As plataformas de nuvem tornaram-se um elemento essencial para a criação e funcionamento de serviços digitais em organizações modernas. Como os dados cruzam fronteiras, questões sobre onde são armazenados, quem tem acesso a eles e quais leis os regulam transformaram-se de uma simples questão de conformidade numa decisão arquitetónica fundamental.
Para empresas que operam na Europa e na África do Sul, as questões de soberania e residência de dados já definem a sua estratégia de gestão de riscos, política regulatória e arquitetura de nuvem. O resto do continente está a mover-se para uma consciência semelhante à medida que a adoção de tecnologias de nuvem se aprofunda.
Os sistemas de computação distribuída complicam este problema. Segundo previsões da Gartner, até 2025, 75% dos dados gerados pelas empresas serão criados e processados fora dos centros de dados centralizados tradicionais, em comparação com cerca de 10% em 2018. Este crescimento é impulsionado por tecnologias de nuvem, computação de borda e cargas de trabalho de inteligência artificial. À medida que os dados se descentralizam, a gestão da residência e soberania torna-se mais complexa, e os reguladores estão a prestar mais atenção a isso — na Europa, são o RGPD e a decisão Schrems II, e na África, a Popia e um crescente conjunto de outros quadros legais.
Para os diretores de TI (CIO e CTO), a soberania deixou de ser uma questão secundária de conformidade; tornou-se parte do processo de design.
Residência, soberania e localização
Estes termos são frequentemente usados como sinónimos, mas designam conceitos diferentes. A residência de dados define o local físico de armazenamento da informação. Embora as organizações possam escolher locais por razões operacionais, os requisitos legais muitas vezes ditam onde certas categorias de dados devem estar. Os provedores de nuvem permitem cada vez mais que os clientes escolham autonomamente os locais de armazenamento e processamento de dados.
A soberania de dados refere-se ao poder legal que governa esses dados. Os dados de uma empresa global permanecem sob a jurisdição do país onde estão alojados, o que é crucial ao trabalhar com terceiros ou quando os governos têm o direito legal de exigir acesso a esses dados.
A localização de dados representa a forma mais rigorosa deste requisito. Os governos obrigam a armazenar certos tipos de dados exclusivamente dentro das fronteiras nacionais, por vezes impondo restrições ao processamento ou acesso remoto. Embora este requisito não seja universal, está a tornar-se mais comum nos setores de serviços financeiros, telecomunicações e setor público.
Regulamentação rigorosa na Europa
A Europa possui um dos sistemas de regulamentação mais desenvolvidos em matéria de soberania de dados. O RGPD estabelece regras rígidas relativas à recolha e processamento de dados pessoais, exigindo que as transferências transfronteiriças garantam um nível de proteção equivalente aos padrões da UE. Isto é alcançado através de mecanismos como as cláusulas contratuais padrão e as avaliações de impacto da transferência, introduzidas após a decisão Schrems II, que alterou os fluxos de dados entre a UE e os EUA em 2020.
Violações graves podem resultar em multas de até 20 milhões de euros ou 4% da faturação anual mundial, o que for maior. Além disso, a Diretiva de Dados da UE (EU Data Act) e o Regulamento de IA (AI Act) aumentam os requisitos de transparência, gestão de acesso e utilização de dados para treinar modelos de IA.
África está a fortalecer-se, mas permanece fragmentada
A regulamentação de proteção de dados na África está a desenvolver-se rapidamente. Mais de 40 países africanos adotaram leis nacionais de proteção de dados, e a maioria delas já possui um órgão de supervisão. Entre os sistemas legais que moldam a abordagem das organizações ao tratamento de dados pessoais e transferências transfronteiriças, destacam-se as Leis de Proteção de Informação Pessoal da África do Sul (Popia), a Lei de Proteção de Dados da Nigéria e a Lei de Proteção de Dados do Quénia.
Ao contrário do sistema unificado da UE, as regras na África variam de país para país no que diz respeito à residência, transferência de dados e supervisão. Para uma corporação multinacional, uma única decisão de residência deve satisfazer vários regimes diferentes simultaneamente. Tony van der Linden, CIO e diretor de serviços de nuvem geridos da BBD, observou: «Graças à proximidade dos países na região africana, aos esforços conjuntos nos negócios transfronteiriços e à crescente disseminação das tecnologias de nuvem no continente, será interessante observar como estas leis de proteção de dados não só são testadas, mas também implementadas, enquanto o continente assume o seu lugar como cidadão mundial».
A localização da entrega também faz parte do debate. As organizações devem considerar onde os dados são armazenados e onde estão as equipas que desenvolvem e mantêm estes sistemas. Esta é uma das razões pelas quais a África do Sul se tornou um local fiável para a prestação de serviços tecnológicos internacionais, combinando a proteção Popia, um ambiente financeiro e regulatório maduro, e uma proximidade de fusos horários com a Europa. Graças a isto, as organizações podem aumentar o potencial de engenharia, mantendo ao mesmo tempo o controlo sobre a gestão de dados.
O que pode correr mal
As decisões de residência são frequentemente vistas como detalhes técnicos de infraestrutura, quando as consequências são muito mais sérias. Estas consequências incluem: multas regulatórias, especialmente no âmbito do RGPD; falhas operacionais, se os dados não puderem cruzar fronteiras legalmente durante um incidente ou falha; bloqueio pelo fornecedor (vendor lock-in), quando os fornecedores não possuem infraestrutura regional adequada; acesso de jurisdições estrangeiras, permitindo que os governos obriguem legalmente os fornecedores a divulgar dados; problemas de conformidade de IA ao treinar modelos com conjuntos de dados transfronteiriços; e perda de confiança do cliente, se a organização não conseguir indicar onde estão os seus dados.
Design com foco na soberania
A conformidade com os requisitos de soberania não significa renunciar ao uso de plataformas de nuvem globais. Requer uma abordagem intencional à arquitetura: implementação específica para a região; separação das camadas de armazenamento, processamento e acesso, permitindo que os dados confidenciais sejam armazenados dentro do país, enquanto a análise anonimizada ou o processamento de metadados ocorrem noutro local; criptografia de tudo — em repouso, em trânsito e em uso, utilizando chaves geridas pelo cliente; aplicação de controlos de acesso de confiança zero (zero-trust access controls) para gestão baseada em identidade, minimizando os riscos associados a terceiros e operações transfronteiriças; e utilização de IA consciente da soberania, como aprendizagem federada ou pipelines de treino locais, para que os modelos possam ser treinados sem centralizar dados confidenciais através das fronteiras. Uma cautela semelhante deve ser aplicada aos ambientes de recuperação de desastres, para que a comutação não mova dados regulamentados para uma jurisdição que não cumpre os requisitos.
Passos práticos para CIOs e CTOs
A soberania deve tornar-se uma parte integrante da gestão da plataforma. Isto implica mapear os caminhos de movimento de dados entre várias jurisdições, definir as categorias de dados regulamentados, verificar os certificados e regiões dos fornecedores, realizar avaliações regulares de impacto na soberania, garantir que as cargas de trabalho de IA cumpram as restrições de localização e implementar a gestão do ciclo de vida dos dados.
Conformidade como vantagem
Mais de 160 países têm agora alguma forma de legislação de proteção de dados. As organizações que consideram a residência e a soberania como princípios arquitetónicos fundamentais reduzem os riscos regulatórios, conquistam a confiança de clientes e reguladores, e criam plataformas que funcionam em várias jurisdições. Segundo Van der Linden, «à medida que a adoção de tecnologias de nuvem acelera e a predominância de sistemas baseados em IA cresce, a soberania de dados determinará cada vez mais como as plataformas digitais são concebidas, implantadas e geridas». A soberania agora determina como os sistemas são construídos e onde operam; vê-la apenas como uma verificação final de conformidade é condenar as organizações à necessidade de uma reconstrução completa.