Transferência Internacional de Dados: Hospedagem

Há limitações e condições na transferência de dados pessoais para o exterior, conforme determinam os arts. 33 a 36 da Lei nº 13.709/2018 (LGPD).

Os termos de uso e as políticas de privacidade de serviços de “computação em nuvem”, costumeiramente utilizados, não definem em qual país serão hospedados os dados pessoais. Uma alternativa, para o tratamento de dados pessoais no exterior, seria obter o consentimento do titular cujos dados estão sendo tratados nesses serviços, porém, nesse caso, seria um consentimento genérico (“pedir consentimento para tratar os dados em qualquer lugar fora do Brasil”) e o consentimento genérico é considerado nulo pela LGPD.

A ANPD  autorizou a transferência internacional de dados pessoais aos países da União Europeia em algumas circunstâncias, ou seja, autorizou o processamento e hospedagem de documentos com dados pessoais nesses países. Ademais, definiu cláusulas padrões para os termos de uso e contratos. 

Agora, cabe às organizações, que oferecem plataformas e serviços de computação em nuvem, adotar essas cláusulas em seus termos de uso ou oficializar os países onde hospedam e processam os documentos com dados pessoais.

No entanto, normalmente, os termos de uso e as políticas de privacidade de versões gratuitas de ferramentas de e-mail, hospedagem e de formulários não fornecem garantia que os dados não serão indexados para propaganda e nas versões educacionais somente há essa garantia para escolas de ensino médio e fundamental. Essa circunstância infringe o determinado na IN GSI/PR nº 05/2021 (norma indicada em auditorias):

Art. 19. O instrumento contratual a ser firmado… deve conter…, no mínimo, os seguintes procedimentos de segurança: (…)
III – proibição do uso de informações do órgão ou da entidade pelo provedor de serviço de nuvem para propaganda, otimização de mecanismos de inteligência artificial ou qualquer uso secundário não-autorizado;

O “termo de uso” é um contrato por adesão. Dessa forma, o uso dessas versões também contraria o determinado pela Política de Computação em Nuvem da UFRGS, que atende à IN GSI/PR nº 05/2021.

Ademais, pode ocorrer a comercialização dos dados colocados em plataformas de computação em nuvem (e-mail gratuito, hospedagem (drive) gratuito, …). Portanto, sugere-se consulta ao termo de uso e à política de privacidade da plataforma utilizada, antes da utilização. Pois, ao ser solicitado o preenchimento de formulário ou o envio de um e-mail em uma plataforma de nuvem, pode estar sendo permitida a comercialização desses dados por essa plataforma, por intermédio do compartilhamento de dados, com parceiros (comerciais) e afiliados da respectiva plataforma, ou da venda de serviços com os dados coletados. 

Adicionalmente, a NC nº 09/IN01/DSIC/GSIPR, indicada pela auditoria cíclica denominada PPSI, determina:

5.3 Toda informação sigilosa – classificada ou não -, independente do algoritmo de criptografia utilizado, somente poderá ser armazenada em centro de processamento de dados fornecido por órgãos e entidades da Administração Pública Federal, conforme legislação em vigor.

Há um rol exemplificativo de informações sigilosas disponível aqui.

­­O uso de plataformas de computação em nuvem, em inconformidade com a legislação vigente, pode repercutir na responsabilização solidária do decisor desse uso (art. 42, § 1º, III da LGPD), na eventualidade de uma denúncia ou de um incidente com os dados pessoais tratados nessas plataformas. Inclusive, esses incidentes são muito frequentes.

Nesse contexto, ­o endereço de e-mail com sufixo (domínio) “ufrgs.br” deve ser utilizado obrigatoriamente pelos agentes públicos (servidores, colaboradores e bolsistas) em atividades laborais, para tratar de assuntos relacionadas às suas atribuições funcionais na Universidade, devido à legislação pertinente a proteção de dados pessoais, computação em nuvem e proteção a denunciantes. Detalhes constam no art. 8º da Política de Uso de Ativos de Tecnologia da Informação da UFRGS.

Ademais, caso alguma plataforma de serviço “em nuvem” atenda ao supracitado, há as seguintes precauções a serem adotadas, devido ao determinado na PORTARIA SGD/MGI nº 852/2023: 

• 19.13 O órgão registra as transferências internacionais de dados pessoais realizadas conforme o Capítulo V da LGPD, incluindo quais dados pessoais foram divulgados e a quem?
• 27.2  O órgão identifica as transferências internacionais de dados pessoais realizadas conforme o Capítulo V da LGPD, incluindo quais dados pessoais foram divulgados, a quem, a que horas e com que finalidade? (detalhes aqui)

Alternativas:

Alternativamente, pode ser utilizado:

• LimeSurvey da UFRGS como alternativa ao Google Forms;
• Mconf da UFRGS como alternativa ao Google Meet ou Teams; 
• ChasqueBox da UFRGS como alternativa ao Google Drive; 
• Rede departamental (armazenamento de arquivos administrativos (DFS)) indicado para o trabalho colaborativo entre colegas de um mesmo departamento ou setor. Inclusive, o backup de arquivos relacionados ao trabalho na UFRGS deve ser realizado na rede departamental, detalhes constam em https://www.ufrgs.br/csi/teletrabalho; 
• Moodle Colaboração para o trabalho colaborativo de grupos de trabalhos, comissões, comitês e afins, pois costumam envolver colegas de diferentes departamentos e unidades; 
• SEI! apenas para documentos que fazem parte de um processo de trabalho predefinido e em tramitação na Universidade;
• Portal de Extensão da UFRGS para inscrição de candidatos e matrícula de alunos em cursos de extensão, em substituição ao Google Forms e Google Drive; 
• Em inscrições para processos seletivos de pós-graduações stricto sensu, utilizar o respectivo sistema da UFRGS como alternativa ao Google Drive e Google Forms; e
• Sistema de Agendamento de Recursos Compartilhados em substituição ao Google Forms ou Microsoft Forms.

Para esclarecimentos adicionais, sugere-se consulta ao Encarregado pelo Tratamento de Dados Pessoais na UFRGS, por intermédio do e-mail etdp@ufrgs.br.­

­­­­Links relacionados:

• Controles 19.13, 27.2 e 24.5 do PPSI – Programa de Privacidade e Segurança da Informação determinado pelo Ministério da Gestão e da Inovação em Serviços Públicos.
• Pacotes “education” do Google e da Microsoft não contemplam lei brasileira de proteção de dados.
• Aviso de privacidade do Google Workspace for Education (vide exceção apenas para escolas de ensino fundamental e médio).
• Política de privacidade do Microsoft 365 Education (vide exceção apenas para escolas de ensino fundamental e médio). 
• Precauções no teletrabalho.
• Vazamentos de dados em plataformas populares de computação em nuvem e em organizações que as utilizam.
• Limitações determinadas em termos de uso de ferramentas de inteligência artificial generativa (IAGen).