O que o tribunal decidiu

Em 16 de julho de 2020 o Tribunal de Justiça da União Europeia proferiu sua decisão no Caso C-311/18, Data Protection Commissioner contra Facebook Ireland Ltd e Maximilian Schrems. Duas conclusões, em direções opostas.

O Privacy Shield entre União Europeia e Estados Unidos foi invalidado, com efeito imediato. Mais de cinco mil empresas americanas dependiam dele para receber dados pessoais da Europa. Naquela manhã ele deixou de ser base legal, sem período de transição.

As cláusulas contratuais padrão sobreviveram - condicionalmente. São termos contratuais pré-aprovados que um exportador e um importador de dados assinam. O tribunal entendeu que continuam válidas em princípio, mas anexou uma exigência que mudou o que assinar uma delas significa: o exportador precisa avaliar, caso a caso, se a lei do país destinatário de fato garante na prática o nível de proteção que as cláusulas prometem. Um contrato entre duas empresas não pode obrigar um governo que não é parte dele, então o exportador tem de olhar para o governo.

É por isso que este é um artigo de segurança, e não apenas jurídico. O tribunal moveu a pergunta de "assinamos os papéis certos?" para "o que o Estado onde estes dados pousam pode compelir o destinatário a fazer?". Essa é uma pergunta técnica e arquitetural, e se responde com projeto de sistema, não com assinatura.

O raciocínio, que é uma avaliação de segurança

Tire o vocabulário jurídico e a decisão se lê como um modelo de ameaças.

O tribunal examinou as autoridades de vigilância dos Estados Unidos - a seção 702 do Foreign Intelligence Surveillance Act, a Ordem Executiva 12333 e a Diretiva Presidencial 28 - e concluiu que programas baseados nelas não podiam ser considerados limitados ao estritamente necessário, que é o padrão exigido pela Carta dos Direitos Fundamentais da União Europeia. Concluiu que as limitações à proteção decorrentes do direito interno americano não estavam circunscritas de modo a satisfazer exigências essencialmente equivalentes às do direito europeu.

Depois olhou para o remédio. O Privacy Shield oferecia um Ombudsperson no Departamento de Estado. O tribunal concluiu que essa pessoa não era independente do Executivo nem tinha poder para emitir decisões vinculantes contra as agências de inteligência - de modo que um europeu cujos dados tivessem sido coletados não tinha, na prática, a quem recorrer.

E um achado de fato merece atenção especial de quem lê este catálogo. A Alta Corte irlandesa estabelecera, e o tribunal europeu registrou, que a Ordem Executiva 12333 permite à National Security Agency acessar cabos submarinos e coletar e reter dados antes que eles cheguem aos Estados Unidos.

Aquela é a infraestrutura da Sala 641A, descrita numa decisão europeia como achado de fato. A EFF passou dezesseis anos litigando sobre aquele divisor sem que um tribunal jamais decidisse se o programa era legal. Outro tribunal, em outra jurisdição, pegou os mesmos fatos e os usou para invalidar um acordo comercial. O artigo das Crypto Wars segue a mesma pergunta pela via da política pública; isto é o que acontece quando ela chega a uma bancada disposta a respondê-la.

O erro que os profissionais cometem

A leitura comum é "mantenha os dados numa região europeia e o problema some". Não é o que a decisão diz, e vale entender a diferença com precisão.

A preocupação do tribunal é quem pode ser compelido, não onde está o disco. Um provedor sujeito ao processo compulsório de uma jurisdição pode ser obrigado a entregar dados que detém ou pode obter, inclusive de infraestrutura que opera em outro lugar. Selecionar uma região europeia num console não muda, por si só, qual governo pode intimar a empresa que opera o console.

O que produz a pergunta que de fato determina a resposta: quem guarda as chaves, e pode ser compelido a usá-las? Se o provedor consegue decifrar, então a jurisdição do provedor está no escopo. Se o cliente guarda chaves que o provedor genuinamente não consegue obter, a análise muda - e este é exatamente o argumento do acesso excepcional chegando pelo lado comercial em vez do político. O Clipper era sobre se um governo podia receber uma chave. O é sobre o que decorre, juridicamente, de um provedor ter uma.

O caso limpo que a decisão deixa em aberto é o sem transferência nenhuma: dados pessoais processados por um provedor estabelecido na união e processados inteiramente dentro dela. Então não há terceiro país e a análise nem começa.

Por que isto pertence à lista de leitura de um profissional

É uma questão de configuração com força jurídica. Para quem implanta um serviço de segurança entregue em nuvem - o intermediário de uma arquitetura zero trust, um broker de acesso a nuvem, um gateway seguro - a região do tenant, o local do ponto de inspeção, se os registros saem da região, e quem guarda as chaves de decifragem são todos ajustes. Depois do Schrems II são também posições jurídicas, e quem os configura está tomando uma decisão de conformidade, tenham lhe dito isso ou não.

Recompensa saber o que seu produto de fato faz com os dados. As avaliações que a decisão exige não se completam a partir de uma folha de especificações. Precisam de respostas a perguntas como onde os metadados são processados, se engenheiros de suporte em outro país conseguem ver dados de cliente, para onde os backups replicam, e o que acontece num failover. São perguntas que um profissional consegue responder e um advogado não.

E não está encerrado. Um acordo sucessor, o EU-US , entrou em vigor em julho de 2023 com base em nova ordem executiva americana. Sua durabilidade é contestada, e reportagem de meados de 2026 registrou que uma decisão da Suprema Corte americana questionando a independência da Federal Trade Commission - que tem papel supervisor central no acordo - pôs sua situação em discussão. Quem projeta um sistema supondo que isto acabou deveria reparar que a mesma pergunta já foi litigada três vezes e produziu duas invalidações.

Para quem está sob a , a estrutura é familiar sem ser idêntica: um regime com capítulo próprio de transferência internacional, moldado na abordagem europeia, com autoridade própria decidindo o que conta como adequado. Os detalhes diferem e mudam; a pergunta de fundo - a lei de quem alcança estes dados, e o que essa lei permite - é a mesma, e é respondida por arquitetura.

Este artigo descreve o que um tribunal decidiu e o que decorre disso tecnicamente. Não é aconselhamento jurídico, e as avaliações que a decisão exige são do tipo que precisa de um advogado além de um engenheiro.

Fontes