnicamente. A jurisdição da estrutura societária é uma análise jurídica. Os caminhos de acesso operacional exigem a avaliação técnica da infraestrutura de gestão compartilhada. Uma avaliação completa de soberania exige expertise nas três dimensões (técnica, jurídica e de estrutura societária), que normalmente não está concentrada nem nos programas de TPRM nem nas equipes de segurança dos fornecedores.
- Revise a estrutura societária de todos os fornecedores com compromissos de soberania
- Avalie a jurisdição da empresa-mãe quanto ao CLOUD Act e a leis extraterritoriais equivalentes
- Pergunte sobre a segregação do acesso de gestão operacional: acesso técnico da empresa-mãe à infraestrutura da subsidiária
- Exija a divulgação do escopo da soberania: o que o compromisso cobre e o que não cobre
- Considere certificações nacionais de nuvem para os requisitos de soberania de maior sensibilidade
Se você faz parte de uma equipe pequena
Para cada fornecedor com compromisso de soberania de dados, verifique uma coisa antes da próxima avaliação: a empresa-mãe final e a jurisdição em que ela está constituída. Os registros públicos de empresas e as próprias divulgações societárias do fornecedor trazem essa informação. Se a empresa-mãe final estiver constituída em uma jurisdição sujeita ao CLOUD Act, à PIPL ou a leis equivalentes de acesso extraterritorial, registre a lacuna entre o compromisso de soberania do armazenamento e o caminho de acesso pela estrutura societária. Depois, pergunte diretamente ao fornecedor: qual é a sua relação com as operações técnicas da sua empresa-mãe, e a sua empresa-mãe tem algum acesso operacional à sua infraestrutura na UE?
- Verifique a jurisdição da empresa-mãe final de todos os fornecedores que alegam soberania
- Pergunte sobre o acesso operacional da empresa-mãe à infraestrutura da subsidiária
- Pergunte se alguma certificação nacional de nuvem trata da jurisdição da empresa-mãe
- Registre a lacuna entre o compromisso de soberania do armazenamento e o caminho de acesso pela estrutura societária
O que exigir
Pergunte diretamente:
"Quem é a empresa-mãe final da entidade com a qual contratamos, em qual jurisdição essa empresa-mãe está constituída e essa jurisdição tem leis que poderiam obrigar a sua empresa-mãe a fornecer acesso a dados mantidos pela sua entidade?"
"A sua empresa-mãe tem algum acesso técnico à infraestrutura que hospeda os nossos dados, por meio de sistemas compartilhados de gestão de identidades, ferramentas de monitoramento operacional ou acesso administrativo, e, em caso afirmativo, com quais controles de autorização?"
"O que, especificamente, o seu compromisso de soberania de dados cobre, e o que ele não cobre em termos de controle societário da empresa-mãe e de obrigações jurídicas extraterritoriais?"
O que esperar como evidência
- Divulgação da estrutura societária: empresa-mãe final e jurisdição
- Avaliação da exposição a leis extraterritoriais na jurisdição da empresa-mãe
- Confirmação da segregação do acesso operacional: acesso da empresa-mãe à infraestrutura
- Divulgação do escopo do compromisso de soberania: o que é e o que não é coberto
Um fornecedor que responde à pergunta sobre a empresa-mãe com 'nossos dados são armazenados na UE pela nossa entidade da UE' confirmou o local de armazenamento. Pergunte especificamente se a empresa-mãe final da entidade da UE está sujeita ao CLOUD Act ou a leis equivalentes de acesso extraterritorial a dados. O local de armazenamento é o piso. A estrutura societária é o teto. Ambos determinam a soberania efetiva dos dados.
Como comprovar
- Registros de avaliação da estrutura societária dos fornecedores que alegam soberania
- Documentação da jurisdição da empresa-mãe e da exposição a leis extraterritoriais
- Avaliação da segregação do acesso operacional
- Documentação do escopo da soberania: o que é e o que não é coberto pelos compromissos
Principal conclusão
A soberania de dados é o princípio de que os dados estão protegidos contra o acesso de governos estrangeiros, exceto por canais jurídicos legítimos. O local de armazenamento é um dos mecanismos para implementar esse princípio. A estrutura societária é o caminho pelo qual ele pode ser contornado: quando a empresa-mãe norte-americana da subsidiária na UE recebe uma National Security Letter, os dados armazenados na UE ficam acessíveis por meio do acesso operacional da empresa-mãe às ferramentas de gestão compartilhadas, sem o conhecimento da entidade da UE, sob uma ordem de sigilo que impede qualquer pessoa de saber que isso aconteceu. O compromisso de soberania do armazenamento descrevia com precisão onde os dados residem. Ele não dizia nada sobre quem pode alcançá-los pela estrutura organizacional acima dele. As duas perguntas determinam se a soberania é real.