{"id":2314,"date":"2026-09-24T12:03:17","date_gmt":"2026-09-24T11:03:17","guid":{"rendered":"https:\/\/sooma.com\/?p=2314"},"modified":"2026-09-24T12:33:14","modified_gmt":"2026-09-24T11:33:14","slug":"oito-perguntas-que-uma-entidade-publica-devia-fazer-ao-seu-fornecedor-de-email","status":"publish","type":"post","link":"https:\/\/sooma.com\/pt-pt\/oito-perguntas-que-uma-entidade-publica-devia-fazer-ao-seu-fornecedor-de-email\/","title":{"rendered":"Oito perguntas que uma entidade p\u00fablica devia fazer ao seu fornecedor de email"},"content":{"rendered":"

Em junho de 2026, a decis\u00e3o do Supremo Tribunal dos Estados Unidos em Trump v. Slaughter p\u00f4s fim \u00e0 independ\u00eancia da Federal Trade Commission. Para a generalidade das pessoas, foi uma not\u00edcia sobre pol\u00edtica americana. Para quem gere sistemas de informa\u00e7\u00e3o numa entidade p\u00fablica portuguesa, foi outra coisa: a remo\u00e7\u00e3o de uma das pe\u00e7as em que assenta o acordo que permite transferir dados de europeus para os Estados Unidos.<\/strong><\/em><\/p>\n

\u00c9 o terceiro abalo em dez anos. O Safe Harbor caiu em 2015, o Privacy Shield caiu em 2020, e o acordo que os substituiu est\u00e1 agora contestado. Nenhum destes epis\u00f3dios resultou de m\u00e1-f\u00e9 de quem negociou. Resultaram de uma incompatibilidade de fundo entre duas formas de entender a soberania, que nenhum acordo pol\u00edtico consegue resolver.<\/p>\n

Entretanto, os nossos pares europeus foram agindo. Em Fran\u00e7a, a doutrina de recurso \u00e0 cloud reserva os sistemas do Estado com dados sens\u00edveis a infraestruturas qualificadas e imunes a legisla\u00e7\u00e3o extraeuropeia. Em It\u00e1lia, os dados p\u00fablicos foram classificados por criticidade e os mais sens\u00edveis concentrados em infraestrutura nacional qualificada. Na Alemanha, um Land migrou o correio eletr\u00f3nico de toda a sua administra\u00e7\u00e3o, mais de quarenta mil caixas, para solu\u00e7\u00f5es abertas. Nos Pa\u00edses Baixos, o parlamento aprovou mo\u00e7\u00f5es para travar migra\u00e7\u00f5es desnecess\u00e1rias da administra\u00e7\u00e3o para fornecedores de cloud americanos.<\/p>\n

Portugal aprovou o seu plano nacional de cloud soberana, com execu\u00e7\u00e3o prevista ao longo dos pr\u00f3ximos anos. \u00c9 o reconhecimento oficial de que a depend\u00eancia atual constitui um risco. Mas uma entidade concreta, com um procedimento a lan\u00e7ar este semestre, n\u00e3o pode esperar pelo fim da d\u00e9cada.<\/p>\n

Estas s\u00e3o as oito perguntas a colocar antes desse procedimento. N\u00e3o exigem conhecimentos t\u00e9cnicos. Exigem respostas claras.<\/p>\n

1. A que lei est\u00e1 sujeita a entidade que opera o servi\u00e7o, e quem a controla?<\/h2>\n

\u00c9 a pergunta que engloba todas as outras, e quase nunca \u00e9 feita. N\u00e3o confunda com a localiza\u00e7\u00e3o dos servidores. Uma sociedade constitu\u00edda nos Estados Unidos, ou controlada por uma sociedade americana, permanece sujeita \u00e0 lei americana onde quer que instale os seus equipamentos.<\/p>\n

O caso que o demonstrou n\u00e3o foi te\u00f3rico. Em 2013, a justi\u00e7a americana exigiu a uma empresa tecnol\u00f3gica os conte\u00fados de uma conta de email guardados num datacenter em Dublin. A empresa recusou e ganhou em tribunal. Em 2018, o Congresso aprovou legisla\u00e7\u00e3o que passou a obrigar \u00e0 entrega dos dados na posse, cust\u00f3dia ou controlo dessas empresas, independentemente do pa\u00eds onde estejam armazenados. O caso terminou com a entrega.<\/p>\n

Resposta a exigir:<\/strong> a identifica\u00e7\u00e3o da entidade contratante, da sua sede, da estrutura de controlo do capital, e do direito a que est\u00e1 sujeita.<\/p>\n

2. Onde ficam fisicamente os dados, e quem tem acesso \u00e0s instala\u00e7\u00f5es?<\/h2>\n

A localiza\u00e7\u00e3o n\u00e3o resolve a quest\u00e3o da jurisdi\u00e7\u00e3o, mas continua a ser relevante. Importa saber em que pa\u00eds est\u00e3o os equipamentos, quem opera o espa\u00e7o f\u00edsico, e se esse operador tem ou n\u00e3o acesso l\u00f3gico aos sistemas.<\/p>\n

Resposta a exigir:<\/strong> localiza\u00e7\u00e3o dos datacenters, identifica\u00e7\u00e3o de quem presta o alojamento f\u00edsico, e declara\u00e7\u00e3o expressa sobre a exist\u00eancia ou n\u00e3o de acesso aos dados por parte desse prestador.<\/p>\n

3. Existem transfer\u00eancias para pa\u00edses terceiros, ainda que pontuais?<\/h2>\n

A pergunta deve abranger tudo, n\u00e3o apenas o servi\u00e7o principal. Sistemas de an\u00e1lise de tr\u00e1fego do site, ferramentas de apoio ao cliente, processamento de pagamentos, tipos de letra carregados de servidores externos. Cada um destes pode constituir uma transfer\u00eancia.<\/p>\n

Resposta a exigir:<\/strong> lista completa de subcontratantes e de destinat\u00e1rios, com localiza\u00e7\u00e3o, e declara\u00e7\u00e3o sobre transfer\u00eancias para pa\u00edses terceiros.<\/p>\n

4. Quanto tempo s\u00e3o conservados os registos de tr\u00e1fego, e com que fundamento?<\/h2>\n

Muitos fornecedores conservam metadados de comunica\u00e7\u00e3o durante meses ou anos, por in\u00e9rcia t\u00e9cnica. Conv\u00e9m lembrar o enquadramento atual: o Tribunal Constitucional declarou inconstitucionais, com for\u00e7a obrigat\u00f3ria geral, as normas que impunham a conserva\u00e7\u00e3o generalizada de dados de tr\u00e1fego por um ano, e voltou a declarar inconstitucional uma tentativa posterior de conserva\u00e7\u00e3o indiscriminada por tr\u00eas meses.<\/p>\n

Ou seja, hoje a conserva\u00e7\u00e3o prolongada de metadados sem finalidade pr\u00f3pria n\u00e3o \u00e9 uma obriga\u00e7\u00e3o. \u00c9 um risco.<\/p>\n

Resposta a exigir:<\/strong> prazos concretos por tipo de registo, e a finalidade que os justifica.<\/p>\n

5. Como s\u00e3o tratados os pedidos de autoridades, incluindo estrangeiras?<\/h2>\n

Uma entidade p\u00fablica tem particular interesse em saber o que acontece se algu\u00e9m pedir acesso aos seus dados, e sobretudo se esse algu\u00e9m for uma autoridade de outro pa\u00eds.<\/p>\n

Resposta a exigir:<\/strong> descri\u00e7\u00e3o do procedimento interno de an\u00e1lise de pedidos, e declara\u00e7\u00e3o sobre o tratamento dado a pedidos diretos de autoridades de pa\u00edses terceiros, que devem seguir os mecanismos de coopera\u00e7\u00e3o judici\u00e1ria com interven\u00e7\u00e3o das autoridades portuguesas. Pergunte tamb\u00e9m se o fornecedor publica um relat\u00f3rio de transpar\u00eancia.<\/p>\n

6. Como fica protegido o sigilo administrativo e profissional?<\/h2>\n

Processos disciplinares, dados de sa\u00fade, informa\u00e7\u00e3o classificada, comunica\u00e7\u00f5es com advogados. Se estas mat\u00e9rias circulam por uma infraestrutura sujeita a jurisdi\u00e7\u00e3o terceira, o dever de sigilo deixa de depender apenas da entidade.<\/p>\n

Resposta a exigir:<\/strong> declara\u00e7\u00e3o sobre acesso ao conte\u00fado das comunica\u00e7\u00f5es por parte do fornecedor, e sobre as circunst\u00e2ncias em que esse acesso pode ocorrer.<\/p>\n

7. O fornecedor assume a posi\u00e7\u00e3o de subcontratante, e disponibiliza acordo de<\/h2>\n

tratamento de dados?<\/p>\n

Nos dados alojados nas caixas, a entidade p\u00fablica \u00e9 respons\u00e1vel pelo tratamento e o fornecedor \u00e9 subcontratante. Isso implica um contrato escrito com o conte\u00fado do artigo 28.\u00ba do Regulamento Geral sobre a Prote\u00e7\u00e3o de Dados. Um fornecedor que n\u00e3o o disponibilize n\u00e3o est\u00e1 em condi\u00e7\u00f5es de contratar com uma entidade p\u00fablica.<\/p>\n

Resposta a exigir:<\/strong> minuta do acordo de tratamento de dados, com anexos de subcontratantes e de medidas de seguran\u00e7a.<\/p>\n

8. O que acontece no fim do contrato?<\/h2>\n

A reversibilidade \u00e9 frequentemente esquecida na contrata\u00e7\u00e3o e dolorosa na cessa\u00e7\u00e3o.<\/p>\n

Resposta a exigir:<\/strong> formatos e protocolos de exporta\u00e7\u00e3o dos dados, prazo de conserva\u00e7\u00e3o ap\u00f3s a cessa\u00e7\u00e3o, prazo e forma de elimina\u00e7\u00e3o, e exist\u00eancia de apoio \u00e0 transi\u00e7\u00e3o para outro fornecedor.<\/p>\n

Uma nota final sobre o que est\u00e1 em causa<\/h2>\n

Nenhuma destas perguntas \u00e9 sobre tecnologia. S\u00e3o todas sobre responsabilidade.<\/p>\n

Quem decide a infraestrutura de comunica\u00e7\u00f5es de uma entidade p\u00fablica n\u00e3o est\u00e1 apenas a escolher um servi\u00e7o. Est\u00e1 a determinar sob que ordem jur\u00eddica ficam as comunica\u00e7\u00f5es entre o Estado e os cidad\u00e3os que ele serve. \u00c9 uma decis\u00e3o de soberania, tomada num caderno de encargos.<\/p>\n

 <\/p>\n

A boa not\u00edcia \u00e9 que nada disto exige esperar por planos nacionais. Exige fazer oito perguntas, e escolher em fun\u00e7\u00e3o das respostas.<\/strong><\/em><\/p>\n","protected":false},"excerpt":{"rendered":"

Uma checklist de soberania digital, para usar antes do pr\u00f3ximo procedimento.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_seopress_titles_title":"8 perguntas a fazer ao fornecedor de email p\u00fablico | Sooma","_seopress_titles_desc":"Uma checklist de soberania digital para entidades p\u00fablicas, com oito perguntas a fazer ao fornecedor de email antes do pr\u00f3ximo procedimento.","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"8 perguntas a fazer ao fornecedor de email p\u00fablico | Sooma","_seopress_social_fb_desc":"Uma checklist de soberania digital para entidades p\u00fablicas, com oito perguntas a fazer ao fornecedor de email antes do pr\u00f3ximo procedimento.","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"8 perguntas a fazer ao fornecedor de email p\u00fablico | Sooma","_seopress_social_twitter_desc":"Uma checklist de soberania digital para entidades p\u00fablicas, com oito perguntas a fazer ao fornecedor de email antes do pr\u00f3ximo procedimento.","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"","_seopress_redirections_param":"","_seopress_redirections_type":0,"_seopress_analysis_target_kw":"","_seopress_news_disabled":"","_seopress_video_disabled":"","_seopress_video":[],"_seopress_pro_schemas_manual":[],"_seopress_pro_rich_snippets_disable_all":"","_seopress_pro_rich_snippets_disable":[],"_seopress_pro_schemas":[],"footnotes":""},"categories":[35],"tags":[],"class_list":["post-2314","post","type-post","status-publish","format-standard","hentry","category-sector-publico"],"_links":{"self":[{"href":"https:\/\/sooma.com\/pt-pt\/wp-json\/wp\/v2\/posts\/2314","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/sooma.com\/pt-pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/sooma.com\/pt-pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/sooma.com\/pt-pt\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/sooma.com\/pt-pt\/wp-json\/wp\/v2\/comments?post=2314"}],"version-history":[{"count":0,"href":"https:\/\/sooma.com\/pt-pt\/wp-json\/wp\/v2\/posts\/2314\/revisions"}],"wp:attachment":[{"href":"https:\/\/sooma.com\/pt-pt\/wp-json\/wp\/v2\/media?parent=2314"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/sooma.com\/pt-pt\/wp-json\/wp\/v2\/categories?post=2314"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/sooma.com\/pt-pt\/wp-json\/wp\/v2\/tags?post=2314"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}