Soberania Digital Francesa e Alojamento Seguro de Ficheiros

Os requisitos de soberania digital francesa para alojamento de ficheiros centram-se em três aspetos: onde os dados residem fisicamente, quem pode aceder-lhes legalmente e se o prestador pode ser compelido por lei estrangeira a entregá-los. Em 2026, os compradores do setor público e regulado exigem cada vez mais a qualificação SecNumCloud pela ANSSI, armazenamento em solo francês ou da UE sob prestadores de direito francês e imunidade face a leis extraterritoriais como o US CLOUD Act. A doutrina "Cloud au centre" formalizada pela circular do Primeiro-Ministro de maio de 2021 e reforçada desde então torna isto um requisito de aprovisionamento, não apenas uma preferência.

Por que a soberania importa para a transferência de ficheiros

Um hospital francês que envie imagiologia de pacientes através de um serviço de transferência de ficheiros com sede nos EUA cria três problemas. Primeiro, o US CLOUD Act (2018) permite que as autoridades policiais americanas compilam o prestador a produzir dados de clientes independentemente de onde estão armazenados. Segundo, a Secção 702 da FISA abrange as comunicações de pessoas não americanas de formas que repetidam vezes desencadearam decisões Schrems do TJUE. Terceiro, o Artigo 3 da Lei de Programação Militar francesa e a recente Lei de Cibersegurança esperam que os setores sensíveis utilizem prestadores imunes a tal compulsão. Os dados de transferência de ficheiros não são habitualmente "segredo de estado", mas os registos de pacientes, a estratégia jurídica e os documentos de I&D frequentemente enquadram-se em proteções específicas do setor que se alinham com os requisitos de soberania.

SecNumCloud: o que a qualificação significa

O SecNumCloud é a qualificação de nuvem da ANSSI. Testa tanto a segurança técnica como a independência jurídica. O referencial 2022 v3.2, atualizado para v3.2bis com clarificações em 2023-2024, acrescentou critérios explícitos de imunidade: o capital do prestador, os seus contratos e a sua tomada de decisões devem ser estruturados de forma a que o direito não europeu não possa compelir a divulgação de dados. Na prática: maioria do capital europeu, entidades contratuais de direito europeu e controlo operacional europeu. Os prestadores qualificados em 2026 incluem a OVHcloud (Hosted Private Cloud), a Outscale, a Worldline, a Bleu (a joint venture Microsoft-Orange-Capgemini para o Azure soberano) e a S3NS (Thales-Google Cloud). A lista é curta porque o nível de exigência é elevado.

Alojamento de dados de saúde franceses: certificação HDS

Separado do SecNumCloud, o alojamento de dados de saúde em França exige a certificação HDS (Hébergeur de Données de Santé) ao abrigo do Artigo L1111-8 do Código de Saúde Pública. O HDS tem dois âmbitos — alojamento de infraestrutura e alojamento externalizado — e é auditado contra um referencial alinhado com a ISO 27001 e controlos específicos do setor. Qualquer serviço de transferência de ficheiros utilizado por hospitais, clínicas ou laboratórios médicos franceses que trate dados de saúde protegidos tem de ser certificado HDS ou funcionar atrás de uma plataforma certificada HDS. A lista de anfitriões certificados é pública no sítio da eSanté. O alojamento não-HDS de dados de saúde franceses é uma violação contratual e regulatória mesmo que os dados estejam encriptados.

Legislação francesa sobre retenção de dados e acesso pelas autoridades

As autoridades policiais francesas podem aceder a ficheiros alojados ao abrigo dos artigos de investigação digital do Código de Processo Penal, exigindo uma decisão judicial na maioria dos casos e uma base procedimental legítima. Para os serviços de informações, a Lei de 24 de julho de 2015 sobre informações de segurança permite interceções específicas com autorização prévia. Nenhum dos regimes se assemelha ao processo secreto de Carta de Segurança Nacional dos EUA ou FISA 702. O alojamento soberano francês significa que os seus dados ainda podem ser acedidos pelas autoridades francesas ao abrigo do direito francês com revisão judicial francesa — o que muitos compradores regulados franceses preferem aos regimes de divulgação estrangeiros sobre os quais não têm controlo.

Alternativas centradas na UE e Gaia-X

Para além dos prestadores puramente franceses, o ecossistema de nuvem europeu mais alargado oferece soberania através do quadro Gaia-X, que define critérios de dados e serviços federados, incluindo localização do prestador e termos contratuais. Os rótulos Gaia-X em diferentes níveis indicam a profundidade de conformidade. Prestadores como OVHcloud, Scaleway, IONOS, Hetzner e T-Systems participam. Para a transferência de ficheiros, a questão prática é se a infraestrutura do fornecedor — desde o backend de armazenamento ao CDN à observabilidade — assenta em prestadores de direito europeu ou se partes da pilha escapam para a esfera americana. Um serviço de transferência em AWS Paris com gestão de empresa-mãe americana não cumpre os critérios de soberania SecNumCloud.

Extraterritorialidade e o CLOUD Act na prática

O US CLOUD Act autoriza o governo dos EUA a solicitar dados armazenados a prestadores de serviços americanos independentemente de onde residem os dados. Em 2023 e 2024, várias decisões de aprovisionamento francesas de alto perfil excluíram explicitamente as nuvens de controlo americano mesmo quando essas nuvens ofereciam regiões exclusivamente na UE. O raciocínio jurídico: a encriptação em repouso não bloqueia a divulgação se o prestador controlar as chaves. Um serviço de transferência de ficheiros de nível soberano detém as chaves exclusivamente sob entidades europeias ou, melhor ainda, utiliza encriptação ponta a ponta para que o prestador não tenha texto simples a divulgar mesmo sob compulsão.

Linguagem de aprovisionamento que aplica a soberania

Os compradores públicos franceses incluem cada vez mais a soberania nos cadernos de encargos com cláusulas específicas. Redação típica: o prestador deve ser qualificado SecNumCloud, os dados devem permanecer em território francês ou da UE, o operador e os seus sub-processadores devem ser regidos pelo direito da UE, e não pode ocorrer acesso por autoridades não-UE ao abrigo de lei estrangeira. Penalidades aplicáveis associam-se às violações. As empresas privadas em setores regulados (banca, seguros, defesa) estão a adotar modelos similares. Mesmo fora dos setores regulados, a Lei de Informações francesa de 2023 e os anúncios de estratégia industrial de 2024 tornaram a soberania um tema de nível de conselho de administração.

Implicações para as escolhas de transferência de ficheiros

Para as entidades francesas que tratam dados sensíveis, a árvore de decisão em 2026 é: os dados estão sujeitos a regras específicas do setor (saúde, defesa, administração pública)? Escolha qualificado SecNumCloud ou certificado HDS. Os dados são sensíveis mas não regulados? Escolha um prestador de direito da UE, alojado na UE, com compromissos contratuais sólidos. Os dados têm baixa sensibilidade? As ferramentas conformes com o RGPD e alojadas na UE funcionam. Em todos os casos, a postura de encriptação importa: a encriptação ponta a ponta do lado do cliente neutraliza muitos riscos de divulgação porque o prestador literalmente não pode ler o ficheiro. As ferramentas que dependem de encriptação do lado do prestador oferecem menos soberania mesmo que funcionem em infraestrutura francesa.

O HexaTransfer encripta ficheiros no browser com AES-256-GCM antes do carregamento, pelo que o texto cifrado que reside em infraestrutura da UE não é legível pelo serviço nem por qualquer parte sem o fragmento de ligação. Experimente em hexatransfer.com — gratuito, sem conta, até 10 GB.

A soberania digital francesa não é isolacionismo. É um conjunto de controlos jurídicos e técnicos concretos que tornam a divulgação de dados gerível ao abrigo do direito francês ou europeu. Para o alojamento de ficheiros, a pilha correta combina um prestador qualificado para as cargas de trabalho reguladas, encriptação do lado do cliente para tudo o resto e contratos que nomeiam a jurisdição francesa ou da UE. Qualquer coisa aquém disso deixa uma lacuna por onde uma autoridade estrangeira determinada pode passar.