Autoridade Europeia para a Proteção de Dados lança investigação à AWS e Azure

A Autoridade Europeia para a Proteção de Dados (AEPD), que controla as leis de privacidade da UE, lançou uma investigação com o fim de examinar o cumprimento das leis de tratamento de dados pessoais, ao abrigo do RGPD e do acórdão Schrems II. O acórdão, publicado a 16 de julho de 2020, foi uma decisão do Tribunal de Justiça da UE (TJUE) e introduziu novos obstáculos à transferência de dados entre a UE e os EUA, sede da Amazon e da Microsoft. A AEPD está a apurar também se o uso do Microsoft Office 365 por parte da Comissão Europeia vai de encontro às leis de privacidade.

O Schrems II reconhece que as leis de proteção de dados dos EUA não são compatíveis com as leis estritas vigentes no RGPD, ou seja, sem uma supervisão mais cautelosa, a privacidade dos cidadãos europeus poderá estar a ser violada. Sob a lei norte-americana, as autoridades têm autorização de acesso aos serviços de armazenamento com informações privadas de todos os cidadãos e instituições, mesmo sem nacionalidade norte-americana. Sob o acórdão, a UE só permite a exportação de dados se os EUA garantirem o mesmo nível de proteção da UE. 

Para evitar eventuais incumprimentos do RGPD, o TJUE tornou obrigatória a celebração de Cláusulas Contratuais Gerais (CCG), por cada transferência de dados. No entanto, por vezes os CCG não são suficientes para verificar a legitimidade de cada transferência, sendo necessário um cuidado extra por parte da entidade reguladora. "Nós identificámos certos tipos de contratos que requerem uma particular atenção e foi por isso que decidimos lançar estas duas investigações”, anunciou Wojciech Wiewiórowski, supervisor da Autoridade Europeia para a Proteção de Dados. Wiewiórowski vai examinar em particular os contratos CLOUD II, que vinculam a UE à Amazon e à Microsoft.

Em declarações à ZDNet, um porta-voz da Microsoft disse "vamos apoiar ativamente as instituições da UE, respondendo às questões levantadas pela AEPD e estamos confiantes para falar prontamente sobre todas as preocupações”. Já a Amazon não se quis manifestar. 

“Não é só sobre a lei, é também uma questão de ética. (…) Se (as corporações) não cumprirem as regras, a privacidade de cada um nunca vai ser protegida”, explica Subhajit Basu, professor associado de Direito das Tecnologias da Informação da Universidade de Leeds, ao ZDNet.

A maioria dos governantes e das instituições europeias utilizam serviços Cloud sediados do outro lado do Atlântico. Como tal, a UE está a desenvolver um serviço Cloud, chamado GAIA-X, de acordo com o RGPD, mas a evolução do projeto está a ser demorada. "Hoje, o mundo inteiro está na Cloud e isto revela a importância da infraestrutura”, esclarece Basu e acrescenta “surpreende-me que tenha demorado tanto tempo à AEPD para lançar uma investigação” porque “isto é bom para os cidadãos da UE, mas era necessário tê-lo feito mais cedo”.