Requisitos de Alojamento na UE para Transferências 2026

Os requisitos de alojamento na UE para serviços de transferência de ficheiros em 2026 empilham múltiplas regras umas sobre as outras. Os Capítulos IV e V do RGPD estabelecem a base para as obrigações dos processadores e as transferências internacionais. O Data Act (Regulamento 2023/2854), aplicável desde 12 de setembro de 2025, acrescenta direitos de migração e interoperabilidade. O projeto do esquema EUCS ao abrigo do Ato de Cibersegurança eleva a soberania aos níveis de certificação de nuvem. A NIS2 sobrepõe deveres de cibersegurança. As regras dos estados-membros como o SecNumCloud em França e o C5 na Alemanha somam-se a tudo isto. O resultado prático: um fornecedor de transferência de ficheiros que serve clientes da UE precisa de infraestrutura localizada na UE, contratos de processamento de direito da UE e proteção documentada contra compulsão não-UE.

A localização do servidor não é a história completa

Muitos prestadores anunciam "alojamento na UE" enquanto dependem de uma região de nuvem de matriz americana em Frankfurt ou Dublin. Essa localização satisfaz apenas parcialmente a residência de dados do RGPD. A decisão Schrems II do TJUE (C-311/18) deixou claro que a exposição jurídica do prestador importa, não apenas a geografia dos bytes. Uma empresa-mãe americana com uma região em Frankfurt ainda pode ser compelida ao abrigo do US CLOUD Act. Para muitos clientes da UE, especialmente em setores regulados, isso constitui um problema de impacto na transferência. A perspetiva de 2026 das Recomendações 01/2020 do Comité Europeu para a Proteção de Dados e as suas atualizações: avalie a lei do país onde o prestador pode ser legalmente compelido, não apenas onde o servidor está localizado.

RGPD Artigo 28 e o contrato de processador

Qualquer fornecedor de transferência de ficheiros que processe dados pessoais para um responsável pelo tratamento da UE deve assinar um Acordo de Processamento de Dados que cumpra o Artigo 28(3). O DPA tem de especificar o objeto e a duração, a natureza e a finalidade, os tipos de dados pessoais e categorias de titulares, e as obrigações e direitos do responsável pelo tratamento. Deve comprometer o processador a condições nomeadas: agir apenas segundo instruções, garantir a confidencialidade do pessoal, implementar medidas de segurança do Artigo 32, apoiar auditorias, devolver ou eliminar dados na cessação, e gerir sub-processadores com autorização prévia. Os DPAs em falta ou fracos são a constatação mais comum nas auditorias da CNIL e de outras autoridades supervisoras em 2024-2025.

Transferências transfronteiriças após o Schrems II

Desde julho de 2023, o Quadro de Privacidade de Dados UE-EUA fornece uma via de adequação válida para os importadores de dados americanos que se autocertifiquem. Mas o Quadro enfrenta desafios jurídicos, e a história sugere que outra decisão Schrems é plausível. Para os fornecedores de transferência de ficheiros que encaminham dados para fora do EEE, o caminho mais seguro é multicamada: basear-se no Quadro onde aplicável, suportá-lo com as Cláusulas Contratuais Padrão de 2021 e realizar uma Avaliação de Impacto da Transferência que documente o regime jurídico no país de destino e as medidas suplementares (encriptação ponta a ponta, pseudonimização, custódia de chave dividida) que protegem os dados. Muitos compradores de transferência de ficheiros em 2026 simplesmente exigem fluxos de dados exclusivamente na UE para evitar a análise.

As regras de migração do Data Act

O Data Act, aplicável desde 12 de setembro de 2025, concede aos clientes da UE direitos executáveis para migrar entre fornecedores de nuvem e levar os seus dados consigo. Os Artigos 23-31 abordam especificamente os serviços de processamento de dados, exigindo que os prestadores removam obstáculos à migração, limitem as cobranças (com cobranças reduzidas a zero a partir de 12 de janeiro de 2027) e apoiem a portabilidade de dados em formatos estruturados, de uso comum e legíveis por máquina. Para os serviços de transferência de ficheiros que detêm arquivos de clientes ou dados de inquilinos, a obrigação é de permitir a exportação de metadados de conta, ficheiros carregados e configuração em formatos como ZIP, JSON e CSV. Os fornecedores sem ferramentas de exportação funcionais arriscam ações de execução.

EUCS e os níveis de soberania

O Esquema Europeu de Certificação de Cibersegurança para Serviços de Nuvem (EUCS) tem sido redigido sob a coordenação da ENISA desde 2020 e deverá ser adotado em 2026 após a resolução dos debates de âmbito. Define quatro níveis de garantia: Básico, Substancial, Alto e potencialmente Alto+ com critérios de soberania que espelham os requisitos de imunidade do SecNumCloud. Para os fornecedores de transferência de ficheiros que visam compradores do setor público ou regulado, o alinhamento antecipado com o EUCS Alto será uma necessidade competitiva. Alguns estados-membros incluindo França, Itália e Espanha pressionaram por critérios de imunidade explícitos no nível superior; outros incluindo Alemanha e Irlanda preferem apenas controlos técnicos. O texto final determina o quanto "soberania de nuvem" significa na prática.

Localização de dados para setores específicos

Para além das regras horizontais, vários setores impõem localização. O HDS francês para dados de saúde exige anfitriões certificados. As normas BSI alemãs para dados de saúde e determinadas cargas de trabalho federais exigem infraestrutura certificada C5. O quadro AgID italiano para a administração pública exige localização italiana ou da UE para dados classificados e sensíveis. A ENS espanhola ao nível Alto estabelece requisitos equivalentes. Quando um fornecedor de transferência de ficheiros serve compradores de múltiplos países, satisfazer a regra sectorial mais rigorosa na sua base de clientes geralmente dita a arquitetura. O caminho mais económico é frequentemente alojar tudo em França ou Alemanha ao abrigo de contratos rigorosos da UE, em vez de dividir a geografia por cliente.

Obrigações NIS2 para prestadores de alojamento

A NIS2 classifica os serviços de computação em nuvem e os serviços de centros de dados como infraestrutura digital crítica. Os fornecedores de transferência de ficheiros enquadrados nestas categorias devem implementar medidas de cibersegurança do Artigo 21, reportar incidentes em 24 horas ao CSIRT nacional e satisfazer deveres da cadeia de abastecimento. A interseção com o alojamento: os fornecedores não podem apenas alegar prontidão NIS2 se os seus sub-processadores não estiverem eles próprios em conformidade. Um serviço de transferência que funciona sobre um backend de alojamento não conforme herda a lacuna. As revisões de risco da cadeia de abastecimento são agora padrão no aprovisionamento da UE, com perguntas sobre cada elo desde o balanceador de carga ao armazenamento de cópia de segurança ao CDN.

Registo, auditoria e notificação de incidentes

As expectativas de alojamento na UE em 2026 incluem registos de auditoria detalhados conservados tempo suficiente para suportar as notificações de violação de 72 horas do Artigo 33 do RGPD. Para a transferência de ficheiros, os registos mínimos cobrem carregamentos, transferências, criação de ligações, expirações de ligações e ações administrativas. Os registos devem ser consultáveis pelo responsável pelo tratamento para investigar suspeitas de violações. O armazenamento de registos durante seis meses é comum; períodos mais longos podem ser exigidos para clientes financeiros ou de saúde. Os próprios registos contêm dados pessoais (IPs, identificadores de utilizadores), pelo que a sua retenção e os controlos de acesso enquadram-se na proporcionalidade do RGPD. A sobre-retenção de registos "por precaução" viola a limitação de armazenamento.

O HexaTransfer funciona em infraestrutura da UE com encriptação AES-256-GCM aplicada no browser antes do carregamento, o que significa que o texto cifrado nos servidores é inacessível sem o fragmento de ligação. Experimente em hexatransfer.com — gratuito, sem conta, até 10 GB.

O alojamento na UE em 2026 não é uma regra mas uma rede de várias delas. A localização do servidor importa. A jurisdição do prestador importa. Os termos contratuais importam. As certificações importam. Os fornecedores que se mantêm à frente mapeiam cada regra para medidas técnicas e contratuais concretas e publicam uma página de confiança que os compradores podem reencaminhar para as suas equipas de privacidade e segurança. Os compradores, por sua vez, fazem as perguntas específicas em vez de aceitar "somos alojados na UE" como resposta completa.