A maioria das PME portuguesas utiliza serviços na nuvem de gigantes americanos — como Microsoft 365, Google Workspace ou Amazon Web Services — sem saber que a base legal da transferência de dados EUA está mais frágil do que nunca. Na segunda-feira, o Supremo Tribunal dos Estados Unidos decidiu, no caso Trump v. Slaughter, que a Comissão Federal de Comércio (FTC) pode deixar de ser uma autoridade independente. E isso abala directamente o acordo que permite às empresas europeias enviarem dados pessoais para os EUA. Se a Comissão Europeia retirar a decisão de adequação, milhares de PME podem ficar em incumprimento do RGPD da noite para o dia.
A notícia, avançada pela organização de defesa da privacidade noyb, tem um número que impressiona: no actual acordo entre a UE e os EUA, a Comissão Europeia confia na independência da FTC 259 vezes. Ou seja, quase toda a arquitectura de supervisão depende de uma premissa que o Supremo americano acabou de demolir. Max Schrems, o activista que já derrubou dois acordos anteriores, já pediu à Comissão Europeia que retire a decisão de adequação. A carta enviada pela noyb detalha os fundamentos jurídicos e o risco iminente.
O que é e como funciona a transferência de dados EUA
Desde 1995, a União Europeia proíbe a exportação de dados pessoais para países terceiros, a menos que esses países ofereçam um nível de protecção equivalente ao europeu. Para muitos negócios, isso significa que não podem simplesmente guardar os dados dos clientes num servidor nos EUA sem salvaguardas adicionais. Durante anos, a solução foram acordos como o Safe Harbor e o Privacy Shield, ambos anulados pelo Tribunal de Justiça da União Europeia após queixas de Schrems.
O actual EU-US Data Privacy Framework (Quadro de Privacidade de Dados UE-EUA), adoptado em 2023, foi a terceira tentativa. A sua peça central é a supervisão independente da FTC sobre as empresas americanas que aderem ao acordo. A Comissão Europeia baseou a sua decisão de adequação na capacidade da FTC de investigar, sancionar e obrigar as empresas a cumprir as regras. Sem essa independência, o castelo de cartas desmorona.
O caso Trump v. Slaughter não é sobre protecção de dados — é sobre a autoridade do presidente para despedir membros de agências reguladoras. Mas o efeito colateral é directo: se a FTC deixar de ser independente, a UE perde a confiança de que os dados dos europeus estão protegidos. E sem confiança, não há acordo.
O que diferencia das alternativas
Até agora, a alternativa para as empresas que precisavam de transferir dados para os EUA eram as Cláusulas Contratuais-Tipo (SCC, na sigla inglesa). Contudo, mesmo essas cláusulas exigem uma avaliação de impacto e a verificação de que o país de destino oferece protecção adequada. Com a decisão do Supremo, essa avaliação torna-se ainda mais difícil de justificar.
O que torna este momento diferente é a rapidez com que a base legal pode desaparecer. Nos casos anteriores, houve longos processos judiciais. Agora, a decisão do Supremo é imediata e a noyb já pediu uma retirada urgente da decisão de adequação. Se a Comissão Europeia agir, as PME que dependem exclusivamente do Data Privacy Framework ficam sem rede.
O que isto significa para PMEs portuguesas
Para um director geral de uma PME portuguesa, o impacto pode parecer distante, mas é muito concreto. Se a sua empresa utiliza o Microsoft 365 para email e armazenamento, o Google Analytics para o site, ou o Salesforce para CRM, está a transferir dados pessoais para os EUA. Até agora, fazia-o ao abrigo do Data Privacy Framework. Se esse acordo cair, terá de encontrar outra base legal — e rapidamente.
As opções não são muitas. Pode migrar para fornecedores europeus, o que implica custos e tempo. Pode assinar SCC com cada fornecedor, mas isso exige uma análise jurídica que a maioria das PME não tem internamente. Uma consultoria estratégica especializada em RGPD pode ajudar a mapear os fluxos de dados e a identificar os riscos antes que se tornem multas. Para perceber melhor as obrigações, consulte o nosso guia sobre RGPD e privacidade de dados. E as multas, recorde-se, podem ir até 20 milhões de euros ou 4% do volume de negócios global.
Além disso, a Autoridade de Protecção de Dados em Portugal tem intensificado a fiscalização. Não se trata apenas de um risco teórico: já há empresas portuguesas a serem notificadas por transferências internacionais sem a devida fundamentação.
O erro que a maioria comete
O erro mais comum é assumir que, por se tratar de uma grande empresa americana, o fornecedor de cloud trata automaticamente da conformidade com o RGPD. A realidade é que a responsabilidade pela protecção dos dados é sempre do responsável pelo tratamento — ou seja, da sua empresa. Confiar cegamente no Data Privacy Framework sem monitorizar as decisões judiciais que o afectam é como construir uma casa sobre areia. A maioria das PME descobre o problema apenas quando recebe uma notificação da autoridade de controlo.
Riscos e limitações
Esta decisão do Supremo não significa que o acordo caiu amanhã. A Comissão Europeia ainda tem de se pronunciar, e há margem para negociação política. No entanto, o precedente é grave e a confiança está abalada. Para as PME, o risco principal é a incerteza: planear a conformidade quando as regras podem mudar a qualquer momento é um exercício de malabarismo. Além disso, as alternativas europeias ainda não cobrem todas as necessidades — em áreas como inteligência artificial ou big data, a dependência dos EUA é quase total. Quem opera em sectores regulados, como saúde ou finanças, deve agir com urgência redobrada.
Veredito Descomplicar®
Vale a pena começar já a auditar os fluxos de dados da sua empresa. Não espere pela decisão final da Comissão Europeia. Identifique que dados são transferidos para os EUA, com que fornecedores e com que base legal. Se possível, comece a testar alternativas europeias para os serviços críticos. A transferência de dados EUA não vai desaparecer, mas o caminho para a conformidade está prestes a ficar mais estreito. Como sempre, antecipar é mais barato do que remediar.
