O CLOUD Act dos EUA e a soberania digital: escolhas de nuvem para as universidades europeias (2026)

Muitas universidades europeias têm o correio eletrónico, os documentos e o armazenamento de dados de investigação em plataformas de nuvem norte-americanas, e o pessoal pergunta cada vez mais se as autoridades dos EUA podem aceder a esses dados. Este guia separa os factos jurídicos do debate político: o que dizem o CLOUD Act e a secção 702 da FISA, como lhes responde o direito da UE, o que as fronteiras de dados da UE e as nuvens soberanas mudam e não mudam, o que universidades e redes de investigação de vários países estão a fazer e como escolher o alojamento por tipo de dados, com um plano de saída realista.

Publicado a 9 de outubro de 2026 · Fontes verificadas a 9 de outubro de 2026

Também disponível em: English · Svenska · Nederlands · Norsk · Suomi · Dansk · Français · Español

Este é um tema político, além de jurídico. Neste guia, as afirmações sobre o direito e os factos documentados têm uma fonte. A nossa própria leitura do que significam para as universidades está assinalada como Análise do Validemic. As posições assumidas por universidades, grupos de trabalhadores e autoridades são apresentadas como posições suas, e não como direito assente.

1. O que diz, de facto, o CLOUD Act?

O CLOUD Act é uma lei dos EUA de 2018 que obriga os prestadores de comunicações e de nuvem sujeitos à regulação dos EUA a divulgar os dados que controlam quando recebem um ato processual válido dos EUA, mesmo que os dados estejam armazenados no estrangeiro. É um instrumento de investigação criminal, e criou também uma via para acordos bilaterais com governos estrangeiros.

A regra central está no 18 U.S.C. § 2713, aditado em 23 de março de 2018. Um prestador de serviços de comunicações eletrónicas ou de computação remota tem de cumprir as obrigações do Stored Communications Act de conservar, fazer cópia de segurança ou divulgar comunicações e registos de clientes que estejam na sua "possession, custody, or control" (posse, guarda ou controlo), "regardless of whether such communication, record, or other information is located within or outside of the United States" (independentemente de essas comunicações, registos ou outras informações se encontrarem dentro ou fora dos Estados Unidos) [1].

Há três pontos que se perdem frequentemente no debate:

• Não é um novo poder de vigilância. Alarga aos dados armazenados no estrangeiro os instrumentos de investigação criminal já existentes ao abrigo do Stored Communications Act. A decisão relativa ao Quadro de Privacidade de Dados observa que o acesso a conteúdos armazenados exige, em regra, um mandado judicial baseado em causa provável (considerando 96) [9].
• Existe uma via limitada de oposição. Nos termos do 18 U.S.C. § 2703(h), um prestador pode pedir a anulação ou alteração de uma ordem quando o cliente não for uma pessoa dos EUA nem residir nos EUA e a divulgação criar um risco material de violar a lei de um "qualifying foreign government" (governo estrangeiro qualificado). Esse conceito abrange apenas países com um acordo executivo ao abrigo da lei que ofereçam direitos comparáveis aos prestadores [2].
• Existem acordos com alguns países, não com a UE. O Departamento de Justiça dos EUA enumera acordos com o Reino Unido (assinado em 3 de outubro de 2019) e a Austrália (15 de dezembro de 2021). Para a UE, enumera uma declaração conjunta de 2019 sobre negociações e um anúncio de 2023 de que as negociações seriam retomadas [3]. Não encontrámos nenhum acordo UE-EUA concluído em 9 de outubro de 2026.

Análise do Validemic O critério relevante para uma universidade é o controlo, não a localização. Se um prestador sujeito à jurisdição dos EUA conseguir aceder aos dados de forma utilizável, uma ordem dos EUA dirigida a esse prestador é juridicamente possível, seja qual for a localização do servidor. Com que frequência isso acontece na prática com dados universitários é outra questão, a que as fontes públicas não conseguem responder por completo.

2. FISA 702, EO 12333 e Schrems II

A principal preocupação por trás do acórdão Schrems II era a vigilância pelos serviços de informações dos EUA, não o CLOUD Act. A secção 702 do Foreign Intelligence Surveillance Act (50 U.S.C. § 1881a) permite visar pessoas que não são dos EUA e se encontram no estrangeiro, com a colaboração obrigatória de prestadores dos EUA. A Executive Order 12333 rege outras atividades de informações, incluindo a recolha fora dos Estados Unidos [5].

No acórdão Schrems II (C-311/18, 16 de julho de 2020), o Tribunal de Justiça declarou que nem a secção 702 da FISA nem a E.O. 12333 ofereciam as garantias mínimas exigidas pelo princípio da proporcionalidade (n.º 184). Concluiu também que o mecanismo de provedor do Escudo de Proteção da Privacidade não oferecia às pessoas uma via de recurso equivalente à do artigo 47.º da Carta (n.º 197) e declarou inválida a decisão relativa ao Escudo de Proteção da Privacidade [5].

A resposta dos EUA foi a Executive Order 14086, de 7 de outubro de 2022, que reforçou as garantias aplicáveis às informações de origem eletromagnética e, com um regulamento do Attorney General, criou um mecanismo de recurso que inclui o Data Protection Review Court (DPRC). A Comissão baseou-se nela ao adotar a decisão de adequação relativa ao Quadro de Privacidade de Dados, em 10 de julho de 2023 [8] [9].

A secção 702 em 2026

A secção 702 foi renovada pela última vez em abril de 2024, com caducidade em abril de 2026. Após prorrogações de curto prazo, uma nova prorrogação falhou na Câmara dos Representantes e a norma caducou em 12 de junho de 2026. A Associated Press noticiou que um parecer de março de 2026 do Foreign Intelligence Surveillance Court "certified the program's renewal for another 12 months" (certificou a renovação do programa por mais 12 meses), pelo que não se esperava que a recolha parasse de imediato [6]. O Brennan Center, um instituto de políticas públicas dos EUA, afirma que a vigilância ao abrigo da secção 702 continuará até março de 2027, mesmo que a norma caduque [7].

Pendente: em 9 de outubro de 2026 não encontrámos nenhuma nova renovação da secção 702 em vigor. Saber se o Congresso a renova, e com que alterações, é relevante para o acompanhamento do Quadro de Privacidade de Dados pela Comissão. Volte a verificar antes de confiar neste parágrafo.

3. Como responde o direito da UE ao acesso estrangeiro?

O direito da UE não aceita uma decisão de um tribunal ou de uma autoridade estrangeira, por si só, como fundamento lícito para entregar dados pessoais. O artigo 48.º do RGPD determina que essas decisões só podem ser reconhecidas ou executadas se tiverem por base um acordo internacional, como um acordo de auxílio judiciário mútuo, sem prejuízo dos outros fundamentos do capítulo V [10].

Na sua resposta conjunta à Comissão LIBE do Parlamento Europeu, de 10 de julho de 2019, o CEPD e a AEPD citaram a posição da Comissão segundo a qual "Article 48 makes clear that a foreign court order does not, as such, make a transfer lawful under GDPR" (o artigo 48.º deixa claro que uma decisão de um tribunal estrangeiro não torna, por si só, uma transferência lícita à luz do RGPD). Concluíram que, sem um acordo internacional ou outro fundamento jurídico, "service providers subject to EU law cannot legally base the disclosure and transfer of personal data to the US on such requests" (os prestadores de serviços sujeitos ao direito da UE não podem legalmente basear em tais pedidos a divulgação e a transferência de dados pessoais para os EUA) [11]. Consideraram também inadequados para pedidos de rotina ao abrigo do CLOUD Act a maioria dos fundamentos dos artigos 6.º e 49.º.

Outras regras da UE apontam no mesmo sentido:

• Art. 28.º, n.º 3, alínea a), do RGPD. Um subcontratante só pode tratar dados mediante instruções documentadas do responsável pelo tratamento, incluindo quanto a transferências, salvo se for obrigado a fazê-lo pelo direito da União ou do Estado-Membro. Uma ordem dos EUA não é direito da União nem de um Estado-Membro [4].
• Cláusulas contratuais-tipo, cláusula 15. Quando se aplicam as CCT, o importador tem de notificar prontamente o exportador de um pedido juridicamente vinculativo de uma autoridade pública, envidar os melhores esforços para obter uma dispensa se estiver proibido de notificar e manter registo dos pedidos (cláusula 15.1) [12].
• Art. 32.º do Regulamento dos Dados. Para dados não pessoais, como resultados de investigação não publicados ou dados institucionais, os prestadores de nuvem devem tomar "todas as medidas técnicas, organizativas e legais adequadas, incluindo contratos" para impedir o acesso governamental de países terceiros que entre em conflito com o direito da União ou nacional. As decisões estrangeiras só são reconhecidas com base num acordo internacional ou, na falta deste, apenas nas condições previstas no art. 32.º, n.º 3 [13].

Análise do Validemic Estas regras criam um conflito de leis, não um escudo. Tornam a divulgação ilícita do lado da UE e dão ao cliente o direito de ser informado, mas não conseguem impedir um prestador de cumprir a lei do seu país de origem. É por isso que algumas autoridades se centram no controlo técnico, como saber quem detém as chaves de cifragem, e não apenas nas cláusulas contratuais.

4. A situação do Quadro de Privacidade de Dados em 9 de outubro de 2026

A decisão de adequação relativa ao Quadro de Privacidade de Dados UE-EUA (DPF), Decisão de Execução (UE) 2023/1795, está em vigor e abrange as transferências para organizações dos EUA que constam da lista DPF. Trata o acesso pelos serviços de informações através da EO 14086 e do DPRC, e descreve o acesso para fins de investigação criminal ao abrigo do Stored Communications Act, a lei que o CLOUD Act alterou [9].

• Tribunal Geral, 3 de setembro de 2025. No processo Latombe/Comissão (T-553/23), o Tribunal Geral negou provimento ao recurso. Considerou o DPRC suficientemente independente e entendeu que o acórdão Schrems II exige, no mínimo, uma fiscalização judicial a posteriori da recolha em larga escala, que o direito dos EUA assegura através do DPRC. Observou também que a Comissão tem de acompanhar continuamente o quadro jurídico dos EUA e pode suspender, alterar ou revogar a decisão [14].
• Recurso, C-703/25 P. Philippe Latombe interpôs recurso em 31 de outubro de 2025 [15]. O recurso está pendente. O nosso guia sobre o Quadro de Privacidade de Dados acompanha o processo, incluindo a admissão da Microsoft como interveniente em junho de 2026.
• CEPD. Em 31 de julho de 2026, o CEPD escreveu à Comissão sobre o acórdão do Supremo Tribunal dos EUA Trump v. Slaughter, relativo à independência de agências norte-americanas como a FTC [16].

Análise do Validemic O DPF responde à questão da transferência para as organizações dos EUA que constam da lista. Não responde à questão da soberania, que diz respeito à dependência, à continuidade e ao controlo. Uma universidade pode ter um fundamento lícito para a transferência e, ainda assim, decidir que alguns dados não devem depender de um único prestador de fora da UE. Para a vertente das transferências, veja o nosso modelo de avaliação de impacto das transferências e a ferramenta de mecanismos de transferência.

5. Residência dos dados não é soberania dos dados

A residência dos dados significa que os dados são armazenados e tratados numa região escolhida, como a UE. A soberania dos dados pergunta que ordens jurídicas e que organizações podem controlar, aceder ou desligar os dados e o serviço. Um serviço pode cumprir requisitos de residência enquanto o operador continua sujeito a direito de fora da UE. As duas exigem perguntas distintas numa avaliação de fornecedores.

As Recomendações 01/2020 do CEPD descrevem com clareza o limite das medidas técnicas. Para serviços de nuvem que precisam de aceder aos dados em claro (caso de utilização 6), o CEPD afirmou ser "incapable of envisioning an effective technical measure" (incapaz de conceber uma medida técnica eficaz) para impedir o acesso desproporcionado das autoridades públicas, tendo em conta o estado da técnica [17]. É por isso que a maioria das suites de produtividade, que precisam de ler os conteúdos para indexar, pesquisar e executar funcionalidades de IA, é difícil de proteger apenas com cifragem.

6. O que oferecem os grandes prestadores

As descrições abaixo provêm das páginas de cada fornecedor. Não avaliamos se cumprem qualquer critério jurídico; leia as cláusulas contratuais do seu plano.

Microsoft: EU Data Boundary e ofertas soberanas

A Microsoft descreve a EU Data Boundary como uma fronteira dentro da qual se compromete a armazenar e tratar os dados de cliente e os dados pessoais dos seus serviços em linha empresariais, incluindo Azure, Dynamics 365, Power Platform e Microsoft 365. A página indica que estes compromissos estão "subject to limited circumstances" (sujeitos a circunstâncias limitadas) em que os dados continuam a ser transferidos para fora da fronteira, e documenta essas transferências à parte. A fronteira abrange os países da UE e da EFTA. No Microsoft 365, estão abrangidos os tenants com local de registo na UE ou na EFTA, mas não os tenants com Multi-Geo Capabilities [18].

Em abril de 2025, a Microsoft publicou cinco "European digital commitments" (compromissos digitais europeus), incluindo o compromisso de contestar qualquer ordem governamental de suspensão das suas operações de nuvem na Europa e a supervisão dos centros de dados europeus por um conselho de cidadãos europeus [19]. Em junho de 2025, anunciou uma Sovereign Public Cloud e uma Sovereign Private Cloud (ambas em pré-visualização na altura), o Microsoft 365 Local, o "Data Guardian" (acesso remoto limitado a pessoal residente na Europa), gestão externa de chaves e nuvens nacionais de parceiros, como a Bleu em França e a Delos Cloud na Alemanha [20].

Um exemplo universitário mostra por que razão as definições de residência precisam de acompanhamento. A atualização de maio de 2026 da AIPD da SURF sobre o Microsoft 365 Copilot regista que a Microsoft introduziu em março de 2026 o "flex routing", que permite transferências de dados para fora da EU Data Boundary em novos tenants. A SURF verificou que os tenants existentes do ensino neerlandês não foram alterados e acrescentou a questão como um novo risco baixo [21]. Veja também as nossas fichas sobre o Microsoft 365 e o Microsoft Copilot.

AWS European Sovereign Cloud

A AWS anunciou a disponibilidade geral da AWS European Sovereign Cloud em 15 de janeiro de 2026, com a primeira região em Brandeburgo, na Alemanha. A AWS afirma que é física e logicamente separada das outras regiões AWS, operada por residentes na UE através de uma nova sociedade-mãe e de filiais alemãs dirigidas por cidadãos da UE, com "zero operational control outside of EU borders" (nenhum controlo operacional fora das fronteiras da UE). Prevê Local Zones soberanas na Bélgica, nos Países Baixos e em Portugal [22].

Ofertas soberanas da Google Cloud

A Google enumera três opções principais. A Google Cloud Data Boundary oferece residência e controlos de acesso na nuvem pública, incluindo chaves geridas pelo cliente e armazenadas externamente. A Google Cloud Dedicated funciona em infraestrutura isolada operada por um parceiro local; em França é operada pela S3NS, uma entidade francesa autónoma com a Thales, que a Google diz ter sido concebida para cumprir os requisitos SecNumCloud. A Google Distributed Cloud funciona nas instalações do cliente, em modo ligado ou totalmente isolado [23]. Veja a nossa ficha sobre o Google Workspace.

Análise do Validemic As fronteiras de dados mudam sobretudo a localização e o acesso de suporte. As nuvens operadas separadamente procuram mudar quem controla o operador. As chaves detidas pelo cliente e as instalações locais mudam quem consegue ler os dados. Quando um fornecedor diz "soberano", pergunte qual destas coisas quer dizer, para que serviços e em que plano.

Está a avaliar um fornecedor? O Validemic analisa a documentação do fornecedor à luz do RGPD e do Regulamento da Inteligência Artificial e indica a fonte de cada conclusão. Experimentar o ambiente de demonstração

7. Certificação: EUCS e SecNumCloud

Em 9 de outubro de 2026 não existe nenhuma certificação adotada a nível da UE para serviços de nuvem "soberanos". O esquema europeu de certificação da cibersegurança para serviços de nuvem (EUCS) continua a ser um esquema candidato. A qualificação francesa SecNumCloud é o rótulo nacional mais consolidado que abrange expressamente a proteção contra o direito de fora da UE.

• EUCS. A página da Comissão sobre o Quadro de Certificação da Cibersegurança, atualizada pela última vez em 9 de setembro de 2026, inclui o "European cybersecurity certification scheme for cloud services" entre os esquemas candidatos que a ENISA foi encarregada de preparar, e indica o esquema Common Criteria (EUCC) como o primeiro esquema adotado [24]. Versões anteriores que acrescentariam requisitos de soberania foram objeto de um longo debate entre os Estados-Membros; um eventual esquema final pode ser diferente.
• SecNumCloud (França). A ANSSI afirma que as ofertas qualificadas SecNumCloud visam proteger os dados sensíveis "face à la menace cybercriminelle et à l'application de lois extraterritoriales" (contra a ameaça cibercriminosa e a aplicação de leis extraterritoriais) e publica a lista dos serviços qualificados [25]. As orientações da CNIL para o ensino superior, de 24 de agosto de 2026, apresentam a qualificação SecNumCloud como exemplo de uma forma de garantir que um prestador está sujeito exclusivamente ao direito europeu [26].

8. O que estão a fazer os governos e o setor público

Organismos públicos de vários países estão a reduzir a dependência de um pequeno número de prestadores de fora da UE. A maior parte dos esforços é gradual, e as razões invocadas incluem a continuidade e o poder negocial, além da proteção de dados.

• França. Numa resposta parlamentar publicada em 15 de novembro de 2022, o ministério da educação afirmou que a agência digital do Estado tinha concluído em 2021 que o Office 365 não era conforme à doutrina "cloud au centre", que a CNIL tinha aconselhado as instituições de ensino superior a recorrer a prestadores sujeitos exclusivamente ao direito europeu e que tinha sido pedido aos reitores que parassem novas implementações da Microsoft e da Google nas escolas [27]. Essa resposta é anterior ao Quadro de Privacidade de Dados de 2023.
• Alemanha. Um catálogo de casos de 2026 da Agência Dinamarquesa para o Governo Digital descreve a migração do Schleswig-Holstein, iniciada em 2012, para LibreOffice, Linux, Nextcloud e Open-Xchange, com o objetivo de ficar livre de todos os produtos Microsoft, exceto alguns críticos, até 2029; 24 000 dos 30 000 trabalhadores do Land usam já o novo posto de trabalho [28]. A ZenDiS, uma empresa financiada pelo governo federal, desenvolve o openDesk, uma suite de escritório de código aberto para a administração pública [29].
• Dinamarca. A Agência para o Governo Digital afirma que a lei do orçamento de 2026 reserva 80 milhões de coroas dinamarquesas, para 2026 a 2029, para um plano de ação sobre soberania digital [30]. O seu catálogo de casos descreve a substituição, pelo município de Aarhus, do Microsoft Azure pelo prestador alemão Hetzner para cerca de 60 soluções num departamento, e uma análise do município de Copenhaga a cerca de 150 sistemas críticos, apresentada à câmara municipal em dezembro de 2025 [28].
• Países Baixos. Em setembro de 2026, o conselho de avaliação de TIC do governo neerlandês (AcICT) publicou orientações sobre a utilização de serviços de nuvem por organismos públicos. A sua primeira recomendação é ponderar cuidadosamente as dependências estratégicas, incluindo a dependência de fornecedores e as opções de saída [31].
• Suíça. As autoridades cantonais de proteção de dados (privatim) adotaram uma resolução em novembro de 2025. Considera inadmissível, "in most cases (such as M365)" (na maioria dos casos, como o M365), a externalização de dados pessoais especialmente sensíveis ou sujeitos a segredo legal para grandes serviços SaaS internacionais, salvo se o organismo público cifrar os dados ele próprio e o prestador não tiver acesso à chave [32].
• Suécia. A eSam, o órgão de cooperação das agências públicas suecas, escreveu em setembro de 2025 que a decisão de adequação UE-EUA se aplica até ser retirada ou anulada, mas não resolve necessariamente as questões de acesso estrangeiro ao abrigo de leis extraterritoriais [33].

9. O que estão a fazer as universidades e as redes de investigação

As universidades europeias estão a seguir três caminhos principais: avaliar a fundo as grandes suites dos EUA, construir ou adquirir alternativas europeias partilhadas através das suas redes nacionais de investigação e ensino (NREN) e, nos Países Baixos, adotar um plano setorial para a autonomia digital.

Países Baixos: das cartas abertas a um plano setorial

• Cartas do pessoal. Em março de 2025, dois professores da Universidade de Utrecht escreveram ao conselho executivo que "The fact that the data is stored on European servers offers no (legal) protection" (o facto de os dados estarem armazenados em servidores europeus não oferece proteção [jurídica]), citando o CLOUD Act [34]. Seguiram-se cartas semelhantes na Universidade Radboud (março de 2025) [35] e na Universidade de Groningen (abril de 2025) [36]. Num documento de reflexão de dezembro de 2025, os autores de Utrecht escreveram que os grandes prestadores "are subject to American jurisdiction (in particular the Cloud Act)" (estão sujeitos à jurisdição americana, em particular ao Cloud Act) [37].
• Plano setorial. Em maio de 2026, a Universities of the Netherlands (UNL) anunciou que as universidades, o governo central e a SURF vão colaborar para reforçar a autonomia digital, invocando riscos para a segurança do conhecimento, a privacidade, a continuidade e os valores académicos. Uma comissão vai propor condições de contratação conjuntas, alternativas e cooperação internacional, começando por uma avaliação de riscos de base [38]. O sítio de notícias da TU Eindhoven noticiou que as universidades e o Secretário de Estado assinaram uma carta de intenções em junho de 2026 [39].
• SURF. A estratégia de aprovisionamento de nuvem da SURF (2024) inclui a soberania dos dados como um de nove temas e afirma que o controlo sobre os dados nunca é transferido para o fornecedor [40]. Em novembro de 2025, a SURF anunciou que ofereceria o Nextcloud a todas as instituições membros a partir de janeiro de 2026, observando que "our independence and public values are coming under increasing pressure" (a nossa independência e os nossos valores públicos estão sob pressão crescente) [41]. As suas AIPD sobre o Microsoft 365 Copilot são um modelo de como um organismo setorial pode avaliar um fornecedor em nome de muitos [21].
• Prazos realistas. Cerca de 75 investigadores de cinco universidades neerlandesas testavam o Nextcloud desde o início de 2025, noticiou o jornal da Universidade de Utrecht [42]. O diretor de informática da Universidade de Twente disse ao jornal da universidade que esta não o consegue fazer sozinha e descreveu um projeto de posto de trabalho soberano com Linux e LibreOffice [43].

Países nórdicos

• Suécia. O Sunet Drive é um serviço de armazenamento e partilha de ficheiros baseado no Nextcloud e no armazenamento S3 privado da Sunet, alojado em servidores suecos. A Sunet afirma que a organização "har full kontroll över allt lagrat data" (tem controlo total sobre todos os dados armazenados) [44]. A Universidade de Estocolmo disponibiliza-o aos investigadores [45].
• Finlândia. O CSC, o centro finlandês de TI para a ciência, gere serviços para dados sensíveis, incluindo o ePouta, descrito como "a secure cloud computing environment designed to process sensitive data" (um ambiente seguro de computação em nuvem concebido para tratar dados sensíveis) [46].
• Noruega. A NREC, gerida pelas Universidades de Bergen e de Oslo com parceiros nacionais, presta infraestrutura como serviço a partir de centros de dados em Bergen e Oslo para o setor do ensino superior [47].

Alemanha, Suíça e França

• sciebo (Renânia do Norte-Vestefália). No lançamento, em 2015, a Universidade de Münster afirmou que as universidades participantes operam o sciebo elas próprias, com os dados tratados em Münster, Bona e Duisburg-Essen [48]. O sítio atual descreve-o como "a non-commercial cloud storage by universities for universities" (um armazenamento em nuvem não comercial feito por universidades para universidades) [49].
• bwSync&Share (Baden-Württemberg). Operado pelo Karlsruhe Institute of Technology desde 1 de janeiro de 2014 com Nextcloud, e aberto às universidades do Land e, através do DFN-Cloud, a outros membros da DFN [50].
• Suíça. O Switch Drive está alojado nos centros de dados da Switch, na Suíça; a Switch afirma que "All IT resources and usage data are located in Switch data centres" (todos os recursos informáticos e dados de utilização estão nos centros de dados da Switch) [51].
• França. A RENATER apresenta os seus serviços de colaboração como alternativa aos serviços gratuitos em linha, com o compromisso de "garantir le stockage de vos données en France" (garantir o armazenamento dos seus dados em França) [52].

Contratação pan-europeia: GÉANT OCRE

O acordo-quadro Open Clouds for Research Environments (OCRE) da GÉANT permite às NREN oferecer serviços de nuvem comerciais aos seus membros em condições previamente negociadas. A NREN luxemburguesa Restena noticiou que o acordo-quadro OCRE 2024 produziu efeitos em 3 de fevereiro de 2025, abrangendo IaaS, PaaS e SaaS, e que no Luxemburgo continuam disponíveis sete plataformas, uma combinação de prestadores dos EUA e europeus [53]. Pergunte à sua NREN que prestadores estão disponíveis no seu país.

Análise do Validemic De país para país, as universidades não estão a abandonar as suites dos EUA de um dia para o outro. Classificam os dados, mantêm os dados de investigação mais sensíveis em serviços das NREN ou nacionais, constroem alternativas partilhadas para a partilha de ficheiros e recorrem aos organismos setoriais para negociar e avaliar. Veja o nosso guia sobre o armazenamento em nuvem de dados de investigação e a ficha sobre o Nextcloud.

10. Como avaliar o risco

Uma avaliação de CLOUD Act e soberania encaixa no processo normal do RGPD. Combine a avaliação das transferências de quaisquer dados que saiam do EEE com uma avaliação mais ampla da dependência, que abranja o acesso jurídico estrangeiro, a continuidade e a saída. Faça-a por serviço e por tipo de dados, e não uma única vez para "a nuvem".

1. Mapear o serviço. Entidade contratante, entidades operadoras, locais de armazenamento e de tratamento, subcontratantes ulteriores e locais de suporte. Use a lista de subcontratantes ulteriores, não as páginas de marketing.
2. Classificar os dados. Use a classificação da sua instituição e assinale as categorias especiais de dados, os dados sujeitos a segredo legal, a investigação sujeita a controlo de exportações e os dados abrangidos por cláusulas de confidencialidade de parceiros.
3. Identificar as transferências e o instrumento de transferência. O acesso remoto a partir de fora do EEE conta como transferência [17]. Para destinatários dos EUA, verifique a entrada na lista DPF; caso contrário, use CCT com uma avaliação de impacto das transferências. A nossa ferramenta de mecanismos de transferência e o modelo de avaliação de impacto das transferências tratam este passo.
4. Avaliar o acesso jurídico estrangeiro separadamente. Pergunte se o operador está sujeito à jurisdição dos EUA (ou de outro país de fora da UE), se consegue aceder aos conteúdos em claro e o que se compromete a fazer quando recebe um pedido: informá-lo, contestá-lo, divulgar apenas o mínimo e publicar dados de transparência (compare com a cláusula 15 das CCT) [12].
5. Avaliar os controlos técnicos. Quem detém as chaves? Existe cifragem do lado do cliente ou de ponta a ponta para os dados que dela precisam? Que funcionalidades deixam de funcionar quando é usada?
6. Avaliar a dependência e a continuidade. O que aconteceria se o serviço ficasse indisponível, muito mais caro ou juridicamente inutilizável para certos dados? Quanto tempo demoraria a migração?
7. Decidir e registar. Registe o risco residual, as condições de utilização (por exemplo, "sem categorias especiais de dados") e quem o aceitou. Atualize a AIPD quando necessário; veja o nosso modelo de AIPD.
8. Acompanhar. Esteja atento a alterações no alojamento, nos subcontratantes ulteriores, nas predefinições e no direito dos EUA (secção 702, recurso C-703/25 P, revisão do DPF pela Comissão). O exemplo do flex routing da SURF mostra que as predefinições podem mudar.

Quando um organismo setorial já avaliou o serviço (por exemplo, as AIPD da SURF), parta dessa avaliação e verifique se a sua configuração corresponde aos pressupostos dela. Para o processo mais amplo, veja avaliação de fornecedores para universidades e o nosso guia da NIS2.

11. Tabela de decisão: alojamento por tipo de dados

A tabela abaixo é uma Análise do Validemic, não um requisito legal. Mostra um padrão comum, coerente com as posições das fontes acima. O seu direito nacional, os contratos de investigação e a classificação da instituição prevalecem.

As funcionalidades de IA exigem atenção adicional, porque acrescentam frequentemente locais de tratamento e subcontratantes ulteriores. O nosso guia sobre os serviços de IA das universidades nórdicas mostra como algumas instituições alojam elas próprias a IA por esta razão.

12. Estratégias de saída

Uma estratégia de saída é um plano documentado e testado para transferir um serviço e os seus dados para outro prestador ou para a própria instituição, num prazo e com um orçamento definidos. É a medida de soberania mais prática, porque limita os danos de qualquer futura mudança na lei, no preço ou na política. O Regulamento dos Dados dá agora aos clientes de serviços de nuvem direitos de mudança exigíveis.

O que exige o Regulamento dos Dados

O capítulo VI do Regulamento (UE) 2023/2854 aplica-se desde 12 de setembro de 2025 [13]. Os prestadores de serviços de tratamento de dados têm de eliminar os obstáculos à mudança (art. 23.º), e o contrato tem de incluir, entre outros aspetos (art. 25.º, n.º 2):

• um prazo máximo de pré-aviso para iniciar a mudança não superior a dois meses;
• um período de transição máximo obrigatório de 30 dias de calendário, durante o qual o prestador tem de prestar assistência, manter a continuidade e manter os dados seguros;
• a obrigação de apoiar a estratégia de saída do cliente;
• uma especificação exaustiva dos dados e ativos digitais que podem ser transferidos;
• um período de recuperação dos dados de, pelo menos, 30 dias de calendário após o período de transição;
• o apagamento integral dos dados exportáveis após o período de recuperação.

Quanto aos encargos, desde 11 de janeiro de 2024 os prestadores só podiam cobrar encargos de mudança reduzidos, não superiores aos custos diretos. A partir de 12 de janeiro de 2027 não podem cobrar quaisquer encargos de mudança (art. 29.º). O art. 31.º isenta de parte destas regras alguns serviços personalizados e versões de teste. Veja a nossa explicação do Regulamento dos Dados.

Construir o plano

1. Inventário. Serviços, volumes de dados, integrações (autenticação única, plataforma de ensino, sistemas de investigação) e utilizadores dependentes.
2. Formatos. Preferir formatos abertos e verificar se as exportações incluem metadados, permissões e histórico de versões.
3. Identidade. Manter a gestão de identidades sob controlo institucional ou federado, para que uma mudança de prestador não implique mudar todas as contas de utilizador.
4. Alternativas. Identificar pelo menos uma alternativa realista para cada serviço crítico, muitas vezes através da NREN ou de um serviço partilhado nacional.
5. Testar. Fazer todos os anos uma exportação e importação parcial para um departamento de amostra. Um plano de saída não testado é uma esperança, não um plano.
6. Orçamento e prazo. Registar o custo e a duração previstos da migração. O catálogo de casos dinamarquês mostra que mesmo uma mudança limitada (cerca de 60 soluções num departamento de Aarhus) demorou cerca de seis meses [28].

13. Cláusulas a pedir na contratação

As cláusulas contratuais não podem mudar as leis aplicáveis a um prestador, mas podem dar à universidade informação, tempo e opções. Use as cláusulas abaixo nos procedimentos de contratação e nas renovações, adaptadas às regras nacionais de contratação pública. O nosso gerador de questionários para fornecedores pode transformá-las em perguntas.

Quando o seu organismo setorial negoceia centralmente (SURF, Sikt, Sunet, CSC, Jisc, DFN ou a GÉANT através do OCRE), verifique que cláusulas já constam do acordo-quadro antes de negociar sozinho. Para as próprias cláusulas do artigo 28.º, o nosso verificador de contratos de subcontratação confronta uma minuta ponto a ponto, e os alertas de subcontratantes ulteriores ajudam a detetar alterações após a assinatura.

14. Lista de verificação

Fontes

1. 18 U.S.C. § 2713, Required preservation and disclosure of communications and records, Legal Information Institute (consultado em 9 de outubro de 2026).
2. 18 U.S.C. § 2703, alínea (h), comity analysis, Legal Information Institute (consultado em 9 de outubro de 2026).
3. Departamento de Justiça dos EUA: CLOUD Act Resources (consultado em 9 de outubro de 2026).
4. Regulamento (UE) 2016/679 (RGPD), artigos 28.º, 32.º, 44.º e 48.º (consultado em 9 de outubro de 2026).
5. Tribunal de Justiça, acórdão de 16 de julho de 2020, Facebook Ireland e Schrems, C-311/18, n.os 184, 197 e 201, lido através do Serviço das Publicações da UE (consultado em 9 de outubro de 2026).
6. Associated Press: A key U.S. government surveillance program is set to expire. A look at what that means, 12 de junho de 2026 (consultado em 9 de outubro de 2026).
7. Brennan Center for Justice: Section 702 of FISA, 2026 resource page, atualizado em 17 de setembro de 2026 (consultado em 9 de outubro de 2026).
8. Tribunal de Justiça da UE, comunicado de imprensa n.º 106/25 sobre o processo T-553/23, que descreve a EO 14086, de 7 de outubro de 2022, e o DPRC (em inglês, consultado em 9 de outubro de 2026).
9. Decisão de Execução (UE) 2023/1795 da Comissão (Quadro de Privacidade de Dados UE-EUA), considerandos 96 e 97, lida através do Serviço das Publicações da UE (consultado em 9 de outubro de 2026).
10. Artigo 48.º do RGPD, transferências ou divulgações não autorizadas pelo direito da União (consultado em 9 de outubro de 2026).
11. Resposta conjunta do CEPD e da AEPD à Comissão LIBE sobre o impacto do US Cloud Act, anexo de 10 de julho de 2019 (em inglês, consultado em 9 de outubro de 2026).
12. Decisão de Execução (UE) 2021/914 da Comissão (cláusulas contratuais-tipo), cláusula 15 (consultado em 9 de outubro de 2026).
13. Regulamento (UE) 2023/2854 (Regulamento dos Dados), artigos 23.º, 25.º, 29.º, 31.º, 32.º e 50.º, lido através do Serviço das Publicações da UE (consultado em 9 de outubro de 2026).
14. Tribunal Geral, Latombe/Comissão, T-553/23, comunicado de imprensa de 3 de setembro de 2025 (em inglês, consultado em 9 de outubro de 2026).
15. Recurso interposto em 31 de outubro de 2025 por Philippe Latombe, processo C-703/25 P, JO C/2025/6610 (consultado em 9 de outubro de 2026).
16. Carta do CEPD à Comissão Europeia sobre o acórdão do Supremo Tribunal dos EUA Trump v. Slaughter, 31 de julho de 2026 (em inglês, consultado em 9 de outubro de 2026).
17. Recomendações 01/2020 do CEPD sobre medidas complementares, versão 2.0, ponto 13 e caso de utilização 6 (consultado em 9 de outubro de 2026).
18. Microsoft Learn: What is the EU Data Boundary? (consultado em 9 de outubro de 2026).
19. Microsoft: Microsoft announces new European digital commitments, Brad Smith, 30 de abril de 2025 (consultado em 9 de outubro de 2026).
20. Microsoft: Announcing comprehensive sovereign solutions empowering European organizations, 16 de junho de 2025 (consultado em 9 de outubro de 2026).
21. SURF: Privacy risks Microsoft 365 Copilot remain 'orange' despite improvements, 27 de maio de 2026 (consultado em 9 de outubro de 2026).
22. AWS: AWS Launches AWS European Sovereign Cloud and Announces Expansion Across Europe, 15 de janeiro de 2026 (consultado em 9 de outubro de 2026).
23. Google Cloud: Sovereign Cloud (consultado em 9 de outubro de 2026).
24. Comissão Europeia: EU Cybersecurity Certification Framework, atualizado pela última vez em 9 de setembro de 2026 (consultado em 9 de outubro de 2026).
25. ANSSI: SecNumCloud pour les fournisseurs de services cloud (em francês, consultado em 9 de outubro de 2026).
26. CNIL: Enseignement supérieur, les règles et bonnes pratiques pour utiliser des outils collaboratifs en ligne, 24 de agosto de 2026 (em francês, consultado em 9 de outubro de 2026).
27. Assemblée nationale, pergunta escrita n.º 971 e resposta ministerial, resposta publicada em 15 de novembro de 2022 (em francês, consultado em 9 de outubro de 2026).
28. Digitaliseringsstyrelsen: Digital suverænitet, casekatalog (elaborado pela PA Consulting), janeiro de 2026, casos 3, 11 e 13 (em dinamarquês, consultado em 9 de outubro de 2026).
29. openDesk (ZenDiS) (consultado em 9 de outubro de 2026).
30. Digitaliseringsstyrelsen: Digital suverænitet (em dinamarquês, consultado em 9 de outubro de 2026).
31. Digitale Overheid: Cloud, incluindo as orientações do AcICT sobre a utilização da nuvem, 8 de setembro de 2026 (em neerlandês, consultado em 9 de outubro de 2026).
32. privatim: resolução sobre soluções de nuvem internacionais e comunicado de imprensa, 24 de novembro de 2025 (em alemão, consultado em 9 de outubro de 2026).
33. eSam: Uppdatering kring adekvansbeslutet i en turbulent tid, 26 de setembro de 2025 (em sueco, consultado em 9 de outubro de 2026).
34. Universidade de Utrecht: Open letter to the Executive Board calling for a transformation to digital autonomy, 25 de março de 2025 (consultado em 9 de outubro de 2026).
35. Pessoal da Universidade Radboud: Open letter on dependence on Big Tech, 10 de março de 2025 (consultado em 9 de outubro de 2026).
36. Universidade de Groningen: Open letter to the Executive Board to end dependence on Big Tech, 10 de abril de 2025 (consultado em 9 de outubro de 2026).
37. Universidade de Utrecht, IOS Think Paper 7: Towards a collective digital autonomy for Dutch universities, dezembro de 2025 (consultado em 9 de outubro de 2026).
38. Universiteiten van Nederland: Universiteiten lanceren plan om digitaal autonomer te worden, 6 de maio de 2026 (em neerlandês, consultado em 9 de outubro de 2026).
39. Cursor (TU Eindhoven): Universities and government join forces on digital autonomy, 26 de junho de 2026 (consultado em 9 de outubro de 2026).
40. SURF: Cloud sourcing strategie, 2024 (em neerlandês, consultado em 9 de outubro de 2026).
41. SURF: Education and research move forward with Nextcloud, 24 de novembro de 2025 (consultado em 9 de outubro de 2026).
42. DUB (Universidade de Utrecht): Can Dutch universities do without Microsoft?, 24 de novembro de 2025 (consultado em 9 de outubro de 2026).
43. U-Today (Universidade de Twente): Breaking free from big tech? UT can't do it alone, 9 de dezembro de 2025 (consultado em 9 de outubro de 2026).
44. Sunet: Sunet Drive (em sueco, consultado em 9 de outubro de 2026).
45. Universidade de Estocolmo: Sunet Drive (Nextcloud), atualizado em 24 de novembro de 2025 (consultado em 9 de outubro de 2026).
46. CSC: Sensitive data services (consultado em 9 de outubro de 2026).
47. NREC: Norwegian Research and Education Cloud (consultado em 9 de outubro de 2026).
48. Universidade de Münster: comunicado de imprensa sobre o lançamento do sciebo, 28 de janeiro de 2015 (em alemão, consultado em 9 de outubro de 2026).
49. hochschulcloud.nrw: sciebo (consultado em 9 de outubro de 2026).
50. Karlsruhe Institute of Technology: bwSync&Share (consultado em 9 de outubro de 2026).
51. Switch: Switch Drive (consultado em 9 de outubro de 2026).
52. RENATER: Services (em francês, consultado em 9 de outubro de 2026).
53. Restena: Cloud suppliers and opportunities for 2025-2029 (GÉANT OCRE 2024), 14 de fevereiro de 2025 (consultado em 9 de outubro de 2026).

Sobre esta página

Fontes verificadas em 9 de outubro de 2026. Lemos os textos jurídicos (o Código dos EUA através do Legal Information Institute; os atos da UE nas versões do Jornal Oficial publicadas pelo Serviço das Publicações da UE), documentos judiciais, páginas do CEPD, da Comissão e de autoridades nacionais, páginas de fornecedores e as páginas das universidades e redes de investigação acima indicadas. As citações em língua estrangeira são reproduzidas no original, com uma tradução nossa entre parênteses que não deve ser lida como citação textual. As descrições dos fornecedores são as dos próprios fornecedores; não testámos os serviços. Quando damos a nossa própria interpretação, assinalamo-la como análise do Validemic. Esta página contém informação geral e não constitui aconselhamento jurídico. O direito de vigilância dos EUA, o recurso relativo ao Quadro de Privacidade de Dados e o esquema europeu de certificação da nuvem estão todos sujeitos a alterações, e atualizaremos esta página quando isso acontecer. Se detetar um erro ou um ponto desatualizado, contacte-nos e corrigi-lo-emos.