Onde reside um site: localização do servidor, RGPD e os limites do argumento UE

«Os nossos dados estão em Frankfurt» — frases como esta surgem cada vez com mais frequência nas propostas dos prestadores de serviços web. Mas o que significa realmente a localização de um centro de dados: para a velocidade de um site, para a proteção de dados, para a segurança jurídica? E onde acaba o efeito tranquilizador da expressão «servidor na UE»? Um enquadramento para as empresas que querem perceber o que estão afinal a comprar.

Transparência: este artigo é publicado como publicidade e vem do meio da BitBau, de Osnabrück (em alemão), uma agência web que explora os projetos dos clientes em infraestrutura no local de Frankfurt. O texto não é aconselhamento jurídico — pretende explicar as relações técnicas e jurídicas de modo a que se possam colocar ao prestador próprio as perguntas certas.

Primeiro, a técnica. Alojamento significa: algures está um computador que entrega o site assim que alguém o chama. Entre esse computador e o visitante estão fibra ótica, nós de comutação — e física. Os dados viajam depressa, mas não infinitamente depressa, e cada pedido faz o percurso de ida e volta várias vezes entre o navegador e o servidor. Quanto mais longe estiver o servidor, tanto mais percetivelmente se somam esses caminhos.

Para um público na Alemanha, na Áustria e na Suíça, Frankfurt não é por isso uma escolha ao acaso: a cidade alberga um dos nós de Internet mais importantes da Europa, é ali que as linhas convergem. Uma página alojada em Frankfurt responde aos visitantes do espaço de língua alemã simplesmente mais depressa do que a mesma página a partir da costa leste norte-americana. A diferença situa-se na ordem das décimas de segundo — o que soa inofensivo, mas ajuda a decidir a lentidão percecionada, as taxas de abandono e a avaliação pelos motores de busca.

As plataformas de alojamento modernas relativizam em parte a distância, distribuindo cópias do site por servidores em todo o mundo. Para a mera entrega de páginas, isso funciona bem. Mas assim que são processados pedidos individuais — um formulário, uma autenticação, uma reserva —, o pedido tem de ir até onde o processamento propriamente dito acontece. E chegámos assim ao segundo tema, mais pesado: onde são tratados os dados, e segundo que direito?

Antes de esta pergunta poder ser respondida, vale a pena olhar para tudo aquilo que «o site» abrange no sentido técnico. É que à presença pertence mais do que o servidor web: uma base de dados, onde ficam os conteúdos e as submissões dos formulários; cópias de segurança, que podem estar guardadas noutro lugar que não o original; ficheiros de registo, que retêm quem chamou o quê e quando; o serviço que entrega as submissões dos formulários por e-mail; possivelmente uma ferramenta de monitorização de erros. Cada um destes componentes pode correr num fornecedor diferente, numa região do mundo diferente — e sobre cada um se pode colocar em separado a questão da localização. Não é por isso uma pergunta única, mas um pequeno inventário da presença própria.

É que um site sem dados pessoais praticamente não existe. Já a simples visita a uma página transmite o endereço IP do visitante, que segundo o entendimento europeu conta como dado pessoal; a isso juntam-se os registos do servidor, as submissões dos formulários, os cookies, os serviços incorporados. O Regulamento Geral sobre a Proteção de Dados responsabiliza por isso quem explora o site — não quem o aloja. O prestador trata os dados, juridicamente, por conta dele, o que fica fixado num contrato de subcontratação.

Este contrato não é uma formalidade, mas o documento central da relação entre quem explora o site e o prestador. Regula habitualmente que dados são tratados e para que fim, que o prestador atua apenas por instrução, que subcontratantes pode utilizar, como os dados são apagados no fim do contrato e como apoia quem explora o site quando os titulares pedem acesso ou eliminação. As grandes plataformas disponibilizam contratos destes de forma padronizada — mas com o clique não fica tudo feito: quem explora o site deve efetivamente obter o documento, arquivá-lo e saber o que está lá dentro. É que, em caso de dúvida, tem de ser ele próprio a poder demonstrar que o tratamento está ordenadamente acordado.

Complica-se assim que os dados saem da UE. O RGPD só permite transferências para países terceiros sob condições especiais, e não há país terceiro por que se lute com tanta intensidade como pelos Estados Unidos. Por duas vezes já o Tribunal de Justiça da União Europeia derrubou acordos que deviam assegurar o tráfego de dados através do Atlântico — a última em 2020, na decisão que ficou conhecida como «Schrems II». Desde 2023 vale, com o EU-US Data Privacy Framework, a terceira tentativa: as empresas norte-americanas que se certifiquem ao seu abrigo contam como destinatários admissíveis.

Honestamente, a isso pertence acrescentar: também esta terceira tentativa está a ser atacada nos tribunais, e ninguém pode garantir que se mantenha de forma duradoura. Para as empresas, isso não significa pânico, mas prevenção. Os contratos com os prestadores deveriam prever, além do enquadramento, também as clássicas cláusulas contratuais-tipo, para que, num novo tombo, não falte da noite para o dia a base jurídica. Quem compra infraestrutura hoje compra junto a questão de saber quão resistente a crises é a sua base jurídica.

Chegados a este ponto, coloca-se a muitas empresas a questão de fundo: fornecedor europeu ou plataforma norte-americana com local europeu? Ambos são defensáveis, e ambos têm o seu preço. Um alojador com sede na Alemanha ou na UE simplifica visivelmente a situação jurídica — em contrapartida, fica mais trabalho de operação do lado do prestador ou da própria empresa: as atualizações, o escalamento e os processos de publicação querem ser organizados, e a integração técnica dos frameworks modernos nem sempre é tão estreita como junto das plataformas especializadas. Os grandes fornecedores norte-americanos tiram precisamente esse trabalho das mãos, mas trazem consigo as questões de transferência descritas. Importante é menos que resposta a empresa escolhe do que escolher conscientemente, registar a ponderação — e poder fundamentá-la quando lhe perguntarem.

Perante este pano de fundo, torna-se claro o que um local de servidor na UE consegue — e o que não consegue. Assegura que o tratamento corrente acontece fisicamente na Europa, encurta os caminhos e simplifica consideravelmente a argumentação em matéria de proteção de dados. Mas não faz de um fornecedor norte-americano uma empresa europeia: se uma casa-mãe americana explora a plataforma, ficam perguntas — por exemplo, a muito discutida questão de saber se as autoridades norte-americanas podem, em certas circunstâncias, exigir a entrega de dados que estão fisicamente na Europa. Este debate jurídico não está encerrado. Sério é nomeá-lo, em vez de o afastar com um sorriso.

Como se lida com isto na prática? Isso deixa-se mostrar com o exemplo da agência por detrás deste artigo. A BitBau explora os projetos dos clientes em infraestrutura da Vercel no local de Frankfurt. A ponderação por detrás disto é típica de muitos projetos digitais: a plataforma está tecnicamente talhada de perto para o framework utilizado e tira muito trabalho de operação a quem explora o site; o local de Frankfurt mantém a latência e o tratamento corrente de dados no espaço europeu. Ao mesmo tempo, a Vercel é uma empresa norte-americana — razão pela qual o contrato de subcontratação, a certificação ao abrigo do Data Privacy Framework e as cláusulas contratuais-tipo pertencem ao programa obrigatório, e não ao facultativo. Um local na UE não substitui estes trabalhos de casa; complementa-os.

É esta honestidade que distingue o aconselhamento sustentado da fraude no rótulo. «Servidor na Alemanha» é um argumento, não um salvo-conduto: um site pode estar alojado em Frankfurt e ter ainda assim problemas de proteção de dados — por exemplo, se carregar tipos de letra, vídeos ou ferramentas de análise a partir de servidores de terceiros que transmitem dados dos visitantes por todo o mundo. Os tribunais alemães já censuraram o facto de a mera incorporação de tipos de letra carregados a partir de servidores norte-americanos transmitir sem consentimento o endereço IP dos visitantes. A corrente é tão forte quanto o seu elo mais fraco.

Por isso vale a pena olhar para o site inteiro, não apenas para o alojador. Que serviços de terceiros estão incorporados — serviços de mapas, tipos de letra, vídeos, estatísticas? Os tipos de letra deixam-se entregar localmente a partir do servidor próprio, em vez de servidores alheios? É mesmo precisa a ferramenta de análise externa, ou basta uma alternativa parcimoniosa em dados? Na prática, perguntas destas decidem com mais frequência a qualidade de proteção de dados de um site do que a escolha do centro de dados.

Ao cuidado pertence, por fim, que a situação no papel acompanhe a realidade. Se o alojador mudar, se surgir uma ferramenta de análise ou se um serviço desaparecer, a política de privacidade tem de refletir isso — uma declaração que enumera serviços há muito desligados, ou que silencia os novos, é mais do que um defeito estético. O mesmo vale para a documentação interna dos tratamentos, que deveria estar tão atualizada como o próprio site. Isto não é uma tarefa de projeto única para a entrada em linha, mas manutenção corrente — e, ao mesmo tempo, uma boa ocasião para questionar de fundo, uma vez por ano, o conjunto de serviços de terceiros: o que disto ainda é realmente preciso, e o que apenas continua a correr porque nunca ninguém o removeu?

Para a conversa com o prestador próprio basta então um catálogo curto. Existe um contrato de subcontratação, e a empresa tem-no efetivamente na sua posse? Em que região são tratados o site, a base de dados e as cópias de segurança — e isso está fixado contratualmente ou é apenas uma predefinição? Que subcontratantes estão envolvidos e onde se situam? Em que base jurídica se apoiam as transferências para países terceiros? E, por fim: quem avisa dentro de que prazo, se alguma coisa correr mal?

Quem obtiver respostas claras a estas perguntas trabalha com um prestador que leva o seu ofício a sério. As respostas evasivas — «disso trata o alojador», «está tudo certificado» — são, pelo contrário, um sinal de alarme, porque o responsável continua a ser, no fim, quem explora o site. A proteção de dados pode delegar-se como a contabilidade: podem contratar-se especialistas, mas a responsabilidade não se entrega.

Isso vale, aliás, independentemente da dimensão do projeto. Também quem explora o seu site com um construtor online tem um fornecedor de alojamento — apenas não o escolheu conscientemente, porque vem incluído no pacote. As perguntas mantêm-se as mesmas: onde trata o fornecedor os dados, existe um contrato de subcontratação, que subcontratantes estão envolvidos? A diferença é apenas que as respostas estão nos documentos contratuais do fornecedor do construtor, em vez de num contrato negociado individualmente. Lê-las, deve-se em ambos os casos — a responsabilidade de quem explora o site não encolhe com o preço mensal.

Fica a pergunta de partida: conta a localização? Sim — e a triplicar. Tecnicamente, porque a proximidade significa velocidade e a velocidade decide a utilização. Juridicamente, porque o tratamento no espaço jurídico europeu simplifica a argumentação e reduz a dependência de frágeis acordos transatlânticos. E como sinal, porque um prestador que fala abertamente sobre locais, contratos e casos-limite trabalha provavelmente com rigor também no resto. Só uma coisa a localização nunca é: um substituto dos trabalhos de casa próprios — uso parcimonioso de serviços de terceiros, contratos limpos e uma política de privacidade que descreve o que acontece de facto.