Mais de 60% da carga digital brasileira ainda é processada fora do Brasil. Esse número, por si só, resume o tamanho do desafio que a repatriação de dados representa para a soberania do país. A Nuvem Soberana, nome pelo qual ficou conhecida a nuvem de governo estruturada pelo Ministério da Gestão e da Inovação em Serviços Públicos em parceria com o Serpro, Serviço Federal de Processamento de Dados, e a Dataprev, empresa pública de gestão dos sistemas de previdência e seguridade social, avançou com velocidade desde a sua disponibilização em junho de 2025 e já atende mais de 250 órgãos do Executivo Federal. Essa é uma conquista real. Só que ela convive com contradições internas que comprometem a coesão do Estado e com uma vulnerabilidade estrutural que nenhum data center resolve por si só: a questão das chaves criptográficas, o mecanismo que define quem efetivamente controla o acesso aos dados. Entender o que já está protegido, o que está entrando agora e o que ainda falta é o passo necessário para avaliar com honestidade onde o Brasil está nessa corrida pela independência digital.
O que é a Nuvem Soberana e por que ela representa um marco para o país
A Nuvem Soberana, formalmente denominada Nuvem de Governo, é uma infraestrutura de armazenamento e processamento de dados operada diretamente por empresas públicas brasileiras, com servidores físicos localizados em território nacional e sujeitos ao arcabouço legal brasileiro, em especial à LGPD, Lei Geral de Proteção de Dados Pessoais. Ela foi estruturada a partir de uma parceria entre o MGI, Ministério da Gestão e da Inovação em Serviços Públicos, o Serpro e a Dataprev, visando garantir que dados sensíveis do Estado sejam tratados sob jurisdição nacional, com conformidade simultânea à LGPD e à LAI, Lei de Acesso à Informação.
O modelo adotado pelo Brasil combina dois eixos de soberania. O primeiro é a soberania dos dados: todo o armazenamento e processamento ocorrem em data centers brasileiros, sob legislação nacional. O segundo é a soberania operacional: a gestão é 100% estatal, conduzida pelo Serpro e pela Dataprev, mesmo quando a infraestrutura física utiliza equipamentos de grandes fabricantes internacionais instalados nos centros de processamento das próprias estatais.
Esse arranjo resolve um equívoco frequente no debate sobre soberania digital: a ideia de que ter um servidor físico no Brasil é suficiente para garantir controle sobre os dados. Não é. O que define soberania não é a localização do equipamento, mas quem o opera e sob qual lei ele responde. Consuelo Rodrigues analisa essa iniciativa como um alicerce necessário para a governança digital do Estado, não como uma solução completa. A Nuvem Soberana busca garantir que a gestão esteja nas mãos do Estado brasileiro e que os dados respondam ao arcabouço legal nacional, fortalecendo tanto os direitos dos cidadãos quanto os interesses estratégicos do país. O que ainda falta é coesão institucional, ponto que detalho mais adiante.
O patrimônio digital da cidadania brasileira que a Nuvem Soberana já protege
Os dados que já passaram a ser processados e armazenados sob a Nuvem Soberana compõem o que considero o patrimônio digital da cidadania brasileira: registros que sustentam a vida cotidiana e os direitos fundamentais de dezenas de milhões de pessoas.
O GOV.BR, plataforma de identidade digital do governo federal, abriga 170 milhões de usuários e dá acesso simplificado a serviços de múltiplas esferas de governo, da CNH digital à declaração de imposto de renda online. A Dataprev dá suporte ao CadÚnico, Cadastro Único para Programas Sociais do Governo Federal, sistema com 96 milhões de cadastros que é o pilar operacional do Bolsa Família, do Seguro Desemprego e de outros programas de previdência e seguridade social. A esses se somam dados críticos do SUS, Sistema Único de Saúde, da Receita Federal e da nova plataforma da Reforma Tributária.
A proteção dessas bases dentro de uma infraestrutura sob controle estatal não é apenas uma decisão técnica. É uma decisão de governança com implicações diretas para a dignidade e a autonomia dos cidadãos. Imagine as consequências de uma situação de instabilidade geopolítica que afetasse o acesso a essas plataformas: pessoas sem acesso ao histórico de benefícios sociais, contribuintes sem acesso à declaração tributária, pacientes sem registro de saúde disponível. Essa não é uma hipótese distante. É o risco concreto que a concentração de dados em infraestruturas sob jurisdição estrangeira representa, e é exatamente esse risco que a Nuvem Soberana busca mitigar.
O que está entrando agora: tribunais, MPU e a meta dos 20%
O avanço da Nuvem Soberana não se limita ao Poder Executivo. Todos os tribunais superiores e o MPU, Ministério Público da União, já aderiram ao ambiente, sinalizando que a iniciativa ganhou abrangência institucional além da administração federal direta.
Nesse momento, 11 órgãos federais estão em processo ativo de migração, tendo como horizonte uma meta que considero ambiciosa e necessária: repatriar 20% dos dados estatais para a infraestrutura nacional. Essa meta, por si só, demonstra o tamanho do trabalho que ainda está pela frente. Se apenas 20% é a referência imediata, significa que a maior parte do capital informacional do Estado brasileiro ainda é tratada fora do alcance direto do governo.
A integração entre os órgãos migrados é outro elemento estratégico desse processo. A IND, Infraestrutura Nacional de Dados, organiza padrões e tecnologias para ampliar a interoperabilidade entre bases de dados governamentais, garantindo que a migração para a nuvem não resulte em silos isolados, mas em um ecossistema integrado, auditável e seguro. O Serpro e a Dataprev investiram juntas R$ 324 milhões em modernização em 2024, visando garantir a capacidade técnica para absorver esse crescimento com qualidade. O Serpro registrou no período o maior lucro de sua série histórica, com R$ 685 milhões, parte dos quais foi aplicada na expansão da infraestrutura computacional que sustenta a Nuvem Soberana.
O problema que nenhum data center resolve: as chaves criptográficas e o Cloud Act
De nada adianta o dado morar no Brasil se a chave da casa estiver em mãos estrangeiras. Essa é a afirmação central que precisa nortear qualquer análise séria sobre soberania digital, e ela se torna ainda mais urgente quando examinamos o papel do Cloud Act no cenário geopolítico atual.
O Cloud Act, Clarifying Lawful Overseas Use of Data Act, é uma lei americana promulgada em 2018 que obriga empresas de tecnologia sediadas nos Estados Unidos a fornecer, mediante ordem judicial, dados sob sua custódia onde quer que estejam armazenados no mundo. Isso significa que um dado armazenado em um servidor localizado no Brasil, se estiver sob a operação de uma empresa americana como Google, Microsoft ou Amazon, pode ser legalmente requisitado pelo governo dos Estados Unidos sem qualquer consulta ao governo brasileiro. A localização física do servidor deixa de ser relevante: o que importa é a nacionalidade da empresa que o opera e, portanto, a lei à qual ela está submetida.
As chaves criptográficas são o mecanismo que permite ao titular do serviço, nesse caso o governo brasileiro, manter controle efetivo sobre seus próprios dados mesmo quando o provedor é uma empresa estrangeira. Se o governo detém as chaves, o provedor não consegue acessar o conteúdo dos dados sem autorização. Se as chaves estão nas mãos do provedor, a soberania é ilusória: o dado pode estar fisicamente no Brasil, mas o controle pertence a outra jurisdição. A garantia de que as chaves criptográficas permaneçam sob controle estatal é, portanto, um requisito inegociável de qualquer estratégia real de soberania de dados.
As contradições internas que comprometem a coesão do Estado
Há um paradoxo que precisa ser nomeado com clareza. Ao mesmo tempo em que o governo federal avança na construção da Nuvem Soberana, órgãos como o GSI, Gabinete de Segurança Institucional da Presidência da República, e o MEC, Ministério da Educação, negociaram ou ainda negociam a transferência de dados sensíveis diretamente para nuvens comerciais estrangeiras. O próprio GSI avançou em um Acordo de Cooperação Técnica com a Amazon AWS, empresa americana diretamente submetida ao Cloud Act, abrindo um flanco de vulnerabilidade no exato órgão responsável pela segurança institucional do Estado.
Essa contradição não é um detalhe operacional. É um problema de coesão do Estado. A soberania digital só é real quando todos os órgãos seguem a mesma direção estratégica, com o mesmo entendimento sobre quais dados podem migrar para onde e com quais salvaguardas, as medidas técnicas e contratuais que garantem a proteção efetiva dos dados. Quando um órgão avança na Nuvem Soberana enquanto outro negocia contratos com Big Techs americanas sem garantias equivalentes de controle criptográfico, o resultado é uma política de soberania com brechas estruturais.
O problema não é usar tecnologia de empresas internacionais. A própria Nuvem Soberana utiliza equipamentos de fabricantes globais, instalados nos data centers do Serpro e da Dataprev sob gestão estatal. A diferença crítica está em quem opera e em qual lei o serviço responde. O desafio que o Brasil enfrenta agora é institucional: garantir que a decisão sobre como e onde tratar dados sensíveis do Estado seja uma decisão de governança, coordenada, auditável e vinculada a critérios claros de soberania, e não uma decisão fragmentada, tomada órgão a órgão, sem visão de conjunto.
Perguntas frequentes sobre Nuvem Soberana e soberania digital
P: O que é a Nuvem Soberana do Brasil?
A Nuvem Soberana do Brasil, também chamada de Nuvem de Governo, é uma infraestrutura de armazenamento e processamento de dados operada pelo Serpro, Serviço Federal de Processamento de Dados, e pela Dataprev, empresa pública de previdência e seguridade social, com servidores físicos em território nacional e gestão 100% estatal. Estruturada pelo MGI, Ministério da Gestão e da Inovação em Serviços Públicos, a iniciativa está disponível desde junho de 2025 para mais de 250 órgãos do Executivo Federal, visando garantir que dados sensíveis do Estado sejam tratados sob a jurisdição da legislação brasileira, em conformidade com a LGPD, Lei Geral de Proteção de Dados Pessoais.
P: O que é o Cloud Act e por que ele representa um risco para o Brasil?
O Cloud Act, Clarifying Lawful Overseas Use of Data Act, é uma lei americana promulgada em 2018 que obriga empresas de tecnologia sediadas nos Estados Unidos a fornecer, mediante ordem judicial, dados sob sua custódia onde quer que estejam armazenados no mundo. O Cloud Act representa um risco direto para o Brasil porque a maior parte da infraestrutura de nuvem utilizada por empresas e órgãos governamentais brasileiros é operada por empresas americanas como Google, Amazon e Microsoft. Se esses dados não estiverem sob controle criptográfico do governo brasileiro, as autoridades dos Estados Unidos podem acessá-los sem qualquer consulta ao Brasil.
P: O que são chaves criptográficas e qual é a sua importância para a soberania de dados?
As chaves criptográficas são o mecanismo de controle de acesso que define quem pode ou não acessar o conteúdo de dados armazenados em um servidor. As chaves criptográficas determinam a soberania efetiva sobre os dados: quando o governo detém suas próprias chaves, o provedor de nuvem, mesmo que seja uma empresa estrangeira, não consegue acessar o conteúdo dos dados sem autorização. Quando as chaves estão nas mãos do provedor, a soberania é formal, não real. Por isso, garantir o controle das chaves criptográficas é um requisito fundamental em qualquer estratégia séria de soberania digital, independentemente de onde os servidores estejam fisicamente localizados.
P: Quais dados do governo já estão protegidos pela Nuvem Soberana?
A Nuvem Soberana protege atualmente bases de dados estratégicas como a plataforma GOV.BR, com 170 milhões de usuários cadastrados, e o CadÚnico, Cadastro Único para Programas Sociais do Governo Federal, com 96 milhões de registros que sustentam o Bolsa Família e outros programas de seguridade social. Também estão no ambiente dados críticos do SUS, Sistema Único de Saúde, da Receita Federal e da plataforma da Reforma Tributária. Além disso, todos os tribunais superiores e o MPU, Ministério Público da União, já aderiram ao ambiente soberano, ampliando a abrangência da iniciativa para além do Poder Executivo.
P: Por que mais de 60% da carga digital brasileira ainda está no exterior?
Mais de 60% da infraestrutura digital brasileira é processada fora do país porque, ao longo de décadas, empresas e órgãos governamentais optaram por contratar serviços de nuvem de grandes provedores internacionais, motivados principalmente por custo, disponibilidade tecnológica e escala. Montar e operar data centers no Brasil é mais caro do que em outras regiões do mundo, sobretudo pelo custo da energia elétrica. O resultado é uma dependência estrutural de Big Techs americanas que coloca dados estratégicos sob jurisdições estrangeiras e os expõe a leis extraterritoriais como o Cloud Act.
P: O que ainda falta para o Brasil avançar de forma consistente na soberania digital?
A soberania digital ainda depende de um elemento que não se resolve com tecnologia: coesão institucional. A Nuvem Soberana existe e está em operação, mas enquanto órgãos como o GSI e o MEC negociam contratos com nuvens comerciais estrangeiras sem garantias equivalentes de controle criptográfico, a política de soberania permanece fragmentada. O Brasil precisa de uma diretriz de governança vinculante, aplicada a todos os órgãos, que determine quais categorias de dados podem ser tratadas onde e com quais salvaguardas obrigatórias, avançando ao mesmo tempo na meta de repatriar ao menos 20% dos dados estatais para a infraestrutura nacional.
A infraestrutura para a independência digital do Brasil já existe. A Nuvem Soberana é real, está crescendo e abriga hoje o registro digital de direitos fundamentais de dezenas de milhões de brasileiros. O que ainda falta não é tecnologia. É coesão de Estado: a disposição institucional de tratar soberania de dados não como pauta de um ministério, mas como política vinculante para todos os órgãos e para todas as categorias de dados sensíveis da nação. Uma nação que não controla seu capital informacional está permanentemente exposta a pressões que nenhuma diplomacia resolve depois que a brecha já existiu. Governar dados é, antes de tudo, defender a dignidade dos cidadãos, a autonomia do país e a continuidade dos serviços que sustentam direitos fundamentais. Esse é o compromisso que a soberania digital exige de todos os profissionais e gestores que atuam nessa área.