Pelo CLOUD Act americano, um fornecedor sujeito à jurisdição dos Estados Unidos pode ser obrigado, por ordem legal americana, a entregar os dados que estejam em sua posse, custódia ou controle, mesmo quando esses dados estiverem armazenados fora dos Estados Unidos. A obrigação recai sobre o fornecedor, e não sobre a localização do servidor.
A residência dos dados diz onde estão os prontuários. A soberania dos dados diz quais autoridades podem determinar a entrega deles. Por isso um data center no país resolve a primeira questão e deixa a segunda em aberto. Tratando-se de dados referentes à saúde, que o art. 5º da LGPD classifica como dado pessoal sensível, a segunda pesa mais. É dela que trata o que vem a seguir.
Em uma implantação de VDI a cadeia costuma ter vários elos: o fabricante do software, o parceiro que hospeda a infraestrutura, a nuvem subjacente, o prestador de suporte. Com cada um deles há um contrato envolvido, e um contrato de tratamento de dados costuma fixar finalidades, medidas de segurança, confidencialidade e comunicação de incidentes.
O que ele não registra é o país onde cada sociedade está constituída, a que ordenamento ela responde, nem se uma autoridade estranha ao contrato pode obrigá-la a entregar o que detém.
O que o regime de transferência internacional alcança
Parte dessa avaliação já é formalizada no Brasil. O art. 33 da LGPD só permite a transferência internacional de dados pessoais em hipóteses determinadas, e as cláusulas-padrão contratuais aprovadas pela ANPD chegam perto da pergunta: exigem que o importador assegure não haver, em seu país, lei que o impeça de cumprir o que assinou, e que notifique os pedidos de acesso vindos de autoridades. É o que existe de mais próximo. Só que essas obrigações alcançam o importador que recebe uma transferência, e não todo fornecedor da cadeia, e só valem onde há transferência. Uma implantação que mantém os dados no país, enquanto o fornecedor ou parte da sua cadeia de suporte está no exterior, pode não acionar nada disso.
Onde isso entra em uma avaliação de VDI
Daí decorrem três consequências. A primeira é uma boa notícia. As outras duas continuam valendo quando uma decisão parece ter encerrado o assunto.
- Os contratos já existem. O lugar onde registrar a jurisdição é esse mesmo conjunto de contratos. Um campo a mais, não um projeto novo.
- A custódia das chaves é uma pergunta à parte. Determine, para cada elo da cadeia, quem detém as chaves. É uma questão de ordenamento aplicável, e não apenas de segurança.
- Uma implantação on-premises não encerra a questão sozinha. Atualizações, verificações de licença, dados de diagnóstico e suporte remoto podem tirar informação do ambiente. Exija que se identifique por escrito o destinatário de cada um desses canais e a jurisdição que o rege.
Reunimos cinco perguntas para testar a cadeia de entrega de um fornecedor, Elas abrangem as pessoas jurídicas envolvidas, o alcance real de cada parte e a forma como um fornecedor responde a uma ordem de autoridade. Estão redigidas para entrar como estão em um edital ou em uma concorrência.
Onde a Inuvika se situa
Esta é a nossa posição diante dessas perguntas.
Contratamos a partir do Canadá ou do Reino Unido e não estamos sujeitos à jurisdição dos Estados Unidos. Para clientes estabelecidos na União Europeia, nossas condições contratuais se regem pelo ordenamento da Irlanda. Isso cobre a nossa própria sociedade. O restante da cadeia depende do seu modelo de implantação.
Em uma implantação on-premises, o OVD Enterprise não coleta nenhum dado de cliente (exceto as informações voluntárias sobre o vencimento da assinatura e os números totais de uso). Isso reduz consideravelmente o que poderíamos vir a ter de entregar. Quando uma implantação precisa ir além, o OVD Enterprise pode operar em ambiente totalmente “air-gapped”. E se você preferir consumir o serviço em modo gerenciado, nós o entregamos por meio de parceiros de hospedagem locais e independentes, no seu país, e não por meio de um único prestador global.
O OVD Enterprise é baseado em Linux, entrega aplicativos e desktops Windows e Linux em qualquer dispositivo e funciona de forma independente do hipervisor e da nuvem, com qualquer diretório Active Directory ou LDAP. Para este assunto isso importa por um motivo: a cadeia continua sendo um conjunto de decisões que você toma, e não uma pegada jurídica que você herda.
A Genomics England nos escolheu para entregar o ambiente seguro de aplicativos e desktops virtualizados do 100,000 Genomes Project. A Canadian Health Systems entrega aplicativos como serviço a consultórios médicos. A Droguería DelSud, maior distribuidora do setor de saúde da Argentina, levou sua rede de parceiros do acesso por VPN tradicional para espaços de trabalho virtuais seguros.
As perguntas acima merecem ser feitas a todos os fornecedores de uma lista curta, nós inclusive. Veja como entregamos desktops virtuais no setor de saúde.
Perguntas frequentes
O contrato com o fornecedor resolve a questão da soberania dos dados?
Não. Ele regula o que o fornecedor pode fazer com os dados. A que ordenamento esse fornecedor responde é um fato distinto, e precisa estar registrado por escrito em vez de ser deduzido do contrato.
A LGPD obriga a examinar onde o fornecedor está estabelecido?
Não como obrigação autônoma. A questão aparece de outra forma, na transferência internacional: o art. 33 condiciona a saída dos dados do país, e a ANPD aprovou cláusulas-padrão para isso. Esse caminho olha para o destino dos dados. A que ordenamento o fornecedor responde é a versão mais precisa da mesma pergunta.
E se hospedarmos tudo no país?
Resolve a residência. A jurisdição depende de quem é o fornecedor, e não de onde está o servidor, de modo que um fornecedor sujeito a um ordenamento estrangeiro continua sujeito a ele mesmo que os dados não saiam do país. Vale verificar também quais canais de atualização, licença e suporte cruzam a fronteira.