O que é soberania digital?
Soberania digital é a capacidade de uma organização de controlar seus próprios dados, softwares e infraestrutura digital sem estar sujeita a jurisdições estrangeiras. Para empresas e órgãos públicos brasileiros, isso significa saber onde os dados ficam, qual lei se aplica e se a ferramenta depende de um único fornecedor estrangeiro.
O termo ganhou força em debates sobre dependência tecnológica na Europa e no Brasil. Por aqui, ele entrou na pauta das empresas com a LGPD, em vigor desde 2020. Vários termos relacionados costumam ser confundidos com ele:
Autonomia digital: Um país ou uma região consegue fazer escolhas tecnológicas estratégicas sem depender de outras potências.
Soberania de dados: Uma organização controla conjuntos de dados específicos, incluindo quem pode usá-los e para qual finalidade.
Residência de dados: Os dados são armazenados e processados em um local físico conhecido, como um data center em São Paulo ou em Frankfurt.
Conformidade com a LGPD: Um fornecedor segue a Lei Geral de Proteção de Dados, o padrão mínimo para tratar dados pessoais no Brasil.
A residência de dados mostra onde os dados estão guardados. A jurisdição define quem pode exigir acesso a eles por via legal.
Por que a soberania digital importa agora
Três forças tiraram a soberania digital do debate político e a levaram para a operação do dia a dia: as regras da LGPD para transferências internacionais, o CLOUD Act dos EUA e a adequação mútua entre o Brasil e a União Europeia.
Transferências internacionais sob a LGPD
Pelo artigo 33 da Lei Geral de Proteção de Dados, dados pessoais só podem ser transferidos para outro país em casos específicos, como uma decisão de adequação, cláusulas-padrão contratuais ou normas corporativas globais. Em agosto de 2024, a ANPD publicou a Resolução CD/ANPD nº 19/2024, que regulamentou essas transferências e criou cláusulas-padrão próprias.
Desde 23 de agosto de 2025, contratos que usam cláusulas como base para transferências precisam adotar as cláusulas-padrão da ANPD sem alterações. Cada fornecedor que guarda dados fora do Brasil exige, portanto, uma base de transferência que alguém na sua organização precisa documentar.
Em fevereiro de 2026, a Lei nº 15.352/2026 transformou a ANPD em agência reguladora, com autonomia técnica, decisória e financeira, além de uma carreira própria de fiscalização.
O CLOUD Act dos EUA
O CLOUD Act foi aprovado nos EUA em 2018. Ele permite que um processo legal válido nos EUA obrigue provedores sob jurisdição americana a entregar dados em sua posse, custódia ou controle. Isso vale onde quer que os dados estejam armazenados.
Uma subsidiária brasileira ou europeia de uma empresa americana também pode ser alcançada. Se a lei cobre uma subsidiária específica depende dos fatos, principalmente de quem controla os dados. Um fornecedor com controladora americana deve saber explicar como isso se aplica à sua própria estrutura.
O CLOUD Act funciona por meio de processos legais com limites, então não dá acesso irrestrito a dados guardados fora dos EUA. Ainda assim, “hospedado no Brasil” ou “hospedado em Frankfurt” responde apenas à pergunta sobre localização.
A adequação mútua entre Brasil e União Europeia
Em 26 de janeiro de 2026, Brasil e União Europeia reconheceram mutuamente que oferecem um nível adequado de proteção de dados. Do lado brasileiro, a base é a Resolução CD/ANPD nº 32/2026. Do lado europeu, é a decisão de adequação da Comissão Europeia (UE) 2026/179.
Na prática, dados pessoais podem circular entre o Brasil e os países da UE, além de Islândia, Liechtenstein e Noruega, em regra sem cláusulas contratuais adicionais. Isso simplifica a contratação de fornecedores hospedados na UE por empresas brasileiras. A adequação, porém, não resolve a jurisdição: ela não impede que uma lei de fora da UE alcance a controladora do fornecedor.
Soberania digital vs. conformidade com a LGPD: por que não são a mesma coisa
A conformidade com a LGPD significa que uma ferramenta segue as regras brasileiras de proteção de dados. A soberania digital significa que a ferramenta não está sujeita a jurisdições estrangeiras que possam se sobrepor a essas regras. Uma ferramenta americana pode estar em conformidade com a LGPD e, mesmo assim, ser alcançada pelo CLOUD Act.
Pense na LGPD como o piso. Ela define o mínimo para tratamento lícito, direitos dos titulares e segurança, mas não decide quais tribunais podem alcançar a controladora de um fornecedor. A soberania digital é a camada que você acrescenta quando esse risco importa, geralmente em três situações:
Dados sensíveis: Prontuários de saúde, arquivos de RH e projetos confidenciais de produtos pesam mais se uma autoridade estrangeira pedir acesso a eles.
Setores regulados: Finanças, saúde e infraestrutura crítica seguem regras setoriais e contratos que perguntam onde os dados ficam e quem os controla.
Contratos com o setor público: Órgãos públicos e seus fornecedores muitas vezes precisam documentar critérios de soberania em licitações.
Se a sua empresa também atende clientes europeus, o RGPD europeu entra na conta, e a adequação mútua simplifica essa parte. O restante deste artigo trata da camada de soberania, começando pela localização.
Onde seus dados ficam armazenados? A questão da residência de dados
Residência de dados é o local físico onde os dados são armazenados e processados. Para a soberania digital, ela é necessária, mas não suficiente. Dados guardados em Frankfurt por um provedor de controle americano ainda podem estar sob jurisdição dos EUA.
Fornecedores costumam responder a perguntas sobre residência com um rótulo curto. Quando um fornecedor disser “hospedagem segura na nuvem”, faça quatro perguntas complementares:
Armazenamento principal: Pergunte qual país e qual data center guardam seus dados ativos e se o contrato fixa esse local.
Backups: Pergunte onde ficam as cópias de backup e os sites de recuperação de desastres, porque podem estar em outra região.
Processamento e acesso do suporte: Pergunte onde os dados são processados e de quais países a equipe de suporte consegue visualizá-los.
Entidade jurídica no controle: Pergunte qual empresa opera os servidores e qual controladora é dona dessa empresa.
Imagine a pessoa responsável por compras em uma transportadora de médio porte, cujo fornecedor responde “hospedagem na nuvem”. O armazenamento e os backups ficam na Alemanha, mas os chamados de suporte passam pela controladora americana do fornecedor, que pode acessar dados de clientes. Isso não desqualifica o fornecedor, mas mostra qual risco essa pessoa estaria aceitando e quais termos precisa negociar.
Um checklist para avaliar a soberania digital
Use estas cinco perguntas em qualquer avaliação de fornecedor, seja para comparar plataformas consolidadas ou para listar alternativas a ferramentas americanas. Peça respostas por escrito, porque respostas vagas também dizem muito.
1. Onde os dados são armazenados e processados?
Divida a localização em três partes: armazenamento principal, armazenamento de backup e processamento. Um fornecedor pode guardar os dados ativos na Alemanha e rodar backups ou análises em outro lugar. O processamento também importa, porque os dados ficam expostos onde quer que sejam lidos.
Aceite apenas respostas que indiquem locais específicos de data centers, como São Paulo ou Frankfurt, porque “região América do Sul” ou “região UE” é vago demais para verificar. Pergunte se esses locais constam no contrato ou no acordo de processamento de dados (DPA) e como o fornecedor avisa você antes de mudá-los.
2. Qual jurisdição se aplica?
A entidade jurídica que opera o serviço determina qual lei se aplica. Uma ferramenta hospedada na Alemanha por uma empresa de controle americano ainda pode estar sujeita à lei dos EUA, incluindo o CLOUD Act.
Verifique a entidade operadora indicada no contrato e onde ela está registrada; depois, analise a controladora e a estrutura societária. Por fim, confira o suboperador de infraestrutura, porque um fornecedor brasileiro ou europeu pode rodar em uma plataforma de nuvem com controladora estrangeira.
3. Quem tem acesso e em que circunstâncias?
Documente cada parte que consegue chegar aos seus dados e as condições que valem para ela. Inclua estes grupos:
Equipe do fornecedor: Descubra quais funções podem ver dados de clientes, de quais países e com qual aprovação.
Suboperadores: Peça a lista completa, incluindo o que cada um processa e onde.
Provedores de infraestrutura de nuvem: Verifique se a equipe do provedor de hospedagem consegue acessar seus dados e sob qual sistema jurídico.
Autoridades governamentais: Pergunte como o fornecedor lida com pedidos de governos e se avisa os clientes quando a lei permite.
Peça o DPA e a lista de suboperadores antes de assinar. Os dois documentos transformam promessas verbais em termos que você pode verificar.
4. Quais são as opções de saída?
Confirme que você pode exportar todos os seus dados em um formato padrão, como CSV ou JSON, a qualquer momento. Pergunte por escrito o que fica fora da exportação, porque anexos, comentários ou históricos podem exigir tratamento separado.
Uma equipe de TI de prefeitura pode testar isso antes de assinar. A equipe exporta um pequeno projeto-piloto e abre os arquivos em outra ferramenta, como uma planilha. Se tarefas, responsáveis e prazos chegarem intactos, a opção de saída passou por um teste de verdade.
5. Quais certificações e padrões o fornecedor tem?
As certificações indicam maturidade operacional, mas nenhuma delas comprova soberania sozinha. Procure estas:
ISO 27001: Esta norma internacional cobre a gestão da segurança da informação.
ISO/IEC 27701: Esta extensão da ISO 27001 trata da gestão da privacidade da informação.
SOC 2: Este relatório de auditoria independente, definido pelo AICPA, avalia controles de segurança, disponibilidade, integridade de processamento, confidencialidade e privacidade.
Nenhuma certificação substitui as perguntas anteriores. Use os selos como complemento ao checklist, não como resposta final.
Soberania digital no setor público
Órgãos públicos enfrentam exigências de soberania digital mais rígidas do que a maioria das empresas privadas, porque tratam dados de cidadãos e seguem regras próprias de contratação.
Duas referências ajudam a estruturar essas exigências:
ANPD como agência reguladora: Desde fevereiro de 2026, a ANPD é uma autarquia de natureza especial, com autonomia técnica, decisória e financeira e uma carreira própria de regulação e fiscalização.
Cloud Sovereignty Framework: A Comissão Europeia classifica ofertas de nuvem em níveis de SEAL-0 a SEAL-4, uma escala que órgãos brasileiros também podem usar como referência.
Se você está se preparando para uma licitação pública, o checklist acima ajuda a documentar de forma organizada hospedagem, controle acionário, suboperadores, certificações e saída. Para ver como um fornecedor de gestão de tarefas responde a essas perguntas, confira a página do MeisterTask para o setor público.
MeisterTask e soberania digital
O MeisterTask armazena os dados de projetos em um data center com certificação ISO 27001 em Frankfurt, na Alemanha. A entidade contratante é a MeisterLabs GmbH, empresa registrada em Vaterstetten, na Alemanha, e sujeita às leis alemãs e da UE. Com a adequação mútua, empresas brasileiras podem, em regra, transferir dados pessoais para essa infraestrutura sem cláusulas contratuais adicionais. Como alguns suboperadores ficam fora da UE, confira a lista no DPA. A infraestrutura roda na região de Frankfurt do Google Cloud, então compare a lista de suboperadores do DPA com o seu próprio limite de risco. Aplicados ao checklist, três fatos se destacam:
Residência de dados: Os dados de projetos do MeisterTask ficam hospedados em Frankfurt, e a MeisterLabs tem certificação ISO 27001:2022.
Jurisdição e transparência: O DPA lista a Google Cloud EMEA Limited, cuja controladora fica nos EUA, ao lado de outros suboperadores.
Opções de saída: Todas as pessoas usuárias podem exportar projetos em CSV, com tarefas, responsáveis, prazos, comentários e checklists. Os anexos são baixados à parte, e a exportação de dados pessoais reúne todos os seus projetos e anexos em um arquivo ZIP.
O Meister IA combina um modelo de busca criado pela MeisterLabs com modelos do Google e da OpenAI, dois provedores americanos. O Google e a OpenAI não usam as informações processadas pelo Meister IA para treinar seus modelos. “Hospedado na Alemanha” vale apenas para os dados de projetos. Por isso, quem administra o plano Comercial pode desativar os recursos de IA e manter a gestão de tarefas. Nosso artigo sobre como introduzir ferramentas de IA na equipe explica como avaliar essa escolha.
Imagine uma equipe de uma indústria que guarda desenhos confidenciais de fornecedores nos seus projetos. A administração da equipe desativa os recursos de IA, e a equipe mantém tarefas, prazos e passagens de responsabilidade no MeisterTask. Os detalhes de hospedagem e certificação estão na página de segurança do MeisterTask.
Faça da soberania parte de cada escolha de ferramenta
A soberania digital é um conjunto de perguntas que você faz a cada fornecedor, e nenhum selo sozinho responde a todas. Sempre que um fornecedor disser “hospedagem segura” ou “dados na nuvem”, aplique as cinco verificações (armazenamento, jurisdição, acesso, saída e certificações) para ver quais riscos você aceita.
O MeisterTask documenta sua hospedagem, seus suboperadores e seus provedores de IA, para que sua equipe possa avaliá-los com base no próprio limite de risco.
