O que é soberania de dados e por que importa para empresas brasileiras

Em fevereiro de 2026, a ANPD deixou de ser autarquia especial e virou agência reguladora federal, ao lado da Anatel e da Anvisa. A Lei 15.352/2026 deu aos fiscais poder de polícia: interditar operação, apreender equipamento, requisitar apoio policial em caso de resistência. Um mês depois, o ECA Digital entrou em vigor e acelerou o ritmo de fiscalização.

Até agosto de 2024, a ANPD havia aplicado apenas duas multas formais, ambas a uma microempresa, somando R$ 14,4 mil. Nenhuma empresa privada de grande porte foi multada naquele ano. O volume de multas não é o que mudou. Mudou a capacidade da autarquia de fiscalizar: a nova estrutura elimina as restrições orçamentárias e de quadro que antes limitavam o número de processos sancionatórios em paralelo, e passa a contar com carreira própria de auditores.

Isso é risco operacional concreto para quem decide onde os dados de uma aplicação vão morar.

Soberania de dados é o mesmo que privacidade de dados?

Privacidade trata de como os dados são usados e quem pode acessá-los. Soberania trata de onde eles estão e sob qual jurisdição. As duas coisas podem divergir: um banco de dados nos Estados Unidos pode ter criptografia de ponta e controle de acesso rigoroso, isso é privacidade adequada, mas continua sujeito à legislação americana, ao Cloud Act e a ordens de acesso que a empresa brasileira não controla.

O detalhe que costuma escapar de quem desenha arquitetura: o Cloud Act se aplica a empresas de origem americana independentemente de onde o servidor físico está. Hospedar um banco de dados na região São Paulo de um hyperscaler americano não blinda a empresa da jurisdição dos EUA. O que blinda é o servidor físico e a sede jurídica do provedor estarem os dois em território nacional. É esse detalhe que torna um provedor 100% nacional relevante para dado sensível, além da localização geográfica em si.

O inverso também existe: dados armazenados no Brasil, com provedor nacional, mas com regras de acesso à rede abertas para a internet, são soberanos e ao mesmo tempo vulneráveis.

Para quem desenha arquitetura, essa distinção define duas perguntas separadas. Onde o dado reside, e sob qual jurisdição do provedor, determina qual Estado pode requisitá-lo. Como o dado é protegido determina se ele resiste a um vazamento. A LGPD cobra as duas coisas, mas por caminhos diferentes: o artigo 33 trata de transferência internacional, os artigos de segurança tratam de proteção técnica.

O que a Lei 15.352/2026 muda na prática?

A LGPD está em vigor desde 2020. O que muda agora é quem a aplica e com que músculo. Antes da Lei 15.352/2026, a ANPD era autarquia vinculada à Presidência, com orçamento e quadro técnico limitados. A transformação em agência reguladora trouxe autonomia financeira e administrativa, equiparando-a a órgãos como Anatel e Anvisa. Na prática, isso significa mais fiscais e mais capacidade de abrir processos. Trouxe também um instrumento novo: poder de polícia. Um fiscal da ANPD pode, em uma inspeção, interditar um datacenter. Pode apreender servidores. Pode pedir escolta policial se a empresa resistir.

O ECA Digital somou peso a esse movimento. Empresas que lidam com dados de crianças e adolescentes passaram a responder a exigências mais específicas de proteção e a um regime de fiscalização mais direto.

O efeito combinado já aparece na trajetória: entre 2021 e 2024 a ANPD operou em modo majoritariamente educativo, priorizando orientação a punição. A Deliberação CD-10/2025 já sinalizava a virada, ao introduzir multa diária para descumprimento de medidas cautelares. Com a nova estrutura de 2026, a barreira operacional que segurava esse enforcement deixa de existir. Uma política de privacidade no rodapé do site não resolve mais nada. O que resolve é provar, em auditoria, onde cada dado está, e sob qual base legal ele saiu do país, se saiu.

Transferência internacional: o que o artigo 33 permite (e o que exige)

A LGPD não proíbe hospedar dados fora do Brasil. O artigo 33 autoriza a transferência internacional em hipóteses específicas. Uma delas: o país de destino tem grau de proteção equivalente, reconhecido pela ANPD. Outra: existem cláusulas contratuais padrão ou normas corporativas globais que garantem o mesmo nível de proteção. A terceira: o titular consente de forma específica e destacada para aquele fim.

Cumprir isso exige documentação. É preciso saber qual cláusula contratual está em vigor com o provedor. É preciso ter clara a base legal para cada categoria de dado transferido. E, quando o consentimento é a base usada, é preciso ter evidência de que ele foi coletado de forma clara, não embutido em termos de uso genéricos.

Cada camada de transferência internacional é uma camada de auditoria a mais. Cada provedor no meio do caminho, um contrato a mais para revisar quando a ANPD pedir explicação.

Onde isso pega na arquitetura

Para times de infraestrutura, a virada regulatória se traduz em decisões concretas de onde e como hospedar.

Jurisdição do provedor como critério de arquitetura, não só de compliance. Hospedar com um provedor nacional, servidor físico e sede jurídica no Brasil, elimina a cadeia de justificativas do artigo 33 para o dado que nunca sai do país e a exposição ao Cloud Act de provedores estrangeiros. Não é escapar da LGPD. É reduzir a superfície de auditoria.

Descoberta e classificação de dados por design. Se um fiscal pede para provar onde um dado específico está e sob qual base ele foi tratado, a resposta precisa vir de um Data Catalog automatizado ou de ferramentas de Data Security Posture Management (DSPM), com mapeamento de PII já no momento da ingestão. Uma investigação manual em dezenas de tabelas de produção, feita sob pressão de fiscalização, não escala e não convence auditor.

Latência como efeito colateral, não como argumento principal. Um data center no Brasil também aproxima fisicamente a aplicação do usuário final, reduzindo o tempo de resposta em dezenas de milissegundos para tráfego doméstico. É um ganho real, mas separado do argumento de soberania. Confundir os dois enfraquece a decisão técnica.

Multicloud com cuidado redobrado. Se a arquitetura usa provedores nacionais e internacionais ao mesmo tempo, cada rota de dado entre eles precisa da mesma documentação de base legal exigida pelo artigo 33. Multiplicar provedores multiplica pontos de auditoria.

Infraestrutura como código como evidência, não só como automação. Um pipeline que provisiona recursos via Terraform ou Ansible gera, como efeito colateral, um histórico versionado de onde cada recurso foi criado e quando mudou. Esse histórico vira prova em auditoria: mostra a região de cada banco de dados, cada bucket de armazenamento, cada instância, sem depender de alguém lembrar ou reconstruir manualmente a topologia depois do fato.

Backup e disaster recovery também são jurisdição. É comum times tratarem produção com rigor regulatório e esquecerem a arquitetura de contingência. Habilitar replicação assíncrona de banco de dados para o exterior, ou configurar Cross-Region Replication em buckets de storage para fins de disaster recovery, configura transferência internacional do ponto de vista da ANPD. O dado replicado numa réplica de DR ou num ambiente de staging fora do país precisa exatamente da mesma base legal e da mesma documentação do dado em produção.

A decisão prática: nuvem nacional como base sólida

Para uma aplicação cujo público majoritário está no Brasil, rodar no core da internet brasileira, com provedor cuja sede jurídica também está no país, reduz simultaneamente dois riscos que costumam ser tratados separadamente: o risco regulatório de transferência internacional (incluindo a exposição ao Cloud Act de provedores estrangeiros) e o risco técnico de latência.

Uma base sólida de infraestrutura nacional não elimina a necessidade de classificar dados, documentar bases legais e manter logs de acesso. Elimina a camada extra de complexidade jurídica que vem de depender de jurisdição estrangeira para o dado que não precisa sair do Brasil.

Esse é o racional por trás do Locaweb Cloud: infraestrutura com Zonas de Disponibilidade no Brasil, cobrança em reais e suporte técnico local, para quem constrói aplicações que atendem majoritariamente usuários brasileiros e precisa reduzir a distância entre decisão de arquitetura e decisão regulatória.

Antes de migrar workloads inteiros, vale mapear quais dados hoje trafegam para fora do país, sob qual base legal, e se essa transferência ainda faz sentido técnico ou é apenas herança de um contrato antigo. Esse mapeamento costuma revelar dados, incluindo backups e réplicas de DR, que nunca precisaram sair do Brasil e que ninguém mais lembra por que foram parar lá.

Para times pequenos, sem estrutura dedicada a compliance, o caminho mais direto costuma ser reduzir o número de jurisdições envolvidas antes de tentar documentar perfeitamente todas elas. Um dado que nunca sai do Brasil, com provedor de sede nacional, não precisa de cláusula contratual, avaliação de adequação nem evidência de consentimento específico para transferência internacional. A conformidade mais barata é a que elimina a necessidade de prová-la.

FAQ – Perguntas frequentes sobre soberania de dados