É um regulador neerlandês da concorrência. Corresponde, por email, com as plataformas norte-americanas que supervisiona. Parte do princípio de que essa correspondência está protegida — pelo RGPD, pelo direito administrativo neerlandês, pelo facto de essas plataformas manterem subsidiárias europeias responsáveis perante tribunais europeus. Na sexta-feira passada, ao fim da tarde, ficou a saber qual destes pressupostos sustentava o todo.

A resposta: nenhum deles.

Na sexta-feira, 22 de maio de 2026, a revista neerlandesa Vrij Nederland publicou que a Microsoft tinha entregado os seus emails em resposta a uma subpoena do Congresso norte-americano. O destinatário era a House Judiciary Select Subcommittee on the Weaponization of the Federal Government, presidida por Jim Jordan. As intimações tinham sido emitidas no julho anterior — a dez empresas tecnológicas, exigindo as comunicações internas mantidas com governos estrangeiros sobre moderação de conteúdos. A resposta da Microsoft, quando a Vrij Nederland a verificou, incluía os nomes não censurados de funcionários públicos da Autoriteit Consument en Markt (ACM) e da Autoriteit Persoonsgegevens (AP) — os reguladores que aplicam o Regulamento dos Serviços Digitais da UE nos Países Baixos.

Depois a Microsoft ofereceu uma explicação que devia preocupá-lo mais do que a própria divulgação. O CLOUD Act não foi invocado. O cumprimento foi voluntário.

Essa palavra — voluntário — é a parte desta história que quase nenhum comentário público enquadrou corretamente. Se o CLOUD Act tivesse imposto a divulgação, os reguladores afetados teriam pelo menos um limiar legal contra o qual argumentar em tribunal. Cumprimento voluntário significa que não havia limiar algum. Houve o juízo comercial da Microsoft de que cooperar com uma subcomissão do Congresso era preferível a recusar. O juízo foi racional. Foi também, em sentido estrito, completamente livre de qualquer constrangimento do direito europeu.

Os nomes estão agora em Washington. A comissão que os pediu descreve o trabalho dos funcionários afetados como «censura do discurso americano». A secretária de Estado neerlandesa para a soberania digital, Willemijn Aerdts, convocou o embaixador norte-americano nessa mesma sexta-feira. Os dados já iam a caminho.

Este artigo é a auditoria da arquitetura que produziu este desfecho, o enquadramento que torna a auditoria útil, e a pergunta de contratação pública que todos os reguladores e ministérios europeus têm de responder antes de a próxima intimação chegar.

O que a Microsoft entregou

Os conteúdos não eram resumos. Eram o material de trabalho em bruto dos reguladores: emails trocados entre funcionários nomeados da ACM e da AP e os representantes da Microsoft, entradas de calendário de reuniões internas, atas de discussões sobre a aplicação do DSA. A comissão recebeu os nomes na íntegra. Segundo a reportagem do iBestuur, a Meta partilhou dados semelhantes; as outras oito empresas intimadas não confirmaram publicamente o cumprimento.

O mandato declarado da comissão é investigar se a regulação europeia das plataformas em linha constitui censura às empresas norte-americanas. Os funcionários nomeados nos documentos são as pessoas responsáveis, na jurisdição neerlandesa, por aplicar exatamente as regras que a comissão está a investigar. A Weaponization Subcommittee tem agora, nos seus arquivos, os nomes dos funcionários europeus que aplicam regras que considera hostis.

O Cybernews relata que alguns dos trabalhadores afetados têm família nos Estados Unidos e temem agora que lhes seja negada a entrada. O receio não é teórico: a administração Trump sancionou líderes europeus da sociedade civil, incluindo a direção da ONG alemã HateAid em dezembro de 2025, por aquilo que considerou ser regulação hostil da liberdade de expressão. O percurso entre um nome numa lista de subcomissão e uma proibição de entrada na fronteira dos EUA é mais curto do que os reguladores europeus historicamente presumiram.

Na sexta-feira à tarde, a Staatssecretaris Willemijn Aerdts já dissera frente a frente ao embaixador dos EUA, Joe Popolo: «Als ik problemen heb, vecht je die met ons uit of, indien nodig, in Europa, maar niet over de ruggen van ambtenaren heen.» («Se tiverem um problema, resolvem-no connosco, ou, se necessário, na Europa, mas não às custas dos funcionários públicos.») Aerdts tinha sido nomeada três meses antes como a primeira Staatssecretaris para a Economia Digital e Soberania dos Países Baixos, no Governo Jetten de 23 de fevereiro. O embaixador que ela convocou chegara a Haia ainda mais recentemente. A intervenção foi substantiva. Foi também, do ponto de vista da contratação pública, oca: convocou um diplomata, não um fornecedor.

A defesa é a divulgação

A Microsoft não emitiu um comunicado público detalhado sobre o caso neerlandês. As reportagens convergentes do NL Times, do Dutch IT Channel e do Cybernews indicam o enquadramento que a empresa usou em privado e na imprensa especializada: a divulgação não foi desencadeada por uma obrigação do CLOUD Act. O material divulgado, diz o enquadramento, era correspondência entre a Microsoft e representantes de autoridades europeias — e essa correspondência ficou fora das proteções que os reguladores europeus poderão ter presumido existir.

O enquadramento foi oferecido como exoneração. Lido com atenção, é o oposto. Se o CLOUD Act tivesse imposto a divulgação, os reguladores europeus teriam pelo menos um limiar legal contra o qual litigar. O enquadramento voluntário significa que não havia limiar algum — apenas o juízo comercial da Microsoft de que cooperar com a subcomissão de Jim Jordan era preferível a recusar. A defesa torna a situação pior do que a torna a acusação.

O enquadramento serve a Microsoft de uma segunda forma: permite à empresa posicionar o incidente como uma questão pontual de juízo, em vez de uma exposição estrutural ao direito dos EUA. Serve também o gabinete neerlandês, que pode externalizar o problema para um fornecedor norte-americano, em vez de explicar por que razão as comunicações da ACM e da AP estavam, sequer, numa plataforma alojada nos EUA. A intervenção de Aerdts junto do embaixador Popolo, embora substantiva, não comprometeu o gabinete com uma alteração na contratação pública. O secretário de Estado da Economia, Eric van der Burg (VVD), classificou a divulgação como «mais do que preocupante» — linguagem forte para um secretário de Estado neerlandês, mais fraca do que um compromisso.

O que o enquadramento da Microsoft oferecia era uma absolvição. O que foi efetivamente dito, depois de analisado, foi: não tínhamos qualquer obrigação de entregar isto. Decidimos entregar. Isto não é uma defesa em sentido algum que os funcionários afetados pudessem reconhecer. É uma admissão, disfarçada de esclarecimento.

A arquitetura que isto expõe

O parque de Microsoft 365 dos reguladores europeus é vasto, profundo e quase inteiramente não documentado publicamente.

Uma estimativa grosseira, a partir de divulgações de contratação pública e da imprensa especializada, situa a quota de reguladores nacionais europeus com as comunicações internas principais alojadas em Microsoft 365 acima de 70%. A Bundesnetzagentur na Alemanha, a ARCEP em França, a AGCOM em Itália, a CNIL em França, o Bundeskartellamt alemão, a CNMC espanhola — a maioria opera em M365 ou tem uma pegada M365 substancial nas operações do dia a dia. A maioria também aplica, de algum modo, legislação relevante para as plataformas norte-americanas: RGPD, DMA, DSA, Data Act, regras da concorrência. A interseção — reguladores de plataformas norte-americanas que usam plataformas norte-americanas para as suas próprias comunicações internas de regulador — é, em boa medida, o panorama regulatório europeu tal como existe hoje.

A consequência arquitetural é que todos os reguladores nessa interseção correm a mesma exposição na cadeia de fornecimento de cuja definição operacional a ACM e a AP acabaram de tomar conhecimento. Os dados residem em infraestrutura operada por uma entidade que, perante uma intimação do Congresso dos EUA, responderá comercialmente. Essa resposta comercial apontará, fiavelmente, na direção da cooperação. O enquadramento da Microsoft no caso neerlandês tornou a lógica comercial explícita: a empresa estava a responder a uma intimação, não a uma ordem do CLOUD Act; a cooperação foi voluntária. Todos os outros reguladores no mesmo parque estão na mesma posição arquitetural. A próxima intimação será respondida pela mesma lógica.

Há uma exposição de segunda ordem que não tem sido amplamente discutida. Os funcionários nomeados nos documentos neerlandeses não eram os únicos nessas cadeias de email. A correspondência com a Microsoft sobre a aplicação do DSA envolve rotineiramente pessoal de outros reguladores europeus em cópia — a coordenação entre autoridades nacionais faz parte do modo como o DSA é aplicado. A intimação da subcomissão à Microsoft abrangia, pelo seu próprio enquadramento, comunicações internas com governos estrangeiros sobre moderação de conteúdos. Essa linguagem é suficientemente ampla para alcançar as cadeias de correspondência, e não apenas os emissores individuais. A lista efetiva de nomes, numa leitura cuidadosa do âmbito da intimação, estende-se plausivelmente para além da ACM e da AP, alcançando reguladores adjacentes da UE que ainda não foram publicamente afetados — por ora.

O padrão por baixo do caso

Não é a primeira vez que um fornecedor norte-americano expõe funcionários europeus às autoridades dos EUA sob pressão política. É o terceiro caso documentado em treze meses.

Em maio de 2025, a Microsoft suspendeu a conta de email de Karim Khan, procurador-chefe do Tribunal Penal Internacional, depois de a administração Trump lhe ter imposto sanções pessoais ao abrigo da Ordem Executiva 14203. Em dezembro de 2025, a mesma administração sancionou a direção da HateAid, uma ONG alemã que apoia vítimas de discurso de ódio em linha, com proibições de entrada nos EUA. Em maio de 2026, a Microsoft entregou os nomes dos reguladores neerlandeses.

O caso Khan correu sob uma designação de sanções: imposição legal. O caso HateAid correu sob regulamentos de proibição de entrada: ação administrativa contra indivíduos nomeados. O caso neerlandês corre sob uma intimação de subcomissão da Câmara: inquérito legislativo. Os instrumentos legais diferem. O padrão não. Em cada caso, foi pedido a um prestador de serviços sediado nos EUA, formal ou informalmente, que agisse contra um europeu que se tornara politicamente inconveniente em Washington. Em cada caso, o prestador cumpriu.

O caso neerlandês difere dos dois primeiros de um modo que importa. O caso Khan tinha por trás uma designação de sanções; a HateAid tinha ação administrativa. Ambos davam à Microsoft uma imposição legal para apontar quando explicava o sucedido aos reguladores europeus. O caso neerlandês não tem essa cobertura. O próprio enquadramento da Microsoft admite a ausência: a divulgação não era legalmente exigida, era comercialmente preferível. O terceiro caso do padrão é aquele em que a lógica comercial foi nomeada em voz alta.

Essa nomeação tem uma consequência estratégica que a imprensa especializada não captou. Os dois primeiros casos produziram um nervosismo geral em relação à exposição legal aos EUA sob M365. O terceiro caso produziu prova específica de exposição comercial aos EUA sob M365: o mesmo fornecedor, a mesma arquitetura, podem produzir o mesmo desfecho sem qualquer limiar legal. Não há tribunal algum na Europa que possa litigar contra o juízo comercial da Microsoft. Há apenas o contrato público, que é o nível em que as instituições europeias podem alterar a arquitetura.

Porque o protesto não muda a arquitetura

O gabinete convocou o embaixador dos EUA. Houve uma troca diplomática. A Microsoft pode ainda emitir um esclarecimento público. Nada disto altera as condições estruturais.

Quando a poeira assentar, três coisas permanecem exatamente como estavam. A Microsoft pode continuar a receber pedidos de órgãos legislativos, executivos e judiciais dos EUA. A Microsoft pode continuar a decidir voluntariamente cooperar para além do estritamente exigido. A ACM, a AP e a maioria dos outros reguladores europeus continuam a operar os seus escritórios em sistemas Microsoft, com as suas comunicações sujeitas à mesma exposição. O incidente produziu calor político. Não produziu mudança arquitetural.

A resposta do gabinete neerlandês é, estruturalmente, o que o enquadramento da Microsoft previa. A intervenção tratou a divulgação como um incidente de relação com o fornecedor e não como um incidente de contratação pública. O fornecedor foi convocado por via do diplomata; o contrato público não foi convocado de todo. Aerdts assumiu publicamente a defesa da soberania digital. O problema estrutural é que a sua pasta não controla as decisões de contratação pública do gabinete — e as decisões de contratação pública são a alavanca que o incidente iluminou.

A linguagem «mais do que preocupante» do secretário de Estado é o indicador de como esta história vai terminar. Linguagem forte sinaliza preocupação. Não sinaliza compromisso. Um compromisso teria a forma de uma data, um orçamento, uma meta, uma alternativa nomeada. Não há data.

A soberania não é um incidente diplomático

Este é o enquadramento que o incidente torna visível a qualquer pessoa num regulador europeu, ministério ou organismo do setor público com responsabilidade operacional.

O caso neerlandês não é a falha de uma relação diplomática. A relação diplomática está a fazer exatamente o que as relações diplomáticas fazem — exprime preocupação, regista protesto, convoca embaixadores, redige notas verbais. O caso neerlandês é a falha de uma decisão de contratação pública tomada anos antes, quando a ACM e a AP adotaram o Microsoft 365 pelos mesmos motivos institucionais razoáveis que todos os outros reguladores europeus. A resposta diplomática do gabinete opera na camada errada. A arquitetura vive na camada da contratação pública. A resposta arquitetural também vive na camada da contratação pública.

Esta é a camada em que o caso neerlandês se aplica a cada leitor que trabalha num organismo público europeu, ou para um. A pergunta não é o que vai o gabinete fazer? O gabinete fará o que os gabinetes fazem: convocar, protestar, registar preocupação. A pergunta é se a sua organização, na próxima revisão trimestral de contratação pública, trata a divulgação como facto relevante para o seu próprio contrato M365.

A questão da soberania, bem enquadrada, não é que fornecedor usamos para o email? É: se a Microsoft fosse hoje interpelada, por uma subcomissão do Congresso dos EUA, para entregar as nossas comunicações internas, qual seria o seu juízo comercial? A resposta honesta, à luz do precedente neerlandês, é: o mesmo que foi para os Países Baixos. A resposta arquitetural a essa pergunta não é um fornecedor diferente. É uma arquitetura diferente: comunicações regulatórias encaminhadas por infraestrutura que não tem um cálculo comercial norte-americano na sua cadeia de custódia.

O que este artigo não é

Quem ler esta análise como uma afirmação de que a Microsoft agiu ilegalmente falhou o ponto — pelo próprio enquadramento da empresa, a divulgação não foi nem legalmente exigida nem maliciosa, mas um cálculo comercial perante um ator político norte-americano poderoso. A análise trabalha numa camada mais profunda: na condição estrutural de que esse cálculo comercial pode voltar à mesa a qualquer momento, enquanto a arquitetura subjacente da contratação pública permanecer inalterada. As previsões sobre o comportamento de fornecedores individuais em casos futuros não fazem parte do objeto da investigação. Para os leitores em ambientes regulados, esta análise não substitui aconselhamento jurídico nem aconselhamento em segurança da informação.

O próximo nome na lista

Os funcionários cujos nomes estão num dossiê da subcomissão da House Judiciary continuam ao trabalho. O Regulamento dos Serviços Digitais continua a precisar de ser aplicado. A Weaponization Subcommittee não encerrou a sua investigação. A Microsoft não retirou os documentos — não existe procedimento de retirada depois de uma subcomissão os ter na sua posse.

O próximo pedido de uma autoridade norte-americana a um fornecedor norte-americano sobre um regulador europeu será respondido pela mesma lógica comercial que respondeu a este. Até a arquitetura mudar, os nomes dos funcionários neerlandeses não são os últimos a acabar num dossiê de subcomissão da Câmara. São o terceiro.

O sinal que vale a pena observar, daqui a doze meses, é a contratação pública. Se a ACM ou a AP anunciarem uma migração das suas comunicações internas para fora dos sistemas Microsoft, o incidente terá tido consequências estruturais. Se não anunciarem, a intervenção de Aerdts junto de Popolo terá sido a resposta na sua totalidade — e o próximo nome na lista já vai a caminho.

Fontes

Visão geral temática: Soberania Digital na Europa Artigos relacionados: Soberania nos servidores da Microsoft, Soberania Digital: Porquê Agora