Atualização editorial em : atribuições, limites e orientações corrigidos com fontes; a data da publicação original foi preservada.

Uma avaliação de soberania precisa separar o local dos dados, o controle operacional e as condições de acesso. Nenhuma dessas perguntas é resolvida apenas pelo nome comercial de uma nuvem. Também não há evidência aqui para afirmar que a separação anunciada pela AWS seja uma fachada.

Declarações técnicas e alcance jurídico

No anúncio de 14 de janeiro de 2026, a AWS descreve infraestrutura separada e controles de residência de dados na União Europeia. O texto informa operação por residentes na UE, com transição para cidadãos da UE, e remete a compromissos contratuais adicionais. São declarações do fornecedor: este artigo não verificou sua execução nem auditou contratos ou controles internos.

As Diretrizes 02/2024 do EDPB, versão 2.1, tratam de pedidos diretos de autoridades de países terceiros a entidades na UE. Nos parágrafos 9 a 11, esclarecem que um pedido estrangeiro não constitui, por si só, base legal para tratamento ou fundamento para transferência. O documento distingue reconhecimento da decisão estrangeira das condições de uma transferência lícita. O parágrafo 8 separa ainda o cenário de pedido à matriz fora da UE seguido de solicitação à subsidiária. Isso não é uma decisão sobre um pedido concreto à AWS.

Ficha de evidências para a avaliação

Esta ficha é uma proposta de organização do trabalho entre arquitetura, segurança e assessoria jurídica. Não determina qual legislação prevalece nem autoriza uma transferência.

  • Objeto da exigência: qual conjunto de dados está em análise? Inclua conteúdo, registros operacionais, cópias e dados enviados ao suporte, sem presumir que têm o mesmo tratamento.
  • Capacidade técnica: quem consegue ler, exportar ou alterar esse conjunto? Registre identidades privilegiadas, responsáveis por chaves e caminhos de suporte. Peça evidência específica do serviço e da configuração contratados.
  • Compromisso contratual: qual entidade presta o serviço e qual documento estabelece cada obrigação? Anote versão, data, escopo e exceções para a equipe jurídica avaliar.
  • Processo para solicitações: quem recebe um pedido, quem o avalia e quais registros podem demonstrar como foi tratado? A existência de um procedimento deve ser distinguida de sua execução comprovada.
  • Conclusão rastreável: separe o que foi documentado, o que foi testado em ambiente autorizado e o que continua sem resposta. A ausência de evidência não deve virar aprovação automática nem acusação de acesso indevido.

Um registro útil associa cada requisito a um documento ou teste, um responsável pela análise e uma pendência explícita. Assim, uma mudança no contrato ou no serviço permite identificar o que precisa ser reavaliado.

A revisão de integração e governança complementa esta ficha com dependências da aplicação, identidades e fluxos de migração.

Não é parecer jurídico, auditoria independente ou recomendação de contratação. Não conclui imunidade a solicitações governamentais nem acesso inevitável aos dados. A versão anterior especulava sobre meios de contornar controles sem demonstrá-los; essa alegação foi retirada. A decisão para uma organização exige análise especializada dos fatos e contratos aplicáveis.