O que é transferência internacional de dados

Transferência internacional de dados é o envio ou a disponibilização de dados pessoais a um país estrangeiro ou a um organismo internacional — o que ocorre, por exemplo, quando um sistema contratado por um órgão público roda em servidores de um provedor de nuvem sediado fora do Brasil, ou quando a equipe de suporte desse provedor acessa dados a partir do exterior. A LGPD não proíbe essa transferência; ela a permite apenas dentro de hipóteses específicas, previstas em lei.

Este guia explica o que caracteriza essa transferência, a distinção que mais gera confusão em contratações públicas — confundir “onde o servidor está” com “se há transferência internacional regulada” —, os casos em que a dúvida aparece na prática e o que a legislação exige de quem contrata.

Transferência internacional de dados na prática

Três situações costumam configurar essa transferência dentro de um contrato de sistema de gestão de processos: os dados ficam armazenados fisicamente em data center fora do território nacional; os dados são replicados para uma região de nuvem estrangeira como parte da rotina de backup e recuperação de desastres; ou a equipe de suporte técnico do fornecedor acessa remotamente os dados do órgão a partir de outro país, mesmo com o armazenamento principal em território brasileiro.

Nenhuma dessas situações é, isoladamente, motivo para recusar uma contratação. O que muda é a exigência: confirmar qual hipótese legal sustenta aquela transferência e quais garantias contratuais o fornecedor oferece antes de assinar — não depois que um questionamento de controle interno ou de um titular de dados obrigar essa checagem.

Transferência internacional de dados × armazenamento em nuvem

A confusão mais comum é tratar as duas coisas como sinônimas. Não são. Contratar um provedor de nuvem multinacional não configura, por si só, uma irregularidade — e contratar um provedor com data center formalmente localizado no Brasil não elimina, por si só, a necessidade de analisar a questão. Um provedor com servidor em território nacional ainda pode operar suporte, monitoramento ou replicação de backup a partir de equipe ou infraestrutura no exterior, o que reabre a mesma discussão que a localização do servidor pretendia resolver.

O critério que importa para a LGPD não é a nacionalidade do fornecedor nem o endereço físico do data center isoladamente — é se existe, de fato, envio ou acesso a dado pessoal a partir de fora do território nacional, e se esse fluxo está amparado por uma hipótese legal e por garantias contratuais equivalentes ao regime de proteção da lei brasileira.

Casos de uso comuns

• Contratação de uma plataforma de processo eletrônico hospedada em provedor de nuvem multinacional, situação típica de quem busca a mesma capacidade de infraestrutura que sustenta alto volume de processos eletrônicos sem manter um data center próprio.
• Backup e recuperação de desastres mantidos em região de nuvem diferente da região principal de armazenamento, por exigência de continuidade operacional do próprio contrato.
• Suporte técnico remoto do fornecedor, quando a equipe responsável por um incidente acessa os dados do sistema a partir de outro país.
• Compartilhamento de dado pessoal sensível entre sistemas integrados — cadastro imobiliário, tributário, de saúde — quando um deles está hospedado fora do território nacional e o acesso não segue regra de restrição de visualização por perfil.

O que a legislação diz

A Lei nº 13.709/2018 (LGPD), no Capítulo V (arts. 33 a 36), disciplina a transferência internacional de dados pessoais. O art. 33 lista as hipóteses em que essa transferência é permitida — entre elas, quando o controlador comprova garantias contratuais equivalentes ao regime de proteção da lei (cláusulas-padrão, normas corporativas globais), quando a transferência é necessária para a execução de política pública ou atribuição legal de serviço público, com a devida publicidade, ou quando a Autoridade Nacional de Proteção de Dados (ANPD) autoriza especificamente aquela transferência.

A Lei nº 12.965/2014 (Marco Civil da Internet), no art. 11, já estabelecia que operações de coleta, armazenamento e tratamento de dados realizadas no território nacional devem observar a legislação brasileira, inclusive quando os dados estiverem armazenados no exterior — o que reforça que a proteção não depende exclusivamente de onde o servidor está localizado.

Como o Aprova aplica transferência internacional de dados

• Hospedagem da base de processos e documentos em infraestrutura de nuvem com backup e redundância, sem depender de servidor físico dentro do prédio do órgão.
• Controle de acesso por perfil que oculta dado pessoal sensível de quem não tem essa permissão configurada, reforçando a proteção exigida pela LGPD além da simples localização do dado.
• Disponibilização do histórico de processos ao órgão contratante mesmo após o encerramento do contrato, sem dependência do fornecedor para reaver essa informação.

FAQ sobre transferência internacional de dados

Contratar uma nuvem de empresa estrangeira é proibido pela LGPD?

Não. A LGPD não proíbe a contratação — exige que essa transferência esteja amparada em uma das hipóteses do art. 33 e em garantias contratuais equivalentes ao regime de proteção da lei brasileira.

Servidor de dados localizado no Brasil elimina essa preocupação?

Não necessariamente. Suporte técnico, monitoramento ou replicação de backup operados a partir de equipe ou infraestrutura no exterior podem configurar transferência internacional mesmo com o armazenamento principal em território nacional.

Quem responde se o fornecedor de nuvem descumprir a LGPD?

A responsabilidade central é do órgão público, como controlador dos dados. O contrato com o fornecedor, como operador, deve prever as garantias e obrigações que sustentam essa responsabilização, sem transferir ao fornecedor uma obrigação que a lei atribui ao controlador.

É preciso autorização da ANPD para toda contratação de nuvem estrangeira?

Não. A autorização da ANPD é apenas uma das hipóteses do art. 33 — a maioria das contratações públicas se ampara em garantias contratuais ou na hipótese de execução de política pública, sem depender de autorização caso a caso.

O que muda se o sistema envolver dado pessoal sensível?

O dado sensível não altera as hipóteses de transferência internacional em si, mas eleva o padrão de cuidado exigido nas garantias contratuais e no controle de acesso, já que o risco de dano ao titular é maior.

Conclusão

O que sustenta uma contratação de nuvem dentro da LGPD não é a bandeira do país onde o servidor está instalado — é a existência de uma hipótese legal válida e de garantias contratuais que reproduzam, na prática, o mesmo padrão de proteção exigido de qualquer tratamento de dados em território brasileiro. Tratar isso como pergunta de checklist jurídico antes da assinatura do contrato evita que a dúvida apareça tarde demais, num questionamento de controle interno ou numa reclamação de titular de dados. Para ver como a hospedagem e o controle de acesso a dados pessoais funcionam dentro de um sistema de processos administrativos, agende uma demonstração da Aprova.