Cloud de confiança, ato II: do Microsoft 365 ao SecNumCloud, a jurisprudência que baralha as cartas

A soberania digital raramente se decide nos grandes discursos; decide-se nos litígios. Dois processos o recordaram esta primavera. Na Áustria, a autoridade de proteção de dados decidiu que a utilização do Microsoft 365 Education violava o RGPD, nomeadamente devido à impossibilidade de os responsáveis pelo tratamento controlarem realmente os fluxos de dados e a cadeia de subcontratação. Em França, o caso da escolha da Microsoft pela Polytechnique voltou ao primeiro plano no início de junho, vendo a imprensa especializada nele um precedente suscetível de baralhar as cartas para todo o setor público. Ao mesmo tempo — e é todo o paradoxo — o acordo-quadro que liga a Educação Nacional ao editor americano era prolongado.

O que estas decisões realmente dizem

O ponto comum destes casos não é o antiamericanismo que por vezes se lhes atribui. É uma questão de controlo efetivo: quem pode aceder aos dados, ao abrigo de que direito, com que garantias oponíveis? Desde a invalidação do Privacy Framework ao estilo Schrems, cada montagem de transferência assenta em análises de impacto que as autoridades examinam agora linha a linha. O direito americano — FISA 702, CLOUD Act — continua aplicável aos fornecedores americanos onde quer que os dados estejam alojados. Nenhuma cláusula contratual neutraliza uma lei de polícia estrangeira: é esta constatação, puramente jurídica, que os reguladores começam a levar até ao fim.

SecNumCloud, de doutrina a critério de compra

Do lado francês, a qualificação SecNumCloud da ANSSI impõe-se progressivamente como a linha divisória: para além das exigências técnicas, impõe um critério de imunidade às legislações extraterritoriais através de condições de capital e de governação. A doutrina «cloud ao centro» reserva, em princípio, os dados sensíveis do Estado a ofertas qualificadas. O que muda em 2026 é o contágio para além do Estado: operadores regulados, saúde, educação, autarquias — e, por ricochete, os seus fornecedores. Para um editor de software, ser implantável num alojador qualificado, ou em on-premise, torna-se um argumento comercial de primeira ordem, não uma caixa de conformidade.

O que os CIO podem fazer desde já

Primeiro, cartografar por criticidade em vez de por comodidade: que dados, que tratamentos exigem realmente uma imunidade extraterritorial? A resposta honesta raramente é «tudo», mas nunca é «nada». Segundo, exigir a reversibilidade desde o contrato: formatos abertos, exportação documentada, custos de saída limitados. Terceiro, cifrar com chaves controladas em próprio quando a workload permanece num hyperscaler — tendo presente que a cifragem não protege os dados em tratamento. Quarto, construir «bolsas soberanas»: em vez de uma migração total ilusória, isolar os casos de uso críticos em ofertas qualificadas ou em on-premise, e assumir o híbrido para o resto.

O ato II da cloud de confiança não será um grande salto. Será uma acumulação de decisões, de concursos e de renovações de contratos em que, processo após processo, a questão do controlo efetivo pesará um pouco mais. As organizações que tiverem preparado as suas bolsas soberanas decidirão com serenidade. As outras sofrerão o calendário dos reguladores.