O Brasil não tem controle total sobre a maior parte dos dados de seus negócios e de seus cidadãos. O que está fora do país ou sob controle de provedores estrangeiros está, em alguma medida, fora da nossa soberania. E isso não é figura de linguagem: inclui dados do Pix, registros do SUS e sistemas de controle de embarques em voos. Esse não é um cenário hipotético. É a descrição da realidade atual.

Mais de 60% da carga digital do Brasil é processada e armazenada no exterior, em grande parte em servidores de Big Techs americanas. Esses servidores estão sujeitos ao Cloud Act, lei americana de 2018 que autoriza o governo dos Estados Unidos a exigir acesso a dados independentemente de onde estejam fisicamente hospedados, e à Seção 702 da FISA, a lei de vigilância estrangeira que amplia esse acesso em contextos de inteligência. O Brasil registrou, em 2024, um déficit de US$ 7,1 bilhões no setor de telecomunicações e computação, impulsionado diretamente por essa dependência.

A pergunta que esse artigo pretende responder não é apenas "o que está errado". É por que chegamos aqui, o que isso significa na prática, e o que está sendo feito — e o que ainda falta — para mudar esse cenário.

O que significa ter mais de 60% dos dados brasileiros fora do Brasil

"Cloud" não é um lugar no céu. É o data center de alguém, em algum lugar do mundo. Quando uma empresa contrata serviços de computação em nuvem da AWS, do Google Cloud ou da Microsoft Azure, ela está usando a infraestrutura física dessas empresas — servidores localizados em países determinados, sujeitos às leis desses países.

O Brasil, como a maioria das economias em desenvolvimento, construiu sua dependência digital sobre essa infraestrutura estrangeira. Mais de 60% do processamento e do armazenamento de dados brasileiros acontece fora do território nacional. Isso significa que dados de transações financeiras, prontuários de saúde, registros de operações governamentais e informações de negócios nacionais estão em servidores que o Brasil não opera, não regula diretamente e sobre os quais não exerce controle soberano pleno.

A consequência prática é concreta. Qualquer dado armazenado em servidores de empresas americanas pode ser acessado pelo governo dos Estados Unidos mediante requisição legal, independentemente de onde esse servidor esteja fisicamente localizado. Não é necessário que o servidor esteja em solo americano. É suficiente que a empresa que o opera seja americana.

O Cloud Act e a FISA: o que são e por que afetam o Brasil

O Cloud Act, Clarifying Lawful Overseas Use of Data Act, aprovado em 2018, obriga empresas dos Estados Unidos a entregarem dados sob sua custódia ao governo americano mediante ordem judicial, independentemente do país onde esses dados estejam armazenados. A lei surgiu para resolver um impasse jurídico anterior, mas criou, na prática, uma extraterritorialidade ampla sobre qualquer dado hospedado em infraestrutura de empresas como AWS, Google e Microsoft.

A Seção 702 da FISA, Foreign Intelligence Surveillance Act, vai além. Permite que agências de inteligência americanas solicitem dados de usuários sem fiscalização pública e sem possibilidade de recusa pelas empresas, em contextos classificados como de segurança nacional. Esse mecanismo opera com menos transparência e menos recursos jurídicos do que uma requisição judicial convencional.

O Brasil tem legislação com alcance extraterritorial — a LGPD, Lei Geral de Proteção de Dados Pessoais, aplica-se a qualquer tratamento de dados de cidadãos brasileiros, onde quer que aconteça. O desafio real não é a ausência de norma. É a capacidade de exercê-la na prática quando o dado está em infraestrutura controlada por outra soberania.

Por que chegamos aqui: custo, capacidade e escolhas

A resposta simples é custo. A resposta completa é custo mais falta de capacidade instalada — e essa distinção importa para entender o que é preciso mudar.

Contratar processamento de dados no Brasil é até 60% mais caro do que nos Estados Unidos. Dois fatores explicam a maior parte dessa diferença: a tributação pesada sobre equipamentos de tecnologia importados e o custo da energia elétrica. Data centers são grandes consumidores de energia, não apenas para alimentar os servidores, mas para o sistema de refrigeração que os mantém operando. O Brasil tem uma das matrizes energéticas mais limpas do mundo, com alta participação de fontes renováveis, mas o custo dessa energia, aliado à estrutura tributária sobre importação de equipamentos, torna a operação de um data center no Brasil significativamente mais cara do que em outros países.

Esse diferencial de custo explica grande parte das decisões históricas de empresas brasileiras de contratar infraestrutura no exterior. É uma decisão de planilha, tomada individualmente por cada organização. O problema é que a soma dessas decisões individuais criou uma dependência estrutural que transcende as organizações que a compõem.

O déficit de capacidade: espaço, pessoas, processos e tecnologia

Mas o custo, por si só, não conta a história inteira. Se amanhã todas as empresas e órgãos públicos brasileiros decidissem repatriar seus dados — trazer tudo para servidores em solo nacional — haveria onde colocá-los? Haveria profissionais para operar essa infraestrutura? O Brasil teria a capacidade instalada para suportar essa demanda?

A resposta honesta é não. E isso é tão relevante quanto o custo.

O Brasil entrou em 2025 com um déficit projetado de 530 mil profissionais de TI. Não faltam apenas servidores físicos: faltam pessoas formadas para operá-los, processos organizacionais para gerenciá-los e tecnologia nacional em escala suficiente para suportá-los. A soberania de dados depende de uma cadeia completa — espaço físico, energia, profissionais, processos e governança — que o Brasil ainda não construiu na escala necessária.

A decisão de usar infraestrutura fora do Brasil ou provedores de serviço estrangeiros é, antes de ser uma questão de soberania, uma decisão de planilha e de disponibilidade de serviços. Esse é o ponto de partida honesto para qualquer debate sobre como mudar esse cenário.

Residência não é soberania

Aqui está um equívoco que precisa ser desfeito: ter um data center em solo brasileiro não garante, por si só, soberania sobre os dados armazenados nele.

Se o data center é operado por uma empresa americana — AWS, Google, Microsoft — os dados que ele hospeda continuam sujeitos ao Cloud Act. A jurisdição sobre os dados não é definida pelo endereço do servidor, mas pela nacionalidade da empresa que o controla. Ter o servidor no Brasil mas a chave de acesso nas mãos de uma empresa americana é como alugar uma casa em que o senhorio guarda o único conjunto de cópia das chaves: a ocupação é sua, mas o acesso não é exclusivamente seu.

Soberania de dados real exige, portanto, dois elementos combinados: dado em território nacional e controle criptográfico nas mãos de entidade brasileira ou sob jurisdição exclusivamente brasileira. Um sem o outro não fecha a equação.

O REDATA: um movimento concreto que ainda precisa virar lei

O REDATA, Regime Especial de Tributação para Data Centers, é a resposta mais concreta do governo brasileiro ao déficit de infraestrutura digital. Aprovado como medida provisória, o programa oferece subsídios e desonerações tributárias para empresas que construam ou ampliem data centers no Brasil, com contrapartidas: parte da capacidade de processamento deve ser destinada ao mercado brasileiro, a operação deve atender requisitos de sustentabilidade energética e, em sua concepção mais avançada, o programa incentiva o controle criptográfico dos dados por entidades nacionais.

O REDATA é um movimento na direção certa. Mas tem um limite: aprovado como medida provisória, ele precisa de conversão em lei permanente para gerar o efeito que promete. Incentivos tributários de curto prazo não justificam os ciclos de investimento necessários para construir data centers em escala. Nenhuma empresa constrói infraestrutura de dez anos com base em uma medida que pode não ser renovada. A conversão em lei permanente não é um detalhe burocrático: é a condição para que o REDATA se torne um vetor real de mudança estrutural.

Uma vulnerabilidade que exige consciência coletiva, não apenas regulação

O Brasil tem legislação. Tem a LGPD, que estabelece bases legais para o tratamento de dados pessoais e tem alcance extraterritorial reconhecido. Tem a ANPD, a Autoridade Nacional de Proteção de Dados, com poder regulatório e sancionatório crescente. O desafio real não é a ausência de norma. É a distância entre o que a lei afirma e o que é possível exercer na prática quando o dado está sob jurisdição de outra soberania.

Isso não invalida a legislação. Invalida a ilusão de que legislar é suficiente.

Soberania de dados não é uma declaração. É um projeto. Exige infraestrutura física, capacidade humana, governança organizacional e política pública coordenada. Nenhum desses elementos se constrói de um dia para o outro, e nenhum deles resolve o problema isoladamente.

A consciência coletiva sobre essa vulnerabilidade é, ela mesma, parte da solução. Organizações que compreendem o que significa armazenar dados críticos em infraestrutura sob jurisdição estrangeira fazem escolhas diferentes — de arquitetura, de contratação, de investimento em capacidade interna. Gestores públicos e privados que entendem o que o Cloud Act significa na prática priorizam a questão de outra forma.

Soberania de dados não se declara. Se constrói. E a construção começa por saber onde estamos.

Perguntas frequentes sobre soberania de dados no Brasil

O que é soberania de dados? Soberania de dados é a capacidade de um país de exercer controle efetivo sobre os dados gerados em seu território ou por seus cidadãos e organizações, garantindo que esses dados estejam sujeitos às leis nacionais e fora do alcance de outras jurisdições sem consentimento. Isso envolve tanto a localização física dos servidores quanto o controle criptográfico e legal sobre quem pode acessar os dados.

O que é o Cloud Act e como ele afeta o Brasil? O Cloud Act, Clarifying Lawful Overseas Use of Data Act, é uma lei americana de 2018 que obriga empresas dos Estados Unidos a entregarem ao governo americano dados sob sua custódia, independentemente de onde esses dados estejam fisicamente armazenados. Isso significa que dados armazenados em servidores da AWS, Google ou Microsoft — mesmo que localizados no Brasil — podem ser acessados pelo governo americano mediante ordem judicial nos Estados Unidos, sem necessidade de autorização das autoridades brasileiras.

Por que mais de 60% dos dados brasileiros estão fora do Brasil? A razão primária é o custo. Processar e armazenar dados no Brasil é até 60% mais caro do que nos Estados Unidos, em função da tributação pesada sobre equipamentos de tecnologia importados e do custo da energia elétrica. A isso se somam décadas de decisões empresariais que priorizaram o menor custo imediato, além da ausência de capacidade instalada nacional em escala suficiente, tanto em infraestrutura física quanto em profissionais de TI.

O que é o REDATA? O REDATA é o Regime Especial de Tributação para Data Centers, programa do governo brasileiro que oferece desonerações tributárias para empresas que construam ou ampliem data centers no Brasil. Em contrapartida, as empresas devem destinar parte da capacidade de processamento ao mercado brasileiro, atender requisitos de sustentabilidade energética e, em sua versão mais completa, garantir o controle criptográfico dos dados por entidades brasileiras. O REDATA foi aprovado como medida provisória e precisa ser convertido em lei permanente para gerar o efeito estrutural que promete.

Ter um data center no Brasil garante soberania de dados? Não necessariamente. A soberania de dados depende de dois fatores combinados: a localização física dos servidores e o controle jurídico e criptográfico sobre os dados armazenados. Se o data center localizado no Brasil é operado por uma empresa americana, os dados que ele hospeda continuam sujeitos ao Cloud Act. A localização do servidor não define, por si só, a jurisdição sobre os dados.

Qual é o déficit de profissionais de TI no Brasil e por que isso importa para soberania de dados? O Brasil entrou em 2025 com um déficit projetado de 530 mil profissionais de TI. Esse número importa para a soberania de dados porque construir e operar infraestrutura digital nacional em escala exige não apenas servidores físicos, mas equipes qualificadas para gerenciá-los. A dependência de infraestrutura estrangeira não é apenas uma questão de custo: é também resultado da ausência de capacidade instalada, humana e tecnológica, para suportar uma transição em direção a maior autonomia digital.

Saber onde estamos é o primeiro passo

O debate sobre soberania de dados no Brasil não começa na tecnologia. Começa no diagnóstico honesto de onde estamos e por que chegamos aqui.

Mais de 60% dos dados brasileiros fora do Brasil. Um déficit de US$ 7,1 bilhões no setor de telecomunicações e computação em 2024. Uma lei americana que alcança nossos dados independentemente de onde estejam. Um déficit de 530 mil profissionais de TI. Um regime tributário de incentivo que precisa virar lei para se tornar política de Estado.

Esse é o ponto de partida. Não como paralisia, mas como clareza. Soberania de dados não é uma aspiração abstrata. É um conjunto de decisões práticas — de investimento, de política pública, de formação de pessoas, de governança organizacional — que precisam ser tomadas com consciência do cenário real.

Soberania não se declara. Se constrói. E construir exige saber onde estamos antes de decidir para onde ir.

Sobre a autora

Consuelo Rodrigues é especialista em governança de dados, proteção de dados, privacidade e governança de inteligência artificial. Cofundadora da Privacidade+, é DPO certificada e Lead Auditor das normas ISO/IEC 27001, 27701 e 42001. Foi nomeada Ethical Data & AI Governance Advisor to the Presidency do DAMA Brasil para o mandato 2026-2028. Atua na Keyrus em projetos de Data and AI Governance para organizações de médio e grande porte. Com mais de 30 anos de experiência em TI, tem passagem por multinacionais farmacêuticas altamente reguladas e formação pelo MBA da Fundação Dom Cabral.