Atualizado em
Soberania de Dados no Brasil: O Que Toda Empresa Precisa Saber em 2026
A soberania de dados no Brasil deixou de ser pauta exclusiva do governo federal e passou a ser uma preocupação central para empresas de todos os setores. A combinação de regulações como a LGPD, exigências setoriais do Banco Central, da ANATEL e da ANS, além das políticas de transparência da União Europeia (GDPR) que afetam empresas com operações internacionais, criou um cenário em que a localização física dos dados tornou-se um critério estratégico — não apenas técnico. Este guia explica o que é soberania de dados, o que a legislação brasileira exige e como empresas estão estruturando suas infraestruturas para atender a esses requisitos.
O que é Soberania de Dados?
Soberania de dados é o princípio pelo qual os dados gerados ou coletados em um determinado território estão sujeitos às leis e à jurisdição desse país — e, em muitos casos, devem fisicamente residir em infraestrutura localizada nesse território. O conceito ganhou relevância global com o advento do GDPR europeu em 2018 e se fortaleceu no Brasil com a LGPD em 2020.
No contexto empresarial, a soberania de dados tem duas dimensões práticas. A primeira é jurídica: onde os dados estão armazenados determina qual legislação se aplica, quem pode requisitar acesso (inclusive governos estrangeiros) e quais obrigações de notificação se aplicam em caso de incidente. A segunda é operacional: dados em infraestrutura nacional estão sujeitos à latência local, às regulações de continuidade do negócio e aos padrões de segurança exigidos por órgãos reguladores brasileiros.
É importante distinguir soberania de dados de privacidade de dados. Privacidade trata de como os dados são usados e quem pode acessá-los. Soberania trata de onde os dados estão e sob qual jurisdição. Uma empresa pode ter dados privados mas não soberanos (armazenados em servidor nos EUA com boa criptografia), ou dados soberanos mas com privacidade inadequada (armazenados no Brasil com controles de acesso deficientes).
LGPD e Transferência Internacional de Dados
A Lei Geral de Proteção de Dados (LGPD — Lei 13.709/2018) não proíbe a transferência de dados pessoais para fora do Brasil, mas estabelece condições específicas para que essa transferência seja legal. O artigo 33 da LGPD lista as hipóteses autorizadas, que incluem:
- Países ou organismos internacionais com grau de proteção adequado ao da LGPD (equivalência reconhecida pela ANPD)
- Cláusulas contratuais específicas ou padrão que garantam o mesmo nível de proteção
- Certificationes e selos reconhecidos pela Autoridade Nacional de Proteção de Dados (ANPD)
- Necessidade da transferência para execução de contrato com o titular dos dados
- Consentimento explícito do titular para a transferência internacional
Na prática, empresas que utilizam serviços de cloud pública americana (AWS, Azure, Google Cloud) podem enquadrar o uso dentro da LGPD, desde que os contratos de processamento de dados (DPA — Data Processing Agreement) estejam formalizados e as políticas de privacidade estejam adequadas. A ANPD ainda não publicou a lista definitiva de países com proteção adequada, o que gera incerteza jurídica para transferências internacionais.
Setores com Requisitos Específicos de Localização de Dados
Além da LGPD, diversos setores regulados no Brasil possuem normas específicas que afetam diretamente onde os dados podem ser armazenados e processados.
Setor financeiro (BACEN): A Resolução CMN 4.893/2021 e a Resolução BCB 85/2021 estabelecem requisitos de governança de TI para instituições financeiras, incluindo controles sobre provedores de serviços em nuvem. O BACEN exige que as instituições mantenham a capacidade de substituir o provedor sem perda de acesso aos dados, e que os contratos garantam auditabilidade e acesso das autoridades brasileiras aos dados.
Saúde (ANVISA/CFM): Prontuários eletrônicos e dados de saúde possuem requisitos de retenção de longo prazo (mínimo 20 anos para alguns tipos de registro) e, em interpretações mais conservadoras do CFM, de localização em território nacional. A ANVISA regulamenta a proteção de dados de ensaios clínicos com exigências específicas de localização.
Telecomunicações (ANATEL): A Resolução 740/2020 da ANATEL estabelece o Regulamento de Segurança Cibernética, que inclui requisitos de localização de dados críticos de infraestrutura de telecomunicações.
Governo e defesa: Dados classificados, dados de servidores públicos e sistemas críticos de governo federal estão sujeitos à Política Nacional de Segurança da Informação (Decreto 9.637/2018), que privilegia infraestrutura nacional para dados sensíveis do Estado.
Cloud Pública e Soberania: É Possível Conciliar?
A pergunta que mais divide os profissionais de TI no Brasil: posso usar AWS, Azure ou Google Cloud e ainda assim estar em conformidade com os requisitos de soberania de dados?
A resposta é: depende do setor e do tipo de dado. Para dados pessoais comuns de clientes, a cloud pública com contratos DPA adequados e regiões brasileiras (sa-east-1 na AWS, Brazil South no Azure) é, em geral, compatível com a LGPD. Os dados ficam fisicamente no Brasil e estão sujeitos à legislação brasileira, ainda que a empresa controladota seja americana.
Para dados financeiros regulados pelo BACEN, a cloud pública pode ser utilizada, mas exige mapeamento completo dos subprocessadores, contratos específicos de auditoria e demonstração de que a instituição pode acessar seus dados independentemente em caso de descontinuidade do provedor.
Para dados de saúde com requisitos de sigilo absoluto, dados classificados do governo ou informações estratégicas de defesa nacional, a cloud pública estrangeira — mesmo com região brasileira — apresenta riscos jurídicos que a maioria das assessorias jurídicas especializadas não recomenda assumir sem análise específica. O Patriot Act americano, por exemplo, permite ao governo dos EUA requisitar dados de empresas americanas mesmo que estejam armazenados em outros países.
Cloud Privada como Estratégia de Soberania de Dados
A cloud privada hospedada em datacenter brasileiro, com infraestrutura dedicada e contratos de hospedagem regidos pela lei brasileira, oferece o maior nível de controle sobre a localização e o acesso aos dados. Para setores altamente regulados, essa é frequentemente a arquitetura recomendada pelas equipes jurídicas.
As vantagens da cloud privada do ponto de vista de soberania incluem: controle total sobre quem pode acessar fisicamente os servidores, clareza sobre a jurisdição aplicável (Brasil), ausência de subprocessadores estrangeiros no fluxo de dados, e capacidade de auditoria física da infraestrutura. Isso facilita as auditorias regulatórias do BACEN, da ANPD e de outros órgãos setoriais.
A cloud privada não é a única solução: algumas empresas adotam uma abordagem de soberania seletiva, mantendo dados sensíveis e regulados em cloud privada brasileira, enquanto utilizam nuvem pública para workloads não regulados como ambientes de desenvolvimento, analytics não-PII e aplicações de front-office. Essa arquitetura híbrida é reconhecida pela ANPD como uma abordagem válida de Privacy by Design.
Como Implementar Soberania de Dados na Prática
A implementação de uma estratégia de soberania de dados começa com um inventário: quais dados você possui, onde estão armazenados e processados, e quais regulações se aplicam a cada categoria. Sem esse mapeamento, qualquer iniciativa de conformidade será incompleta.
As etapas práticas para implementar soberania de dados incluem:
- Mapeamento de dados (ROPA): Registre as atividades de tratamento de dados conforme exigido pelo Art. 37 da LGPD — quais dados, de quem, para qual finalidade, onde armazenados e por quanto tempo
- Classificação por criticidade regulatória: Identifique quais dados precisam estar no Brasil por exigência regulatória (dados financeiros BACEN, prontuários médicos) e quais podem estar em qualquer jurisdição com contratos adequados
- Revisão contratual com provedores: Formalize DPAs com todos os provedores de cloud, SaaS e serviços de processamento de dados. Verifique se os contratos garantem auditabilidade, localização dos dados e condições de portabilidade
- Arquitetura de dados com Privacy by Design: Separe fisicamente dados regulados de dados não regulados. Implemente controles técnicos de acesso, criptografia em repouso e em trânsito, e logs de auditoria imutáveis
- Plano de resposta a incidentes: A LGPD exige notificação à ANPD em até 72 horas após o conhecimento de um incidente de segurança que possa causar risco ou dano aos titulares
Para fazer um diagnóstico rápido do nível de conformidade da sua infraestrutura atual, acesse o Checkup de Infraestrutura da Adentro — uma ferramenta gratuita que identifica os principais riscos de soberania e conformidade em menos de 10 minutos.
Veja também: AWS vs Cloud Privada: Quando Migrar e Quanto Economizar
Perguntas Frequentes sobre Soberania de Dados no Brasil
A LGPD exige que dados de brasileiros fiquem armazenados no Brasil?
Não necessariamente. A LGPD regula o tratamento de dados pessoais de indivíduos no Brasil, mas não proíbe a transferência internacional — desde que condições específicas sejam atendidas (Art. 33), como contratos DPA adequados, consentimento do titular ou equivalência do nível de proteção do país destinatário. Dados podem estar em servidores no exterior se os contratos e controles estiverem corretos.
Usar AWS sa-east-1 garante soberania de dados?
Garante que os dados estão fisicamente no Brasil, mas não elimina todos os riscos de soberania. A AWS é uma empresa americana sujeita ao CLOUD Act e ao Patriot Act, que podem permitir ao governo dos EUA requisitar dados armazenados pela AWS globalmente, incluindo no Brasil. Para setores altamente regulados, consulte assessoria jurídica especializada sobre os riscos específicos do seu caso.
Quais setores têm obrigação de manter dados no Brasil?
Não existe obrigação legal geral de manter dados no Brasil apenas por serem de brasileiros. No entanto, o setor financeiro (BACEN), saúde (em algumas interpretações do CFM) e governo (para dados classificados) possuem exigências específicas que na prática levam à localização no Brasil. Cada setor deve ser analisado individualmente com base na regulação aplicável.
LGPD e GDPR são compatíveis? Empresas que operam nos dois mercados precisam de duas infraestruturas?
LGPD e GDPR têm princípios similares mas requisitos técnicos distintos. Empresas que operam no Brasil e na União Europeia não precisam necessariamente de duas infraestruturas separadas, mas precisam de controles que atendam ao mais restritivo dos dois regimes — geralmente o GDPR. Transferências de dados entre Brasil e Europa exigem avaliação específica das hipóteses legais aplicáveis.
Como a soberania de dados afeta a escolha entre cloud pública e cloud privada?
Para empresas com requisitos regulatórios estritos (BACEN, saúde, governo) ou com dados altamente sensíveis, cloud privada brasileira gerenciada oferece maior controle sobre jurisdição, acesso físico e auditabilidade. Para empresas com dados pessoais comuns e riscos regulatórios menores, cloud pública com região brasileira e contratos DPA adequados pode ser suficiente. O Checkup da Adentro ajuda a identificar qual arquitetura se aplica ao seu perfil.
Você também pode se interessar:
