Ter seu servidor em São Paulo não significa que seus dados são soberanos. Uma empresa americana com datacenter no Brasil ainda pode ser obrigada por lei americana a entregar seus dados ao governo dos EUA. Entender essa distinção é o ponto de partida para qualquer decisão séria sobre onde e com quem sua empresa armazena informação crítica.
O que é soberania de dados
Soberania de dados é o princípio de que os dados produzidos num país estão sujeitos à legislação desse país — e somente a ela. Na prática, isso engloba três dimensões:
Jurisdição legal: os dados são regidos pelas leis do país onde foram gerados, não pelas leis do país onde a empresa provedora de tecnologia está sediada.
Localização física: os dados residem em infraestrutura localizada no território nacional — não apenas em qualquer lugar do mundo a critério do provedor.
Controle operacional: o acesso aos dados é controlado por entidades sujeitas à lei nacional, não por corporações estrangeiras que podem receber ordens legais de outras jurisdições.
Os três precisam estar presentes para que haja soberania real. Qualquer um ausente cria uma brecha.
Por que o tema ganhou urgência
Três fatores convergiram para colocar soberania de dados no topo da agenda:
LGPD (2020): a lei brasileira de proteção de dados trouxe consciência sobre quem controla dados de brasileiros e sob qual regime legal esses dados são tratados. Transferência internacional de dados passou a exigir justificativa.
CLOUD Act americano (2018): o Clarifying Lawful Overseas Use of Data Act permite que autoridades americanas exijam de empresas americanas o fornecimento de dados armazenados em qualquer lugar do mundo — incluindo no Brasil — mesmo sem cooperação das autoridades brasileiras. Isso é lei americana vigente.
Dependência de big techs: a pandemia e a aceleração digital expuseram o quanto governos, empresas e infraestrutura crítica dependem de AWS, Microsoft Azure e Google Cloud — todas americanas. A interrupção ou negação de acesso a esses serviços teria impacto sistêmico.
O que diferencia soberania de “apenas estar no Brasil”
Esse é o ponto mais crítico e mais frequentemente mal compreendido.
Cenário 1 — AWS com região no Brasil (São Paulo):
Seus dados estão fisicamente em São Paulo, em hardware da Amazon. A empresa que opera a infraestrutura é americana, sujeita ao CLOUD Act. Se o Departamento de Justiça dos EUA emitir um mandado para a Amazon sob o CLOUD Act, a Amazon pode ser obrigada a entregar esses dados — sem necessidade de cooperação do governo brasileiro.
Cenário 2 — Empresa americana com datacenter no Brasil operado por subsidiária:
Situação similar. A subsidiária pode ser empresa brasileira juridicamente, mas se a controladora é americana, a jurisdição americana pode alcançar os dados através da estrutura corporativa.
Cenário 3 — Empresa brasileira com datacenter no Brasil:
Os dados estão fisicamente no Brasil, a empresa operadora é sujeita à lei brasileira, qualquer acesso estrangeiro precisa de cooperação entre os governos (via MLAT — Mutual Legal Assistance Treaty) ou autorização do Judiciário brasileiro. Isso é soberania operacional real.
A diferença entre os cenários 1/2 e o cenário 3 não é teórica — é a diferença entre ter dados que podem ser acessados por autoridade estrangeira sem sua ciência versus dados que só são acessados com intervenção do sistema judicial brasileiro.
Iniciativas brasileiras de soberania digital
O Brasil tem avançado, ainda que gradualmente, em políticas de soberania digital:
Estratégia Brasileira de Transformação Digital (E-Digital): inclui eixo de soberania e segurança digital, com objetivo de reduzir dependência de tecnologia estrangeira em infraestrutura crítica.
Política Nacional de Segurança da Informação: estabelece diretrizes para proteção de dados do governo federal, incluindo preferência por soluções nacionais ou soberanas para dados sensíveis do Estado.
Discussão sobre cloud soberana: o Governo Federal tem debatido a criação de uma infraestrutura de cloud soberana para dados governamentais classificados, seguindo exemplos da França (HDS e SecNumCloud) e Alemanha (GAIA-X).
Marco Legal da IA (em discussão): inclui aspectos de soberania sobre dados usados no desenvolvimento de sistemas de inteligência artificial — refletindo a preocupação de que dados brasileiros não alimentem modelos controlados por outras potências.
Como isso afeta decisões de cloud corporativa
Para a maioria das empresas privadas, soberania de dados não é um requisito legal absoluto — é uma decisão de risco. As perguntas certas são:
Que tipo de dado você armazena? Dados de clientes com perfil estratégico, propriedade intelectual, planos de negócio, dados de infraestrutura crítica — quanto mais sensível, mais a soberania importa.
Quem são seus clientes? Governo federal, defesa, saúde pública, infraestrutura crítica — setores que já têm ou provavelmente terão exigências de soberania por regulação.
Qual o seu perfil de risco? Se você for alvo de investigação regulatória estrangeira, seus dados em cloud americana poderiam ser acessados sem sua participação? Isso é aceitável para o seu negócio?
Você tem clientes que exigem soberania? Cada vez mais licitações públicas e contratos com empresas de infraestrutura crítica incluem requisitos de localização de dados e jurisdição.
A Adentro é empresa brasileira, operando datacenters no Brasil, com infraestrutura sujeita exclusivamente à jurisdição brasileira. Para dados que precisam ficar no Brasil de verdade, fale com a gente.