LGPD e Cloud Computing: onde seus dados precisam estar

Toda aplicação que trata dado pessoal de gente no Brasil responde à LGPD, mesmo com o servidor em outro país. A lei não exige hospedagem nacional. Exige que você saiba, documente e sustente juridicamente para onde esse dado vai. Hospedar fora é permitido; fazer isso sem esse preparo é o que separa um deploy tranquilo de um passivo jurídico esperando para acontecer.

O trabalho começou a ficar concreto em 2024, quando a ANPD publicou a Resolução CD/ANPD nº 19/2024, o Regulamento de Transferência Internacional de Dados. Antes dela, o artigo 33 da LGPD listava as hipóteses de transferência sem detalhar o procedimento. A resolução fechou essa lacuna: definiu os mecanismos válidos e o modelo de cláusulas contratuais que qualquer empresa pode usar.

Os mecanismos que a ANPD reconhece hoje

A resolução regula cinco mecanismos de transferência internacional. Na prática, dois cobrem a maioria dos casos de infraestrutura.

Decisão de adequação: A ANPD reconhece um país ou organismo internacional como equivalente ao padrão de proteção da LGPD. Transferências para lá dispensam mecanismo adicional. Até o momento, a União Europeia é o único caso: a Resolução nº 32/2026 formalizou esse reconhecimento em janeiro de 2026. Fora esse corredor, nenhum outro país tem decisão de adequação publicada.

Cláusulas-padrão contratuais (SCCs brasileiras): Modelo fixo, publicado no Anexo II do Regulamento, que qualquer empresa pode incorporar a contratos existentes sem modificação. É o caminho padrão para fornecedores com servidores fora da UE, EUA incluído.

Há ainda cláusulas equivalentes, cláusulas específicas e normas corporativas globais, mas esses três mecanismos dependem de aprovação prévia da própria ANPD, e o site oficial da autoridade não registrava nenhum caso aprovado até a publicação deste artigo. Na prática, para a maioria dos projetos, a decisão real está entre usar um provedor com adequação (UE), assinar SCC com um provedor fora dela, ou manter o dado no Brasil e não abrir esse processo.

O provedor não hospeda no Brasil? Isso não te livra de nada

Um erro comum de arquitetura: tratar a política de dados do fornecedor cloud como se fosse a política de compliance da própria empresa. Quem responde perante a ANPD é o controlador ou operador que decidiu tratar aquele dado, não o data center que guarda o disco.

Se sua stack depende de um SaaS sem região Brasil (ferramenta de CRM, gateway de pagamento internacional, serviço de analytics hospedado fora), alguém no time precisa mapear qual é o mecanismo de transferência em vigor com esse fornecedor, se há SCC assinada, e se o contrato já foi aditado depois da Resolução 19/2024. Esse mapeamento entra no ROPA (Registro de Operações de Tratamento de Dados), documento que a ANPD pode requisitar em uma fiscalização.

A fiscalização deixou de ser hipotética. A ANPD lançou em novembro de 2025 o Painel da Fiscalização, ferramenta pública que mostra o volume de processos administrativos sancionadores em andamento. A autarquia também mudou de status: a Lei nº 15.352/2026 transformou a ANPD em agência reguladora autônoma, com mais orçamento e quadro de servidores. O primeiro caso privado sancionado com multa pecuniária foi a Telekall, penalizada por tratar dado sem base legal e não responder às requisições da autoridade.

Onde a arquitetura entra: isolamento como resposta técnica

Reduzir a superfície de risco de LGPD é, em boa parte, uma decisão de arquitetura antes de ser uma decisão jurídica. Três escolhas concretas mudam o tamanho do problema:

Isolamento de recursos entre ambientes: Rodar produção, homologação e bases de clientes em VPCs isoladas, com regras de ingress e egress bem definidas via security groups ou firewalls, evita que uma credencial vazada ou uma vulnerabilidade em um ambiente exponha o dado de outro. Em redes flat, sem segmentação adequada, uma invasão em um serviço periférico permite movimentação lateral livre pela rede inteira. Isolamento de rede impõe limites rígidos, o equivalente a Zero Trust em nível de infraestrutura, e fecha esse vetor de ataque.

Infraestrutura como código, com histórico auditável: Descrever rede, firewall e política de acesso em Terraform em vez de configurar manualmente no painel, aliado a práticas de GitOps, cria um rastro criptográfico e auditável de cada mudança. Quando a ANPD pede para reconstituir como uma política de acesso mudou ao longo do tempo, o histórico de commits do repositório responde quem mudou, quando e por quê, em minutos. Configuração manual dispersa via interface web não deixa esse histórico.

Data center com jurisdição clara: Rodar a carga de trabalho crítica em uma cloud com data center no Brasil elimina, de saída, a pergunta sobre qual mecanismo de transferência internacional se aplica àquele fluxo específico de dado. Isso não elimina a responsabilidade de compliance como um todo, mas reduz o número de contratos, SCCs e revisões que precisam ser mantidos vivos.

Uma arquitetura baseada em CloudStack, como a da Locaweb Cloud, entrega VPC isolada, regras de firewall por API e integração nativa com Terraform. É a combinação que permite tratar isolamento e rastreabilidade como parte do provisionamento, não como tarefa extra depois do deploy.

Isso importa mais do que parece numa esteira de CI/CD real. Um pipeline que provisiona ambiente novo a cada deploy de feature precisa que a política de rede daquele ambiente efêmero nasça isolada por padrão, não como configuração aplicada depois manualmente por alguém que lembrou. Quando o isolamento é parte do template de infraestrutura, ele viaja junto com cada ambiente que o time cria, de homologação a produção. Quando não é, cada novo ambiente reabre a pergunta de segurança do zero, e a resposta depende de quem configurou naquele dia.

O mesmo raciocínio vale para o inventário de contratos que sustenta a transferência internacional de dados: cada fornecedor externo novo, cada integração de SaaS, é mais uma peça que precisa entrar no ROPA e ser revisada quando a regra muda. Rodar a carga sensível em uma cloud brasileira reduz esse inventário ao necessário, com menos fornecedor externo tratando dado pessoal, menos SCC para manter viva, menos superfície para uma fiscalização auditar.

O que muda na prática do dia a dia de quem constrói

A sanitização e o mascaramento de dado sensível (data masking) para evitar exposição de PII em logs de aplicação não são frescura de compliance. São decisões críticas de configuração e runtime. Alguns pontos que entram direto na esteira de CI/CD:

• Gestão de segredos: variáveis de ambiente, tokens e credenciais de banco nunca devem ser versionados no código. Precisam ser injetados em runtime através de cofres de segredos, como HashiCorp Vault ou os gerenciadores nativos da cloud.
• Anonimização de dados: bases de clientes em produção nunca devem ser clonadas para ambientes de homologação ou desenvolvimento sem passar por data masking ou anonimização que gere dados sintéticos.
• Rollback de deploy precisa preservar o mesmo nível de isolamento de rede da versão anterior, não só o código.
• Snapshot e backup de volume também são dado pessoal quando contêm base de cliente. Política de retenção se aplica a eles com o mesmo rigor.
• Qualquer integração nova com SaaS externo entra no ROPA antes de ir para produção, não depois de um incidente.

LGPD deixou de ser checklist de onboarding. Virou requisito de arquitetura contínuo. A pergunta muda de “estamos em conformidade?” para “toda decisão de infraestrutura que tomamos essa semana manteve a conformidade que já tínhamos?”.

Rodar no core da internet brasileira resolve a metade jurisdicional dessa equação. A outra metade, isolamento, rastreabilidade e documentação, é trabalho de arquitetura que nenhum data center resolve sozinho. Infraestrutura resolve onde o dado mora. Engenharia resolve como ele é protegido enquanto está lá.

FAQ – Perguntas frequentes sobre LGPD e cloud computing