Residência de Dados na UE: Requisitos de Alojamento

A residência de dados na UE significa que os dados pessoais ficam fisicamente em servidores dentro do Espaço Económico Europeu, com backups, caches e ferramentas de suporte também confinados às fronteiras do EEE. O RGPD não exige residência explicitamente — exige que qualquer transferência fora do EEE cumpra as condições do Capítulo V (decisão de adequação, CCT, BCR). Mas as regras sectoriais que se sobrepõem — a jurisprudência do Schrems II, o SecNumCloud francês, o C5 alemão e as regras de contratação pública do sector público — impõem efetivamente residência para ficheiros de saúde, finanças e governo. Se aloja ficheiros de clientes, a questão não é se a residência importa; é em que rack de centro de dados ficam os bytes.

O Que "Residência" Significa ao Nível do Byte

A residência não é apenas a região do armazenamento de objetos. Inclui onde as caches de edge CDN guardam o ficheiro, onde as réplicas de base de dados replicam escritas, onde os backups dormem, e onde o laptop de um engenheiro de suporte se liga quando extrai uma amostra para depuração. O AWS Frankfurt (eu-central-1) armazena objetos na Alemanha, mas as localizações de edge CloudFront em Ashburn, Virgínia, irão colocar os ficheiros em cache a menos que restrinja a distribuição aos nós de edge europeus. O armazenamento geo-redundante do Azure replica entre regiões emparelhadas, o que para a Europa Ocidental significa Amesterdão mais Dublin — correto. Para o Norte da Europa emparelhado com a Europa Ocidental, também correto. Configure incorretamente o emparelhamento e acaba no Reino Unido ou EUA.

O Efeito Multiplicador do Schrems II

A decisão do TJUE de julho de 2020 no caso Data Protection Commissioner v. Facebook Ireland and Schrems invalidou o Privacy Shield e forçou cada transferência UE-EUA a passar por uma Avaliação de Impacto da Transferência. A consequência prática: os compradores enterprise passaram a perguntar aos fornecedores "onde ficam os meus dados?" em vez de "o fornecedor está em conformidade com o RGPD?". Porque a legislação dos EUA (FISA 702, CLOUD Act) alcança fornecedores norte-americanos mesmo para dados armazenados no estrangeiro, a residência por si só não protege os clientes europeus de intimações — a menos que o fornecedor seja de propriedade europeia e não tenha subsidiária norte-americana. É por isso que a Gaia-X, a OVH, a Scaleway, a Hetzner e a Infomaniak ganham concursos públicos que a Microsoft Azure e o Google Cloud perdem apesar de terem presença regional idêntica.

SecNumCloud Francês e C5 Alemão

A ANSSI francesa publica o SecNumCloud, uma qualificação para fornecedores cloud que tratam de dados sensíveis. A versão 3.2 (março de 2022) inclui uma cláusula de imunidade que exige que os fornecedores estejam livres da legislação não europeia (leia-se: CLOUD Act). A Bleu da OVH e a Outscale têm qualificação SecNumCloud; a AWS não tem. O BSI alemão publica o Catálogo de Critérios C5, menos rigoroso quanto à propriedade mas mais detalhado nos controlos técnicos — 125 critérios em 17 categorias. Os compradores de saúde e defesa em ambos os países exigem rotineiramente estas certificações por contrato. Um fornecedor de transferência de ficheiros que visa esses setores sem pelo menos a atestação C5 Type 2 é invendável.

Classes de Armazenamento e a Sua Pegada de Residência

O armazenamento a quente — S3 Standard, Azure Hot Blob, GCS Standard — geralmente respeita a região configurada. O armazenamento a frio pode surpreendê-lo. O AWS Glacier Deep Archive garante a região que escolhe, mas o processo de recuperação coloca temporariamente os dados em localizações de edge regionais; para ficheiros sensíveis, verifique se a região de recuperação corresponde. O Backblaze B2 oferece EU Central (Amesterdão); o Cloudflare R2 oferece regiões jurisdicionais europeias com ancoragem de metadados que mantém tanto os bytes como os metadados dentro da UE. O OVH Object Storage em Gravelines ou Estrasburgo dá-lhe garantias de solo francês com força contratual.

Metadados Versus Conteúdo de Ficheiro

As pessoas obcecam-se com o conteúdo dos ficheiros e ignoram os metadados, que revelam tanto. O nome do ficheiro, o e-mail do remetente, o e-mail do destinatário, o endereço IP, o timestamp e o tamanho do ficheiro juntos revelam o suficiente para reconstruir relações comerciais. Um serviço de transferência que encripta o conteúdo do lado do cliente mas envia nomes de ficheiros e endereços de e-mail para uma plataforma de análise norte-americana falhou na residência. Verifique a política de privacidade de cada subprocessador terceiro — registo de erros (Sentry, Datadog), análise (Mixpanel, Amplitude), entrega de e-mail (SendGrid, Postmark). Se algum destes encaminha através de infraestrutura dos EUA, os metadados saem do EEE mesmo quando o payload não sai.

Mandatos Sectoriais de Residência

Dados de saúde sob implementações nacionais do RGPD mais regras locais: a certificação HDS (Hébergeur de Données de Santé) francesa exige alojamento francês ou europeu para registos de pacientes. O §203 StGB alemão e o §75b SGB V requerem proteção equivalente. Os serviços financeiros ao abrigo do DORA (Regulamento 2022/2554, em vigor em janeiro de 2025) impõem gestão de risco TIC com requisitos explícitos de concentração de terceiros e mapeamento de subcontratantes. A contratação pública ao abrigo de quadros nacionais — Doctrine Cloud au Centre francesa, ACN Cloud italiana — exige fornecedores EUCS de nível alto qualificados pela ENISA para classificações sensíveis.

Cadeias de Subprocessadores e Transparência

O seu fornecedor pode estar em Frankfurt mas usar um fornecedor CDN que encaminha através do Cloudflare (anycast global), uma plataforma de suporte no Zendesk (EUA) e um índice de pesquisa no Algolia (França/EUA). Cada elo dessa cadeia é uma potencial quebra de residência. O Artigo 28.º(4) responsabiliza o responsável pelo tratamento pela conformidade do subprocessador. Exija uma lista completa com notificações de atualização — 30 dias de aviso prévio é o padrão do mercado para alterações materiais. Os fornecedores europeus de boa reputação publicam isto nas suas páginas de confiança: o Tresorit, a Proton, a Infomaniak e o HexaTransfer mantêm registos públicos de subprocessadores.

Verificar Declarações de Residência

As páginas de marketing dizem "alojado na UE". Os contratos dizem menos. As páginas de confiança dizem mais. Peça três artefactos antes de assinar: (1) o contrato de tratamento de dados que nomeia a cidade específica do centro de dados, não apenas o país ou região; (2) a declaração de âmbito ISO 27001 ou SOC 2 Type 2 que lista as localizações cobertas; (3) um registo de subprocessadores com jurisdições e finalidade. Execute as suas próprias pesquisas DNS nos endpoints de upload e transferência — se o registo A resolver para anycast Cloudflare ou Fastly, pergunte qual a localização de POP que os seus utilizadores atingem. Teste uploads a partir de um browser com um IP europeu e verifique os cabeçalhos de resposta; a maioria dos CDNs expõe o POP em x-amz-cf-pop ou cf-ray.

Custos e Compromissos de Desempenho

O alojamento exclusivamente na UE custa 10 a 20% mais do que os equivalentes multi-região porque a escala é menor e os preços da eletricidade são mais altos. A latência melhora para utilizadores europeus (Paris a Frankfurt é ~20 ms) e degrada para utilizadores nos EUA (Paris a Nova Iorque é ~75 ms). Se a sua base de utilizadores é 80% europeia, o compromisso é óbvio. Se está a servir contratantes globais, uma configuração híbrida — residência na UE para clientes europeus com regras de encaminhamento claras — supera forçar toda a gente para uma única região. Fornecedores como o HexaTransfer mantêm todos os ficheiros em infraestrutura da UE enquanto a encriptação do lado do cliente significa que os destinatários transfronteiriços nunca expõem texto simples a servidores estrangeiros.

Escolha a residência como escolhe o seguro: precisamente adaptada ao risco. Experimente em hexatransfer.com — gratuito, sem conta, até 10 GB.