Escolhendo uma jurisdição offshore

Comece pelo adversário, não pelo mapa

Quase todo guia de jurisdição começa com uma lista de países e suas propriedades atraentes. Isso é ao contrário, e é por isso que as pessoas acabam pagando um prêmio da Islândia por uma carga de trabalho cujo único risco realista é um aviso automatizado de direitos autorais.

Escreva com quem você está realmente preocupado. Existem quatro respostas amplas, elas pedem países diferentes, e três delas são muito mais baratas de satisfazer do que o marketing sugere.

Adversário 1: um reclamante automatizado de direitos autorais

Este é de longe o caso mais comum e o mais fácil de resolver. Agências de execução enviam avisos automatizados em alto volume citando estatutos dos EUA. Esses avisos não têm força legal fora dos Estados Unidos, e um reclamante que quer um resultado deve apresentar uma ação real no país onde o servidor está.

Qualquer uma das nossas oito localizações resolve isso. Como todas resolvem, otimize para outra coisa — preço e latência. Bulgária no índice 1.00 ou Moldávia em 1.02 são as escolhas racionais, e pagar o prêmio da Islândia aqui não compra nada que você já não tinha.

Adversário 2: um reclamante civil ou um regulador

Aqui o instrumento importa. Dentro da UE, uma Ordem Europeia de Investigação se move entre estados membros rapidamente com fundamentos de recusa estreitos. Fora dela, um reclamante precisa de auxílio jurídico mútuo ou cartas rogatórias, que levam meses e podem ser recusadas de imediato.

A Suíça é a resposta mais forte porque o framework IMAC exige dupla incriminação — a conduta também deve ser crime sob a lei suíça, o que filtra uma grande categoria de reivindicações estrangeiras antes que comecem. O Panamá é o mais forte por puro atrito, já que nenhum MLAT está em vigor com a maioria dos estados membros da UE e os pedidos recaem em cartas rogatórias.

Adversário 3: um estado local hostil

Se você está publicando sobre um governo que pode alcançá-lo fisicamente, a questão da jurisdição é sobre distância desse estado específico, não sobre privacidade no abstrato. A Islândia é a resposta geral mais forte graças ao framework IMMI e à proteção constitucional da fala.

O corolário importante é que o servidor é a parte fácil. Sua própria segurança operacional — como você se conecta, o que escreve e de onde, quem sabe que o projeto é seu — é onde esse modelo de ameaça é realmente ganho ou perdido.

Adversário 4: uma agência de inteligência de sinais

Nenhuma jurisdição de hospedagem resolve isso, e qualquer provedor que implique o contrário está tomando seu dinheiro por um sentimento. Uma agência com acesso ao nível de rede não precisa servir seu host com nada.

O que realmente ajuda: criptografia de ponta a ponta, criptografia de disco completo com uma chave que nunca vemos, minimizar o que o servidor sabe e assumir que a rede é observada. Escolha a jurisdição para os outros três adversários e gaste seu esforço restante em criptografia.

Uma tabela de decisão curta

Comprimido em algo que você pode agir em trinta segundos:

Dois erros fáceis de evitar

O primeiro é tratar o registro da empresa como jurisdição. Onde uma empresa é incorporada tem pouco a ver com qual força policial pode entrar no prédio onde o servidor está. A localização física rege a apreensão; o registro rege o direito societário.

O segundo é colocar tudo em um único país. Quaisquer que sejam as propriedades legais, uma única jurisdição é um ponto único de falha. Mantenha seu primário onde ele tem melhor desempenho e seus backups criptografados em algum lugar com exposição legal diferente — essa combinação sobrevive a eventos que qualquer localização sozinha não sobreviveria.