Quando o fornecedor tem de desligar: risco de jurisdição no gestor de palavras-passe

A disponibilidade não está garantida: um exemplo atual

Em junho de 2026, tornou-se palpável algo que parece abstrato: uma ordem de controlo de exportações do governo dos EUA obrigou o fornecedor de AI Anthropic a suspender o acesso a dois dos seus modelos mais avançados para cidadãos estrangeiros – independentemente de se encontrarem dentro ou fora dos EUA. Como a nacionalidade dos utilizadores não podia ser verificada de forma fiável em tempo real, o fornecedor desligou preventivamente os modelos afetados para todos os clientes. Em poucas horas, um produto antes livremente disponível deixou de poder ser utilizado – independentemente de contratos em vigor, subscrições pagas ou da localização física dos utilizadores.

O caso é instrutivo por uma razão: não se tratou de uma falha técnica, mas de uma decisão regulatória. Um compromisso contratual de disponibilidade (SLA) não protege contra isto – se um fornecedor tiver de cumprir uma ordem de uma autoridade, essa ordem prevalece sobre o compromisso contratual. Para serviços não críticos, é um incómodo suportável. Para infraestrutura crítica para o negócio, é um risco que deve fazer parte da decisão de arquitetura.

Duas dimensões do risco de jurisdição

Quem confia dados ou serviços a um fornecedor sujeito a uma ordem jurídica estrangeira assume dois riscos diferentes:

• Acesso: as autoridades do país em causa podem, em determinadas circunstâncias, obrigar o fornecedor a entregar dados – mesmo quando os dados estão fisicamente armazenados na Europa.
• Disponibilidade: sanções, controlos de exportação ou outras ordens soberanas podem obrigar o fornecedor a interromper um serviço para determinados grupos de utilizadores ou regiões.

Ambos os riscos são independentes da qualidade técnica do serviço ou da situação contratual. Resultam apenas da questão de saber a que ordem jurídica o fornecedor está sujeito.

Porque isto pesa especialmente no gestor de palavras-passe

Um gestor de palavras-passe não é um serviço comum. Contém os dados de acesso a praticamente todos os outros sistemas de uma empresa – desde a conta de e-mail, passando por servidores e serviços Cloud, até à contabilidade. Quem compromete ou desliga este cofre central alcança indiretamente tudo o resto.

Isto altera a avaliação do risco: em muitas aplicações, a ponderação pode favorecer a comodidade da Cloud. No cofre das chaves-mestras da empresa, porém, o controlo do acesso e da disponibilidade está no topo. Aqui, um risco de jurisdição não afeta um único sistema, mas potencialmente toda a TI.

O contexto jurídico

O risco de jurisdição em fornecedores sujeitos a uma ordem jurídica estrangeira não é uma construção teórica, mas está previsto em leis concretas. Não se limita aos EUA – existem regras comparáveis noutros Estados –, mas para o mercado europeu são sobretudo relevantes três pontos:

• CLOUD Act (EUA, 2018): obriga fornecedores de serviços de comunicação eletrónica ou de remote computing sob jurisdição dos EUA a divulgar dados na sua posse, custódia ou controlo – independentemente de estarem armazenados dentro ou fora dos EUA. Um centro de dados europeu de um fornecedor norte-americano, por isso, não exclui necessariamente o acesso.
• Regras de acesso dos serviços de informação: competências como FISA Section 702 dizem respeito, em determinadas condições, à recolha direcionada de comunicações de pessoas não americanas fora dos EUA através de serviços de comunicação norte-americanos. O alcance e o estatuto jurídico de tais competências devem ser avaliados separadamente para o serviço concreto.
• Transferência para países terceiros ao abrigo do RGPD: quem transfere dados pessoais para fornecedores em países terceiros ou os faz tratar aí deve cumprir o art. 44.º e seguintes do RGPD. O EU-US Data Privacy Framework cria desde 2023 uma base para organizações norte-americanas certificadas, mas não substitui a avaliação de risco e do fornecedor para dados particularmente sensíveis.

Estas regras não tornam os serviços Cloud genericamente inadmissíveis. Mas deslocam parte do controlo para fora da empresa – e precisamente esse controlo é especialmente valioso nos dados de acesso.

O que significa concretamente soberania digital

A soberania digital é facilmente mal interpretada como uma palavra de ordem política. Na prática significa simplesmente: a empresa mantém o controlo sobre as três perguntas que contam em caso crítico.

• Local: onde estão os dados, física e logicamente?
• Acesso: quem pode aceder aos dados – e quem pode ser obrigado a conceder acesso?
• Disponibilidade: quem decide se o serviço continua a funcionar?

Soberania não significa renunciar por princípio aos serviços Cloud. Significa não entregar a resposta a estas três perguntas para a camada mais sensível – os dados de acesso.

On-Premises como resposta de arquitetura

A resposta óbvia ao risco de jurisdição é manter o controlo da camada crítica dentro da empresa. Um gestor de palavras-passe On-Premises mantém as bases de dados encriptadas, a gestão de utilizadores e os registos totalmente em infraestrutura que a própria empresa controla.

Aqui compensa fazer uma distinção clara, porque na operação própria o fornecedor do gestor de palavras-passe deixa sempre de existir como ponto externo de entrega ou desligamento – a questão restante é apenas a infraestrutura:

• Centro de dados próprio: cofre, chaves, backups e operação ficam inteiramente nas suas mãos. Aqui a soberania digital é mais ampla – não existe nem um serviço externo de gestor de palavras-passe nem um operador externo de infraestrutura que possa ser obrigado a conceder acesso ou a desligar.
• Private Cloud ou Azure-Tenant próprio: também aqui nenhum fabricante opera o serviço de gestor de palavras-passe. No entanto, entra em cena um operador de infraestrutura – se este estiver sujeito a uma ordem jurídica estrangeira, o seu risco de jurisdição deve ser avaliado separadamente. O risco do fornecedor do gestor de palavras-passe desaparece, o risco de hosting permanece.

Para controlo máximo, a operação no centro de dados próprio é, portanto, a escolha mais clara. A avaliação de proteção de dados simplifica-se em ambos os casos, porque o fornecedor do gestor de palavras-passe não gera transferência para países terceiros – detalhes no artigo Gestor de palavras-passe RGPD para empresas.

Soberania por modelo operacional em comparação

Os gestores de palavras-passe Cloud não são inseguros por si só – para organizações sem infraestrutura própria e sem requisitos especiais de soberania podem ser uma escolha adequada. A pergunta não é “bom ou mau”, mas: quem deve decidir, em caso crítico, sobre o acesso e a disponibilidade dos dados mais sensíveis?

Em suma: onde o controlo sobre acesso e disponibilidade é decisivo, a operação própria é a escolha consequente – não porque a Cloud esteja excluída por princípio, mas porque os dados de acesso são a única camada em que se deve manter o controlo.

Password Depot: soberania dos dados como princípio

O Password Depot Enterprise Server foi construído de forma consequente para operar no seu ambiente e não impõe qualquer serviço Cloud externo – a soberania dos dados permanece totalmente consigo. Também o fabricante é decisivo para a questão da soberania: Password Depot é desenvolvido pela AceBIT GmbH, com sede em Darmstadt – uma empresa alemã sujeita à ordem jurídica alemã e europeia. Desenvolvido desde 1998, em uso por mais de 100 000 clientes.

• Operação na sua infraestrutura: On-Premises no centro de dados próprio, numa Private Cloud junto do parceiro de hosting da sua escolha ou no Azure-Tenant próprio – as bases de dados encriptadas não saem da área de responsabilidade escolhida por si.
• Fabricante sob direito da UE: sendo uma empresa alemã, a AceBIT não está sujeita ao US CLOUD Act. Se utilizar infraestrutura externa, o respetivo operador deve ser avaliado separadamente – a escolha é sua.
• Arquitetura de segurança verificável: AES-256 (algoritmo segundo FIPS 197) e TLS 1.3, um teste de penetração SySS para Password Depot 19 (12/2025) com o resultado “não foram detetadas vulnerabilidades de segurança graves”, bem como um ISMS da AceBIT GmbH certificado segundo ISO/IEC 27001:2022 pela TÜV NORD CERT.
• Operável em conformidade com o RGPD: como os dados permanecem, na operação própria, na infraestrutura escolhida por si, o gestor de palavras-passe não gera transferência para países terceiros; funções, registo e encriptação apoiam as medidas técnicas e organizativas nos termos do art. 32.º do RGPD. A conformidade concreta depende ainda da sua configuração e dos seus processos. Todas as provas estão no Trust Center.

Assim, a alegada desvantagem da operação própria transforma-se numa vantagem estratégica: Password Depot é o modelo operacional em que nenhum serviço de fabricante externo decide sobre o acesso às suas chaves-mestras ou sobre a disponibilidade do seu cofre.

Conclusão: soberania é uma decisão de arquitetura

A disponibilidade e a proteção de acesso não podem ser garantidas apenas por contrato se a cadeia subjacente de fornecedor ou infraestrutura estiver sujeita a uma ordem jurídica estrangeira – o exemplo de junho de 2026 demonstra-o claramente. Para a maioria dos sistemas, esta dependência é aceitável. Para o gestor de palavras-passe que guarda as chaves de tudo o resto, não é. Quem pretende manter o controlo sobre local, acesso e disponibilidade deve tomar essa decisão ao nível da arquitetura – através de operação própria sob controlo próprio e com um fabricante sujeito à ordem jurídica europeia.

Comprove no seu próprio ambiente: teste o Enterprise Server gratuitamente durante 30 dias, veja a solução numa demonstração ao vivo ou solicite uma proposta sem compromisso para o seu número de utilizadores.

Perguntas frequentes sobre soberania digital

O que significa soberania digital na gestão de palavras-passe?

Significa que a empresa mantém o controlo sobre três perguntas: onde estão os dados de acesso, quem pode aceder a eles e quem decide sobre a disponibilidade do serviço. Numa operação própria no centro de dados próprio, as três respostas ficam com a própria empresa.

O que é o CLOUD Act – e as empresas alemãs são afetadas?

O CLOUD Act (EUA, 2018) obriga fornecedores de serviços de comunicação eletrónica ou remote computing sob jurisdição dos EUA a divulgar dados sob a sua custódia ou controlo – independentemente do local físico de armazenamento. Para empresas alemãs, isto pode tornar-se relevante se utilizarem esses fornecedores para gerir dados sensíveis, mesmo que os dados se encontrem num centro de dados europeu.

Um centro de dados europeu de um fornecedor norte-americano protege contra o acesso?

Não necessariamente. O decisivo não é apenas onde os dados estão armazenados, mas também a que ordem jurídica o fornecedor está sujeito. Se o fornecedor estiver sujeito ao direito dos EUA, uma obrigação de entrega pode também afetar dados armazenados fora dos EUA.

Os gestores de palavras-passe Cloud são por isso fundamentalmente inseguros?

Não. Não se trata da segurança técnica da encriptação, mas do controlo sobre acesso e disponibilidade. Para organizações sem requisitos especiais de soberania, as soluções Cloud podem ser adequadas. Nos dados de acesso – a camada que desbloqueia todos os outros sistemas – a ponderação tende, porém, muitas vezes a favorecer o controlo próprio.

Como é que a operação On-Premises protege contra o risco de jurisdição?

Na operação própria não existe um serviço externo de gestor de palavras-passe que possa ser obrigado a entregar dados, nem um serviço operado pelo fabricante que uma autoridade estrangeira possa desligar. No centro de dados próprio, local de armazenamento, vias de acesso e disponibilidade estão totalmente sob o controlo da própria TI. Em infraestrutura externa, como Private Cloud ou Azure-Tenant, o operador de infraestrutura deve ser adicionalmente avaliado.

Password Depot está sujeito ao direito dos EUA?

Não. Password Depot é desenvolvido pela AceBIT GmbH, com sede em Darmstadt – uma empresa alemã sujeita à ordem jurídica alemã e europeia. Em operação On-Premises, os dados encriptados permanecem na sua própria infraestrutura ou na infraestrutura escolhida por si. Se utilizar infraestrutura externa, o respetivo fornecedor deve continuar a ser avaliado separadamente.