CLOUD Act na prática: o que muda para a empresa brasileira

A frase aparece em toda apresentação de cloud nacional: "seus dados fora do alcance do CLOUD Act". Ela é verdadeira, e costuma vir sem a parte que interessa — o que exatamente é esse alcance, e em quais situações ele muda alguma coisa para a sua empresa.

Vale entender o mecanismo antes de decidir se ele importa no seu caso. Para muita gente não importa. Para algumas operações, importa muito.

O que a lei faz

O CLOUD Act é uma lei americana de 2018. Ela esclareceu uma dúvida que vinha se arrastando nos tribunais dos EUA: uma ordem judicial americana alcança dados que o provedor guarda fora do território americano?

A resposta que a lei estabeleceu foi sim. O critério deixou de ser onde o dado está e passou a ser quem o controla. Um provedor sujeito à jurisdição dos Estados Unidos pode ser obrigado a entregar dados sob sua posse ou controle independentemente do país onde o servidor fica.

Na prática, isso significa que "datacenter em São Paulo" não é, sozinho, resposta para a pergunta. Se a operadora do datacenter é uma empresa americana ou controlada por uma, a região geográfica do servidor não altera a jurisdição a que ela responde.

Vale registrar o que a lei não é. Não é acesso livre a dados: continua exigindo processo legal, com autoridade competente e escopo definido. Não é vigilância em massa. E não é exclusividade americana — vários países têm dispositivos de alcance extraterritorial. O ponto não é demonizar uma lei, é saber a qual conjunto de regras a sua infraestrutura responde.

O conflito com a lei brasileira

O incômodo aparece quando as duas jurisdições pedem coisas diferentes.

A LGPD trata dado pessoal de titular brasileiro e disciplina a transferência internacional. O Marco Civil da Internet estabelece que operações de coleta e tratamento realizadas no Brasil se submetem à lei brasileira, mesmo quando a empresa é estrangeira. O caminho formal para cooperação entre países é o acordo de assistência jurídica mútua, que passa pelas autoridades dos dois lados.

Um provedor americano com operação no Brasil pode se ver entre uma ordem americana que manda entregar e uma regra brasileira que restringe. Esse conflito não é teórico — ele já produziu disputas judiciais de repercussão no país.

O CLOUD Act prevê acordos executivos bilaterais para organizar esses pedidos. Eles existem com alguns países. Verifique a situação atual do Brasil junto à sua assessoria jurídica antes de basear qualquer decisão nisso, porque é o tipo de informação que muda.

Quando isso realmente pesa

Para a maioria das aplicações, este debate é secundário. Um e-commerce de médio porte tem preocupações mais urgentes que jurisdição.

O peso aumenta bastante nestes casos:

• Dado sensível na definição da LGPD — saúde, biometria, origem racial, convicção religiosa, filiação sindical. O regime é mais rígido e a exposição, maior.
• Setor regulado. Instituições financeiras, saúde e telecomunicações têm normas setoriais próprias sobre onde o dado pode residir e quem pode acessá-lo.
• Contrato com o poder público. Editais cada vez mais tratam de localização de dados e jurisdição aplicável.
• Cliente que audita fornecedor. Se você vende B2B para empresa grande, o questionário de segurança vai perguntar. Ter a resposta pronta encurta ciclo de venda.
• Segredo industrial e propriedade intelectual. Aqui a preocupação nem é regulatória: é sobre quem, em outra jurisdição, pode ser compelido a acessar.

Se nenhum desses se aplica, a decisão de infraestrutura pode ser tomada por custo, latência e operação — que é como a maioria das decisões deve mesmo ser tomada.

O que "dados no Brasil" precisa significar

Se o critério é controle e não geografia, hospedar no Brasil só resolve quando vem acompanhado do resto. Quatro perguntas separam o real do marketing:

• Quem controla a empresa? Uma subsidiária brasileira de grupo americano responde ao controlador. Procure o quadro societário, não a bandeira no rodapé.
• Sob qual lei está o contrato? Contrato regido por lei estrangeira, com foro no exterior, coloca qualquer disputa fora do alcance prático da sua empresa.
• Onde estão os dados operacionais? O dado da aplicação pode estar em São Paulo enquanto backup, log de acesso e telemetria vão para outro país. O DPA precisa dizer isso explicitamente.
• Quem tem acesso administrativo? Suporte que acessa a partir de outro país tem acesso, independentemente de onde o disco está.

É por isso que a combinação que importa é datacenter no país, contrato em português sob lei brasileira, e operação nacional — as três juntas. Qualquer uma isolada deixa a lacuna aberta.

O que a LGPD cobra de você, independentemente do provedor

Há uma parte da conformidade que não terceiriza. Mesmo com a melhor infraestrutura possível, algumas obrigações continuam sendo do controlador — ou seja, da sua empresa.

A distinção entre controlador e operador é o ponto de partida. Quem decide a finalidade e os meios do tratamento é controlador; quem trata em nome dele é operador. Um provedor de infraestrutura costuma ser operador. Isso significa que a responsabilidade por escolher um fornecedor adequado, e por documentar essa escolha, é sua.

Na prática, três coisas costumam faltar:

• O registro das operações de tratamento. Quais dados, para qual finalidade, por quanto tempo, com qual base legal. Sem esse mapa, não há como responder a um pedido de titular nem a um questionamento da ANPD.
• O contrato com o operador. O acordo de tratamento de dados precisa existir, descrever o escopo e dizer o que acontece com subcontratados. Vale ler o do seu provedor atual — muita gente nunca leu.
• O plano de resposta a incidente. A comunicação de vazamento tem prazo e destinatários definidos. Improvisar isso no dia é a pior hora.

O provedor entra como uma peça: ele determina onde o dado reside, sob qual jurisdição e quem consegue acessá-lo administrativamente. Escolher bem reduz a sua exposição, mas não substitui o trabalho de governança — e nenhum fornecedor sério vai prometer que substitui.

O outro lado da conta

Não seria honesto tratar isso como decisão sem custo. Provedores globais oferecem catálogo de serviços gerenciados muito maior, presença em dezenas de regiões e um ecossistema de ferramentas que cloud nacional não replica.

Se a sua arquitetura depende de um serviço gerenciado específico que só existe lá, a migração é um projeto de engenharia, não uma troca de fornecedor. Vale medir esse custo com sinceridade antes de decidir por argumento jurídico.

O que costuma surpreender é quanta coisa não depende disso. Aplicação web com banco relacional, fila e armazenamento de objeto — a esmagadora maioria dos sistemas — roda igual em qualquer lugar. Nesses casos, o custo de mudar é baixo e a discussão volta a ser sobre preço, latência e suporte.

Um caminho prático

Antes de decidir, faça o inventário. Ele costuma revelar surpresas — quase sempre existe algum dado sensível em lugar que ninguém lembrava.

• Liste o que você guarda, marcando o que é dado pessoal e o que é sensível.
• Mapeie onde cada um reside, incluindo backup, log, métrica e o SaaS de terceiro que recebe cópia.
• Verifique os contratos desses fornecedores: lei aplicável, foro, e o que o DPA diz sobre subcontratação e transferência internacional.
• Classifique por criticidade e mova primeiro o que for sensível e regulado.

O resultado costuma ser uma arquitetura mista, e isso é legítimo: o dado sensível em infraestrutura nacional, sob contrato brasileiro, e o resto onde for mais conveniente. Soberania de dado não precisa ser decisão de tudo ou nada — precisa ser decisão consciente, item por item.

Se a conclusão apontar para trazer parte da operação para o Brasil, o dimensionamento das máquinas é o ponto de partida, e vale saber que o time de onboarding avalia migrações caso a caso. E se o motivo adicional for custo, a conta do câmbio e do IOF costuma pesar tanto quanto o argumento jurídico.

Um último ponto, que costuma ser o argumento decisivo para quem está em cima do muro: essa análise não precisa ser refeita a cada auditoria. Feito o inventário uma vez e organizada a documentação, ela vira ativo — responde questionário de cliente, sustenta participação em edital e encurta a conversa com o jurídico do outro lado. O custo é concentrado no início e o benefício é recorrente, o que é raro em conformidade.

Este texto é uma leitura técnica, não parecer jurídico. As referências legais e os prazos citados podem ter mudado, e decisão de conformidade merece a análise de quem responde por ela.