O dado pode estar fisicamente no Brasil, mas a lei que alcança o provedor não muda com a região. Pelo CLOUD Act, provedores sujeitos à lei americana devem cumprir obrigações de preservar e entregar dados sob seu controle, onde quer que estejam. A região define onde o dado fica, não quem pode exigir acesso a ele.
Localização não é jurisdição
A região Brasil indica onde o provedor armazena o dado. Ela não muda a lei à qual o provedor está sujeito.
O 18 U.S.C. §2713 foi incluído pelo CLOUD Act em 23/03/2018. Vale para provedores de comunicação eletrônica e de computação remota, e alcança conteúdo e registros de clientes dentro ou fora dos EUA. O critério é a posse, a guarda ou o controle do provedor, não o endereço do servidor.
Sem acordo entre Brasil e EUA
Segundo o Departamento de Justiça dos EUA, há acordos do CLOUD Act assinados com Reino Unido (2019) e Austrália (2021). A página cita negociações com Canadá e União Europeia; o Brasil não aparece.
Não existe, portanto, acordo desse tipo entre os dois países. A proteção de quem contrata depende do contrato e das medidas técnicas que adota.
Quando o dado sai do país
Se dados pessoais forem enviados ao exterior, a LGPD só permite a transferência nas hipóteses do art. 33. Entre elas estão país com proteção adequada, cláusulas-padrão, normas corporativas globais e consentimento específico.
Quem usa cláusulas-padrão precisava incorporar o modelo da ANPD (Res. CD/ANPD 19/2024), sem alterações, até 23/08/2025. Em janeiro de 2026, Brasil e União Europeia se reconheceram mutuamente como adequados.
Escolha por tipo de dado
Nem todo dado pede o mesmo cuidado. Dados sensíveis ou estratégicos podem justificar processamento em infraestrutura própria, no Brasil.
Na InnovaAI, o padrão usa só provedores de modelo dos EUA que declaram não treinar com o dado; o Cofre roda um modelo pequeno no servidor do cliente.
Na prática
- Mapeie onde cada serviço trata dados: armazenamento, backup, logs, suporte e modelos de IA.
- Confira no contrato a região, os subcontratados, a retenção de dados e como o provedor trata pedidos de autoridades.
- Se dados pessoais saem do país, defina a hipótese do art. 33; com cláusulas-padrão, use o texto da ANPD sem alterações.
- Classifique os dados por sensibilidade e decida quais podem ir para nuvem estrangeira.
- Para os dados mais sensíveis, avalie criptografia com chaves sob controle da empresa.
Perguntas rápidas
Escolher a região Brasil garante que só a lei brasileira se aplica?
Não. Pelo CLOUD Act, provedores sujeitos à lei americana devem cumprir obrigações de preservar e entregar dados sob seu controle, dentro ou fora dos EUA.
O Brasil tem acordo com os EUA sob o CLOUD Act?
Não. O Departamento de Justiça dos EUA lista acordos com Reino Unido e Austrália e negociações com Canadá e União Europeia; o Brasil não aparece.
Transferir dados pessoais para a União Europeia ficou mais simples?
Sim. Desde janeiro de 2026, Brasil e União Europeia se reconhecem como adequados, o que dispensa outros mecanismos nessas transferências.
Fontes
- 18 U.S.C. §2713 — Legal Information Institute (Cornell Law School)
- CLOUD Act Resources — U.S. Department of Justice
- Lei nº 13.709/2018 (LGPD), art. 33 — Planalto
- Mattos Filho — Cláusulas-padrão da ANPD (Res. CD/ANPD 19/2024)
- White & Case — Mutual adequacy between the EU and Brazil
Este texto é informativo e não substitui orientação jurídica. Revisado em 15/10/2026.