A transição do REDATA, Regime Especial de Tributação para Serviços de Datacenter, de uma Medida Provisória para um Projeto de Lei não foi uma simples mudança de instrumento legislativo. Foi uma mudança de essência. A MP nº 1.318/2025, assinada em setembro de 2025, nasce com uma ambição dupla: atrair infraestrutura digital para o Brasil e garantir que essa infraestrutura servisse à soberania do país, inclusive com a exigência de residência das chaves criptográficas em território nacional. O PL nº 278/2026, aprovado pela Câmara dos Deputados em fevereiro de 2026 e enviado ao Senado, preservou os incentivos fiscais, mas suprimiu essa trava técnica. O resultado é um programa que melhora o contexto regulatório para a instalação de data centers no Brasil, mas que deixou de tratar a soberania pelo único ângulo que efetivamente importa: o controle sobre quem acessa os dados, não sobre onde os discos rígidos estão fisicamente instalados.

O que é o REDATA e qual o problema que ele veio resolver

O REDATA é um regime tributário especial criado para estimular a instalação, ampliação e modernização de data centers, centros especializados no armazenamento, processamento e gestão de grandes volumes de dados e aplicações digitais, em território brasileiro. O programa concede a suspensão de tributos federais, como o Imposto de Importação, o IPI, Imposto sobre Produtos Industrializados, o PIS/Pasep e a Cofins, na aquisição de componentes eletrônicos e bens de tecnologia da informação e comunicação destinados ao ativo imobilizado dos data centers.

O pano de fundo que justifica essa política é concreto. Cerca de 60% dos dados de brasileiros são processados fora do país, situação que implica riscos à soberania nacional e gera déficits crescentes na balança comercial. Em 2024, o déficit do setor de elétricos e eletrônicos foi de US$ 40 bilhões, enquanto o déficit em telecomunicações e computação atingiu US$ 7,1 bilhões, com a maior parte vinculada à importação de serviços de processamento e armazenagem de dados. Além disso, operar um data center no Brasil é hoje cerca de 30% mais caro do que em outras regiões, sobretudo pelo custo da energia elétrica, o que desincentivou investimentos internos por décadas.

O governo reservou R$ 5,2 bilhões no Projeto de Lei Orçamentário Anual de 2026 para dar início ao programa, com estimativas de atração de R$ 2 trilhões em investimentos privados ao longo de uma década. É um compromisso financeiro significativo e um reconhecimento de que a infraestrutura digital passou a ser um imperativo de soberania e não apenas uma questão setorial.

O que a MP nº 1.318/2025 trazia como pilar de soberania

A Medida Provisória nº 1.318 foi assinada em 17 de setembro de 2025, vinculada à Política Nacional de Datacenters, PNDC, e à Nova Indústria Brasil. Além dos incentivos tributários e das contrapartidas econômicas e ambientais, a MP contemplava a exigência de residência das chaves criptográficas em território nacional como condição para a fruição dos benefícios do regime.

Esse requisito era o que diferenciava o REDATA de um simples incentivo fiscal. Chaves criptográficas são o mecanismo que define quem efetivamente controla o acesso aos dados armazenados em um servidor. Quando as chaves permanecem em poder do governo ou de uma entidade sob jurisdição brasileira, o operador estrangeiro do data center, ainda que seja uma empresa americana como Amazon, Google ou Microsoft, não consegue acessar o conteúdo dos dados sem autorização. Esse é o controle que importa para a soberania digital, não a localização física dos servidores.

Ao exigir a residência das chaves criptográficas no Brasil, a MP construía um escudo contra leis extraterritoriais de vigilância, como o Cloud Act, Clarifying Lawful Overseas Use of Data Act, a norma americana de 2018 que obriga empresas sediadas nos Estados Unidos a entregar dados sob sua custódia às autoridades americanas, independentemente de onde esses dados estejam fisicamente armazenados. Com a MP, a localização das chaves blindava os dados contra essa extraterritorialidade. Sem ela, a localização dos servidores não basta.

O que mudou no PL nº 278/2026 aprovado pela Câmara

A MP nº 1.318/2025 perdeu a validade em 25 de fevereiro de 2026 sem ser votada, porque a comissão mista responsável por sua análise no Congresso não chegou a ser instalada. O deputado José Guimarães (PT-CE), líder do governo na Câmara, apresentou o PL nº 278/2026 como substituto, visando evitar que os investimentos já realizados durante a vigência da MP fossem prejudicados pela lacuna normativa.

O texto aprovado pela Câmara reproduz em grande medida o modelo tributário da MP, suspendendo os mesmos tributos federais sobre aquisição de equipamentos de TIC, Tecnologia da Informação e Comunicação, destinados a data centers. As contrapartidas exigidas são de dois tipos: ambientais, com atendimento de 100% da demanda energética por fontes limpas ou renováveis e cumprimento de padrões de eficiência hídrica, e econômicas, com destinação de 2% dos investimentos a projetos de pesquisa, desenvolvimento e inovação, e reserva de ao menos 10% da capacidade de processamento para o mercado nacional, percentual que pode ser substituído por aportes equivalentes em P&D.

O que o PL suprimiu foi justamente a exigência de residência das chaves criptográficas. Esse requisito, que era o pilar técnico da soberania sobre os dados, não consta no texto aprovado pela Câmara nem nas contrapartidas definidas. O programa resultante melhora o ambiente regulatório para a atração de data centers, mas opera uma troca: abre mão do controle sobre os dados em nome da agilidade na atração de investimentos.

A diferença entre ser o país dos discos rígidos e ter domínio criptográfico

Essa distinção é central e merece ser nomeada com precisão. Ter um data center localizado no Brasil significa que os servidores físicos estão em território nacional, sujeitos à legislação brasileira e às obrigações de conformidade com a LGPD, Lei Geral de Proteção de Dados Pessoais. Isso tem valor: permite a aplicação direta das leis e regulações brasileiras sobre os agentes de tratamento que operam no país. Mas localização física não é equivalente a soberania sobre os dados.

O domínio criptográfico, na análise de Consuelo Rodrigues, é o que define o controle efetivo. Uma empresa estrangeira pode instalar seus servidores no Brasil, cumprir todas as exigências ambientais e econômicas do REDATA e, ainda assim, manter as chaves criptográficas em outra jurisdição. Nesse cenário, se o governo americano acionar o Cloud Act para requisitar dados que estejam armazenados nesses servidores, a empresa operadora, por ser americana, estará legalmente obrigada a atender. A localização dos discos rígidos no Brasil não altera essa obrigação.

O resultado prático é que o REDATA, na sua versão atual, cria as condições para o Brasil se tornar um hub de infraestrutura física de data centers sem, necessariamente, garantir o controle soberano sobre os dados que neles circulam. Passamos de uma política que buscava o domínio criptográfico para uma política que oferece incentivos fiscais para a atração da infraestrutura física, deixando a questão do controle efetivo sem resposta normativa.

O que o REDATA ainda entrega e onde a soberania continua em aberto

É importante reconhecer o que o programa continua entregando, visando ter uma avaliação equilibrada do seu alcance. O REDATA melhora o contexto do Brasil: ao zerar tributos sobre equipamentos de TIC para data centers, reduz a diferença de custo que tornava o Brasil menos competitivo e incentiva a instalação de infraestrutura digital em território nacional. Esse movimento tem um efeito concreto para a soberania: data centers instalados no Brasil habilitam a aplicação direta das leis e regulações brasileiras, incluindo a LGPD, sobre as operações de tratamento de dados que neles ocorrem.

As contrapartidas previstas no PL, como a reserva de 10% da capacidade para o mercado interno e os aportes em P&D, Pesquisa e Desenvolvimento, também criam um vínculo entre os benefícios fiscais concedidos e o fortalecimento do ecossistema digital nacional. O programa não é indiferente ao interesse do país.

O que o REDATA não mais trata, entretanto, é a questão da soberania pelo controle criptográfico. E essa lacuna não é de menor importância. Ter os discos rígidos no Brasil e não ter as chaves equivale a alugar um imóvel e entregar todas as cópias das chaves ao locador. A estrutura física é nossa, mas o acesso efetivo é de quem detém as chaves. Esse é o ponto que o texto atual deixou em aberto, e é exatamente o que diferencia uma política de infraestrutura de uma política de soberania digital.

Perguntas frequentes sobre REDATA e soberania digital

P: O que é o REDATA?

O REDATA, Regime Especial de Tributação para Serviços de Datacenter, é um programa brasileiro criado para estimular a instalação e ampliação de data centers no país, oferecendo benefícios fiscais como a suspensão de tributos federais, incluindo Imposto de Importação, IPI, PIS/Pasep e Cofins, sobre a aquisição de equipamentos de tecnologia da informação e comunicação. O programa foi originalmente criado pela MP nº 1.318/2025 e está em tramitação no Senado na forma do PL nº 278/2026, aprovado pela Câmara dos Deputados em fevereiro de 2026.

P: Qual foi a principal mudança do REDATA entre a Medida Provisória e o Projeto de Lei?

A principal mudança do REDATA entre a MP nº 1.318/2025 e o PL nº 278/2026 foi a supressão da exigência de residência das chaves criptográficas em território nacional. Na versão original da Medida Provisória, esse requisito funcionava como um pilar de soberania digital, blindando os dados hospedados nos data centers contra leis extraterritoriais como o Cloud Act. No PL aprovado pela Câmara, as contrapartidas ficaram restritas a metas ambientais, como uso de 100% de energia limpa, e econômicas, como a reserva de 10% de capacidade ao mercado interno e aportes em P&D.

P: Por que a exigência de residência das chaves criptográficas é importante para a soberania digital?

A exigência de residência das chaves criptográficas é importante porque são as chaves, e não a localização física dos servidores, que definem quem efetivamente controla o acesso aos dados. Se as chaves criptográficas estiverem sob jurisdição estrangeira, o operador do data center pode ser compelido a entregar dados a governos estrangeiros com base em leis extraterritoriais, como o Cloud Act, a lei americana de 2018 que obriga empresas sediadas nos Estados Unidos a fornecer dados onde quer que estejam armazenados. Sem esse requisito, ter servidores no Brasil não garante soberania sobre os dados que neles circulam.

P: Quais contrapartidas o PL 278/2026 exige das empresas beneficiadas pelo REDATA?

O PL nº 278/2026 exige três categorias de contrapartidas das empresas habilitadas ao REDATA. Na dimensão ambiental, exige que 100% da demanda energética seja atendida por fontes limpas ou renováveis e que sejam cumpridos padrões de eficiência hídrica. Na dimensão econômica, determina a destinação de 2% dos investimentos a projetos de pesquisa, desenvolvimento e inovação no Brasil, e a reserva de ao menos 10% da capacidade de processamento para o mercado nacional, podendo esse percentual ser substituído por aportes equivalentes em P&D.

P: Qual é o impacto fiscal estimado do REDATA para o Brasil?

O impacto fiscal estimado do REDATA é de renúncia de receita de aproximadamente R$ 5,2 bilhões em 2026, conforme dados do governo federal projetados no Projeto de Lei Orçamentário Anual. Em contrapartida, a expectativa é de atração de até R$ 2 trilhões em investimentos privados no setor de data centers ao longo de dez anos, segundo estimativa do Ministério da Fazenda. O déficit brasileiro em processamento e armazenagem de dados atingiu US$ 7,1 bilhões em 2024, e a instalação de infraestrutura nacional pode contribuir para reduzir essa dependência.

P: O REDATA fortalece a soberania digital do Brasil?

O REDATA fortalece parcialmente a soberania digital do Brasil. Sim, ele incentiva a instalação de data centers em território nacional, o que habilita a aplicação direta das leis e regulações brasileiras sobre as operações que neles ocorrem. Entretanto, ao suprimir a exigência de residência das chaves criptográficas, o programa deixou de tratar a soberania pelo controle efetivo sobre os dados. O resultado é que o Brasil pode se tornar o local dos discos rígidos da infraestrutura estrangeira sem garantir o domínio criptográfico nacional, o único que efetivamente blinda os dados contra leis extraterritoriais como o Cloud Act.

Soberania digital não se mede em megawatts de energia limpa nem em percentuais de P&D, embora essas contrapartidas importem. Mede-se em quem detém o controle efetivo sobre o que circula na infraestrutura. O REDATA, na sua versão atual, é uma política de localização, não uma política de soberania. Ele traz os servidores para cá, e isso tem valor. Mas enquanto as chaves criptográficas permanecerem sem exigência de residência nacional, o dado pode estar no Brasil e o controle pode estar em outro lugar. Essa é a distinção que não pode ser perdida de vista: governar a infraestrutura não é o mesmo que governar os dados. E governar os dados é, em última instância, governar os direitos das pessoas que esses dados representam.