Um serviço na nuvem no estrangeiro também é transferência de dados

Ao escolher a infraestrutura de um software, a localização do servidor é muitas vezes discutida em termos de preço e velocidade. Esta escolha tem também uma vertente de transferência de dados, e não é fácil mudá-la depois.

Quando se pergunta a uma organização se transfere dados para o estrangeiro, a resposta costuma ser não. Quando se pergunta depois que serviços utiliza, surge uma lista: alojamento na nuvem, correio eletrónico, software de apoio ao cliente, uma ferramenta de análise, um fornecedor de pagamentos, um serviço de cópias de segurança.

A maioria dos serviços dessa lista não tem servidores na Türkiye. Ou seja, a resposta verdadeira era sim, e a organização não sabia.

Este equívoco vem da própria palavra "transferência", que sugere um ato deliberado: pegar num ficheiro e enviá-lo. Mas manter dados num sistema no estrangeiro, ou fazer com que sejam aí tratados, também é uma transferência. Não é preciso procurar nenhum ato de envio separado.

Ver onde uma transferência começa realmente

O artigo 9.º da Lei turca 6698 regula as transferências para o estrangeiro. A dificuldade na prática não está na norma em si, mas em determinar quando uma transferência ocorreu de facto.

As três situações seguintes originam sempre uma transferência: os dados estarem alojados num servidor no estrangeiro; uma equipa no estrangeiro poder aceder ao sistema para efeitos de apoio; e os dados serem tratados no estrangeiro com o resultado a ser devolvido. A terceira é a mais frequentemente esquecida. Se utiliza um serviço de análise de texto e esse serviço está no estrangeiro, o texto que envia é tratado aí. O resultado voltar não significa que não tenha havido transferência.

O nosso próprio site tem exatamente esta funcionalidade. O campo de texto livre na página inicial envia o texto introduzido para um fornecedor no estrangeiro para análise. É por isso que o nosso aviso de proteção de dados tem uma secção dedicada a isto, e um visitante pode percorrer todo o resto do site sem alguma vez usar esse campo. Garantir que não ocorre nenhuma transferência quando a funcionalidade não é usada foi tanto uma decisão de conceção como a própria funcionalidade.

A coluna em falta no inventário

A maioria dos inventários de dados regista a categoria, a finalidade e o prazo de conservação. A coluna em falta é esta: em que país estão fisicamente estes dados?

Ao acrescentar essa coluna, o quadro muda. Parte dos dados que a organização julgava guardar no seu próprio centro de dados afinal está no estrangeiro. As cópias de segurança são o que mais escapa, porque o serviço de cópias de segurança costuma ser contratado a um fornecedor à parte e ninguém verifica onde está.

Ao elaborar o inventário, é preciso perguntar diretamente ao fornecedor. Se o contrato incluir um compromisso quanto à residência dos dados, deve obter-se por escrito. Se não incluir, o fornecedor pode alterar essa disposição unilateralmente sem que a organização o saiba.

A cadeia de subcontratantes

A segunda camada é ainda menos visível. O fornecedor que utiliza pode, por sua vez, depender de outros fornecedores para a sua própria infraestrutura.

Usa um software de apoio ao cliente; esse software funciona sobre um fornecedor de nuvem; esse fornecedor usa um serviço distinto para a pesquisa; e liga-se a um terceiro para enviar notificações. Os seus dados circulam por toda essa cadeia.

Não é possível controlar essa cadeia por completo, mas é possível torná-la visível. O contrato deve exigir a notificação do uso de subcontratantes e conferir o direito de se opor a uma alteração. A maioria dos fornecedores empresariais já oferece isto, só é preciso pedir.

O que fazer

O primeiro passo é elaborar um inventário de serviços: o nome de cada serviço externo utilizado, para que serve, a que categorias de dados pessoais pode aceder e onde estão os seus servidores.

Feita essa tabela, há três opções: substituir o serviço por uma alternativa alojada na Türkiye, mudar para a região turca do fornecedor, se este a tiver, ou dar à transferência uma base jurídica adequada através de um dos mecanismos previstos na lei.

As três têm um custo, e a escolha certa depende da natureza do trabalho. Mas não escolher nenhuma delas, ou seja, nem sequer se ter apercebido da situação, é a opção mais cara, porque isso significa também que o aviso de proteção de dados está a dar informação incorreta, e uma única lacuna acaba por violar duas obrigações ao mesmo tempo.

As regras nesta área continuam a evoluir, e as decisões do Conselho redesenham o quadro de vez em quando. Convém rever a situação atual antes de escolher um mecanismo de transferência.