Soberania de Dados e Backup no Brasil: Guia para Empresas

Pontos-Chave

• Soberania de dados (data sovereignty) significa que dados digitais estão sujeitos às leis do país onde ficam armazenados fisicamente
• A LGPD (Lei 13.709/2018) condiciona a transferência internacional aos Arts. 33-36, exigindo nível adequado de proteção no país de destino
• Setores como financeiro (BACEN), saúde (ANS), governo e telecomunicações possuem regras que favorecem ou exigem armazenamento em território nacional
• O CLOUD Act americano permite que autoridades dos EUA acessem dados em provedores americanos mesmo fora do seu território — risco concreto para empresas brasileiras
• Manter backups em nuvem no Brasil reduz latência de restauração, simplifica auditorias e elimina conflitos jurisdicionais

Quando uma empresa brasileira armazena seus backups em servidores localizados nos Estados Unidos, na Irlanda ou em Singapura, ela pode estar, sem saber, entregando a jurisdição sobre seus dados a um governo estrangeiro. Essa situação, cada vez mais comum na era da computação em nuvem, coloca em xeque um conceito fundamental: a soberania de dados.

O tema ganhou relevância exponencial nos últimos anos. A entrada em vigor da LGPD, as regulamentações setoriais cada vez mais rígidas e incidentes internacionais envolvendo acesso governamental a dados de empresas estrangeiras transformaram a localização do backup corporativo em decisão estratégica — não apenas técnica.

Neste artigo, vamos explorar o que significa soberania de dados no contexto brasileiro, o que a legislação exige, quais setores têm obrigações específicas e como avaliar se o seu provedor de backup realmente garante que seus dados permaneçam sob jurisdição nacional.

O Que É Soberania de Dados

Soberania de dados (data sovereignty) é o princípio jurídico e técnico segundo o qual dados digitais estão sujeitos às leis e à governança do país ou território onde são fisicamente armazenados. Isso significa que, independentemente de onde a empresa controladora esteja sediada, os dados obedecem à jurisdição do local onde residem.

Na prática, o conceito tem três dimensões:

• Jurisdição legal: as autoridades do país onde os dados estão armazenados podem exigir acesso a eles, inclusive por ordem judicial. Se seus backups estão nos EUA, o governo americano pode, em tese, acessá-los via CLOUD Act
• Regulação aplicável: as leis de proteção de dados do país de armazenamento se aplicam diretamente. Dados no Brasil seguem a LGPD; dados na Europa seguem o GDPR; dados nos EUA seguem legislação estadual fragmentada
• Controle operacional: a capacidade de acessar, restaurar e auditar dados depende de acordos legais entre jurisdições. Em caso de litígio internacional, a empresa pode perder temporariamente o acesso aos seus próprios dados

Para empresas brasileiras, a questão é direta: onde estão seus backups, e quem mais pode acessá-los? Essa pergunta deveria estar no centro de qualquer política de backup, mas frequentemente é ignorada.

O conceito vai além da conformidade regulatória. Trata-se de autonomia estratégica. Uma empresa que não controla a localização dos seus dados não controla, de fato, seus dados. E em cenários de crise geopolítica, sanções internacionais ou mudanças regulatórias abruptas, essa falta de controle pode se tornar um risco existencial.

LGPD e Armazenamento de Dados: O Que Diz a Lei

A Lei Geral de Proteção de Dados (Lei 13.709/2018) não proíbe, de forma absoluta, o armazenamento de dados fora do Brasil. Porém, os artigos 33 a 36 estabelecem condições rigorosas para a transferência internacional de dados pessoais, que impactam diretamente a escolha de onde manter backups.

Artigo 33 — Condições para Transferência Internacional

A transferência internacional de dados pessoais somente é permitida nas seguintes hipóteses:

1. Para países ou organismos internacionais que proporcionem grau de proteção de dados pessoais adequado ao previsto na LGPD (avaliação feita pela ANPD)
2. Quando o controlador oferecer e comprovar garantias de cumprimento, por meio de cláusulas contratuais específicas, cláusulas-padrão contratuais ou normas corporativas globais
3. Quando a transferência for necessária para cooperação jurídica internacional entre órgãos de inteligência, investigação ou Ministério Público
4. Quando necessária para proteção da vida ou incolumidade física do titular ou de terceiro
5. Quando a ANPD autorizar a transferência
6. Quando houver consentimento específico e destacado do titular

Artigo 34 — Nível Adequado de Proteção

O nível de proteção de dados do país de destino será avaliado pela ANPD, que considerará a legislação vigente, os mecanismos de supervisão e a existência de autoridade de proteção de dados. Até o momento, a ANPD ainda não publicou lista definitiva de países com nível adequado — o que cria incerteza jurídica para empresas que armazenam dados fora do Brasil.

Artigo 35 — Cláusulas Contratuais

Na ausência de decisão de adequação, o controlador pode utilizar cláusulas contratuais específicas aprovadas pela ANPD, normas corporativas globais ou selos e certificados emitidos para fins de transferência. Essas cláusulas devem garantir direitos equivalentes aos previstos na LGPD.

Artigo 36 — Alterações nas Garantias

Mudanças nas garantias apresentadas pelo controlador devem ser comunicadas à ANPD, que poderá rever a autorização de transferência.

O Que Isso Significa na Prática

A realidade é que a ANPD ainda está regulamentando diversos aspectos da transferência internacional. Enquanto não houver lista de países adequados e cláusulas-padrão definitivas, a empresa que mantém dados pessoais fora do Brasil assume um risco regulatório adicional. Manter backups em data centers no Brasil elimina completamente esse risco, simplifica a demonstração de compliance LGPD e reduz a complexidade de auditorias.

Para um guia completo sobre as obrigações da LGPD aplicadas ao backup, consulte nosso artigo detalhado sobre LGPD e backup.

Regulamentações Setoriais no Brasil

Além da LGPD, diversos setores econômicos possuem regulamentações próprias que impactam diretamente onde e como os dados devem ser armazenados. Essas normas, em muitos casos, são mais restritivas que a legislação geral.

Para empresas que atuam em múltiplos setores regulados, a complexidade se multiplica. Uma fintech que também processa dados de saúde (caso de healthtechs com serviços financeiros) precisa atender simultaneamente às exigências do BACEN, da LGPD para dados sensíveis e das normas do CFM. Nesse cenário, manter todos os backups no Brasil simplifica drasticamente o compliance. Para aprofundar as exigências do setor financeiro, consulte nosso artigo sobre compliance BACEN e backup.

Órgãos públicos e empresas que prestam serviços ao governo enfrentam restrições ainda mais rígidas. O Decreto 8.771/2016, que regulamenta o Marco Civil da Internet, determina que registros de conexão e de acesso da administração pública devem ser armazenados em formato que permita controle sobre práticas de gerenciamento — o que, na prática, favorece fortemente data centers em território nacional.

Riscos de Armazenar Backups Fora do Brasil

Armazenar backups no exterior pode parecer vantajoso em termos de custo ou diversidade geográfica. Porém, os riscos associados são frequentemente subestimados — e podem ter consequências severas quando se materializam.

1. Jurisdição estrangeira sobre seus dados (CLOUD Act)

O Clarifying Lawful Overseas Use of Data Act (CLOUD Act), aprovado nos Estados Unidos em 2018, permite que autoridades americanas exijam de provedores de tecnologia sediados nos EUA a entrega de dados armazenados em qualquer lugar do mundo. Isso significa que, se sua empresa usa um provedor americano de nuvem — mesmo com data center no Brasil — o governo dos EUA pode, em tese, ter acesso aos seus dados.

Esse risco não é teórico. Diversas ordens judiciais já foram emitidas sob o CLOUD Act, e o mecanismo de acordos bilaterais (executive agreements) entre os EUA e outros países está em expansão. Para uma empresa brasileira que armazena dados pessoais de clientes, isso pode criar conflito direto com a LGPD — a lei brasileira proíbe compartilhamento sem base legal, enquanto a lei americana pode obrigar a entrega.

2. Latência na restauração

Em cenários de disaster recovery, cada minuto conta. Restaurar dados a partir de data centers localizados em outros continentes introduz latência significativa que pode comprometer o RTO (Recovery Time Objective) definido pela empresa.

• Restauração local (data center no Brasil): transferência em rede de alta velocidade, latência de 5-20 ms
• Restauração internacional (EUA/Europa): latência de 120-250 ms, com throughput limitado pela distância e congestionamento de rotas internacionais
• Impacto prático: restaurar 1 TB de dados de um data center na Virgínia (EUA) pode levar 3-5x mais tempo do que de um data center em São Paulo

Esse atraso pode ser a diferença entre cumprir ou não o RTO, especialmente para sistemas críticos de fintechs, instituições de saúde e órgãos públicos.

3. Dificuldade em auditorias presenciais

Reguladores brasileiros — BACEN, ANPD, ANS, Anatel — podem exigir auditorias presenciais nos locais de armazenamento. Quando o data center está em outro país, surgem obstáculos práticos:

• Necessidade de vistos e autorizações de viagem para equipe de auditoria
• Limitações legais do país anfitrião sobre acesso a instalações de terceiros
• Custos elevados de deslocamento internacional para auditorias periódicas
• Fuso horário dificultando coordenação de incidentes em tempo real

4. Conflitos jurisdicionais em litígios

Quando há litígio envolvendo dados armazenados no exterior, a empresa pode enfrentar situações onde duas jurisdições emitem ordens contraditórias. Por exemplo: a justiça brasileira ordena preservação de dados enquanto a jurisdição estrangeira ordena exclusão (ou vice-versa). Nesses casos, a empresa fica em posição impossível — cumprir uma ordem significa violar a outra.

5. Risco de sanções e bloqueios geopolíticos

Em contextos de tensão geopolítica, governos podem impor sanções que afetam provedores de nuvem. Se os dados da sua empresa estão em data center de um país que sofre sanções, ou se o provedor é de país que impõe sanções ao Brasil (cenário improvável, mas não impossível), o acesso pode ser comprometido. Manter cópias no Brasil é uma forma de resiliência geográfica que protege contra esse risco.

Vantagens de Data Centers no Brasil para Backup

Manter backups em data centers Tier III+ localizados no Brasil oferece vantagens que vão além do compliance regulatório. Trata-se de uma decisão que impacta desempenho, segurança jurídica e capacidade operacional.

Latência otimizada para restauração

Data centers no Brasil garantem que a restauração de dados ocorra com latência mínima. Para operações críticas que exigem RTO agressivo, a proximidade geográfica é determinante. Restaurar um banco de dados de produção em 30 minutos é viável com data center local; com data center no exterior, o mesmo volume pode exigir horas.

Conformidade simplificada

Quando todos os dados estão em território nacional, a empresa precisa demonstrar conformidade com apenas uma jurisdição. Não há necessidade de avaliar adequação do país de destino (Art. 33 da LGPD), negociar cláusulas contratuais específicas para transferência internacional ou monitorar mudanças regulatórias em múltiplas jurisdições.

• Auditorias da ANPD facilitadas — sem necessidade de coordenação internacional
• Resposta a incidentes mais ágil — equipe local pode atuar presencialmente
• Certificações ISO 27001 e PCI DSS com escopo mais controlado
• Relatórios de compliance gerados com dados acessíveis localmente

Auditabilidade presencial

Reguladores, auditores externos e equipes internas de compliance podem visitar o data center para verificações sem a complexidade logística de viagens internacionais. Essa acessibilidade demonstra transparência e compromisso com a governança de dados.

Segurança jurídica plena

Dados armazenados no Brasil estão sujeitos exclusivamente à jurisdição brasileira. Não há risco de conflito com CLOUD Act, GDPR ou qualquer outra legislação estrangeira. Em caso de litígio, a empresa tem certeza de que os dados estarão acessíveis e protegidos pela legislação nacional.

Suporte e operação no mesmo fuso

Incidentes de segurança não escolhem horário. Quando o data center e a equipe de suporte estão no mesmo fuso horário, a resposta a incidentes é imediata. Com provedores internacionais, pode haver atraso de horas até que a equipe do data center esteja disponível — tempo que, em caso de ataque de ransomware, pode ser a diferença entre recuperação e perda irreversível.

Como Avaliar se Seu Provedor Garante Soberania de Dados

Nem todo provedor que anuncia "data center no Brasil" garante, de fato, soberania de dados. Existem nuances técnicas e jurídicas que precisam ser verificadas. Use este checklist para avaliar seu provedor atual ou potencial:

Localização física dos dados

• O provedor confirma por contrato que todos os dados (primários e réplicas) permanecem em data centers no Brasil?
• Metadados, índices e logs de auditoria também ficam em território nacional, ou apenas os dados primários?
• Existe cláusula que proíbe transferência para fora do país sem consentimento explícito do cliente?
• O provedor informa a localização exata dos data centers (cidade, certificação do data center)?

Criptografia e gestão de chaves

• Os dados são criptografados em repouso com AES-256 ou equivalente?
• A transferência é protegida com TLS 1.2 ou superior?
• As chaves de criptografia são gerenciadas pelo cliente, ou ficam sob controle exclusivo do provedor?
• Existe opção de customer-managed keys (BYOK — Bring Your Own Key)?

A criptografia é fundamental, mas só é efetiva se a gestão de chaves estiver sob controle adequado. Se o provedor detém as chaves e está sediado em país sujeito ao CLOUD Act, a criptografia não protege contra acesso governamental estrangeiro. Para mais detalhes, consulte nosso guia sobre backup criptografado.

Controle de acesso (RBAC)

• O sistema implementa controle de acesso baseado em função (RBAC)?
• Existe autenticação multifator (MFA/2FA) obrigatória para acesso administrativo?
• Logs de acesso são imutáveis e auditáveis?
• O provedor oferece segregação de ambientes (produção, homologação, DR)?

Certificações e conformidades

• O data center possui certificação Tier III ou superior do Uptime Institute?
• O provedor possui certificação ISO 27001 (gestão de segurança da informação)?
• Há certificação SOC 2 Type II (controles de segurança auditados)?
• O provedor atende requisitos de PCI DSS para dados de pagamento?
• Existem relatórios de auditoria independente disponíveis para clientes?

Contrato e SLA

• O contrato especifica a localização geográfica dos dados?
• Existe SLA com garantias de RTO e RPO?
• O contrato prevê portabilidade de dados em caso de encerramento?
• Há cláusula de notificação em caso de ordem judicial estrangeira para acesso aos dados?
• O provedor aceita auditorias presenciais pelo cliente ou por terceiros designados?

Sede e jurisdição do provedor

• O provedor é empresa brasileira ou subsidiária de empresa estrangeira?
• Se for empresa estrangeira, está sujeito ao CLOUD Act ou legislação similar?
• Os dados estão protegidos contra ordens judiciais de jurisdições estrangeiras?
• Qual legislação rege o contrato — brasileira ou estrangeira?

Esse checklist deve ser aplicado não apenas na contratação inicial, mas também em revisões periódicas, pois provedores podem alterar sua infraestrutura, migrar data centers ou mudar sua estrutura societária.

Próximos Passos

A soberania de dados não é luxo regulatório — é necessidade operacional e jurídica para empresas que levam a sério a proteção das suas informações. Aqui está o caminho recomendado:

• Mapeie onde seus dados estão hoje: identifique todos os locais de armazenamento de backups, incluindo réplicas e cópias secundárias. Muitas empresas descobrem que dados estão em jurisdições que desconheciam
• Avalie o risco jurisdicional: para cada local de armazenamento, analise a legislação aplicável e os riscos de acesso por autoridades estrangeiras
• Revise contratos com provedores: verifique se os contratos garantem explicitamente a localização dos dados e incluem proteções contra transferência não autorizada
• Implemente a regra 3-2-1 com pelo menos uma cópia em data center brasileiro — de preferência todas
• Formalize na política de backup: a localização geográfica dos dados e os critérios para seleção de provedores devem constar na política corporativa
• Alinhe com regulamentações setoriais: se sua empresa atua em setor regulado (financeiro, saúde, governo), garanta que o armazenamento atende às normas específicas
• Considere backup gerenciado: um provedor de Backup as a Service (BaaS) com data centers no Brasil simplifica compliance e reduz a carga operacional da equipe de TI
• Revise o guia completo de compliance LGPD da DataBackup para garantir que sua estratégia de backup atende a todos os requisitos legais

A soberania de dados é um tema que só tende a ganhar relevância. Com a ANPD amadurecendo sua atuação fiscalizatória e as regulamentações setoriais se tornando mais rigorosas, empresas que anteciparem a adequação estarão em posição de vantagem — tanto em compliance quanto em confiança dos clientes e parceiros.

Precisa garantir que seus backups estejam em território nacional com segurança e compliance? Fale com os especialistas da DataBackup via WhatsApp ou conheça nossos planos com data centers Tier III+ no Brasil, criptografia AES-256, controle de acesso RBAC e trilhas de auditoria completas.