Migrar dados e sistemas para a nuvem trouxe agilidade para empresas de todos os portes, mas também levantou uma dúvida recorrente entre times jurídicos e técnicos: como a LGPD se aplica quando os dados pessoais estão hospedados em servidores da AWS, Azure ou GCP? A resposta envolve conceitos como controlador e operador, transferência internacional de dados e responsabilidade compartilhada, e entender cada um deles é o primeiro passo para operar em conformidade.
Controlador e operador: quem responde pelo quê na nuvem
A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) distingue dois papéis centrais no tratamento de dados pessoais: o controlador, que decide as finalidades do tratamento, e o operador, que trata os dados em nome do controlador.
No Guia Orientativo da ANPD para Definições dos Agentes de Tratamento, publicado em 2021, esse enquadramento é explicado justamente com o exemplo da contratação de um serviço de nuvem: a empresa que contrata o provedor é a controladora dos dados pessoais, e o provedor de nuvem atua como operador.
Na prática, isso significa que contratar uma nuvem com boa reputação em segurança não transfere a responsabilidade legal para o provedor. A empresa contratante continua respondendo pela base legal do tratamento (art. 7º da LGPD), pela finalidade do uso dos dados e pela adequação geral às exigências da lei, mesmo que a infraestrutura esteja fisicamente sob gestão de terceiros.
Transferência internacional de dados e a Resolução ANPD nº 19/2024
Um ponto que gera muitas dúvidas é: usar um provedor de nuvem com servidores fora do Brasil configura transferência internacional de dados? Os artigos 33 a 36 da LGPD regulam esse tema, e a leitura consolidada no mercado jurídico, presente em análises como a publicada no Conjur em dezembro de 2024, é que sim: armazenar ou processar dados pessoais em infraestrutura hospedada no exterior caracteriza transferência internacional, mesmo quando a operação é apenas disponibilizar acesso aos dados. Essa não é uma posição formalmente vinculante da ANPD, mas é a interpretação predominante e a mais prudente para orientar decisões de contratação.
Em agosto de 2024, a ANPD publicou a Resolução CD/ANPD nº 19/2024, que regulamenta os artigos 33 a 36 da LGPD e aprova o modelo de cláusulas-padrão contratuais para esse tipo de transferência. A resolução prevê quatro mecanismos possíveis:
- Decisão de adequação do país ou organismo internacional de destino.
- Cláusulas-padrão contratuais aprovadas pela ANPD.
- Cláusulas contratuais específicas para a operação, sujeitas a aprovação da ANPD.
- Normas corporativas globais, aplicáveis a grupos econômicos, também sujeitas a aprovação da ANPD.
Empresas que já usavam cláusulas próprias em seus contratos tiveram um prazo de doze meses, contado a partir de agosto de 2024, para migrar ao modelo padrão da ANPD sem alterações de conteúdo, exceto pela identificação das partes e pelos detalhes específicos da transferência. Esse prazo venceu em agosto de 2025, então vale revisar se os contratos com fornecedores de nuvem já foram atualizados.
A decisão de adequação com a União Europeia
Em 26 de janeiro de 2026, a ANPD publicou a Resolução CD/ANPD nº 32/2026, reconhecendo a União Europeia como o primeiro território com decisão de adequação. Isso significa que, para transferências de dados pessoais destinadas à UE, não é necessário adotar cláusulas-padrão ou outro mecanismo adicional: a decisão de adequação já supre essa exigência.
Até o momento, essa é a única decisão de adequação vigente, e nenhuma cláusula contratual específica ou norma corporativa global havia sido aprovada pelo Conselho Diretor da ANPD. Na prática, para a maioria das empresas brasileiras que usam provedores de nuvem globais com data centers fora da UE, o caminho mais direto ainda são as cláusulas-padrão contratuais da Resolução 19/2024.
Responsabilidade compartilhada na prática
Provedores como AWS, Azure e GCP operam sob o modelo de responsabilidade compartilhada: o provedor responde pela segurança "da" nuvem, ou seja, infraestrutura física, virtualização e camadas de hospedagem, enquanto o cliente responde pela segurança "na" nuvem, incluindo dados, configuração de identidade e acesso (IAM), criptografia e hardening dos serviços contratados.
A AWS, por exemplo, declara certificações como ISO/IEC 27001:2022, ISO/IEC 27017:2015 e ISO/IEC 27018:2019, e recomenda ao cliente brasileiro práticas como autenticação multifator (MFA), gestão cuidadosa de credenciais, criptografia em repouso com AES-256, gestão centralizada de chaves e uso de ferramentas de auditoria como o CloudTrail. Ainda assim, o provedor reforça que o cliente é, em última instância, responsável por sua própria conformidade com a LGPD.
Isso não é uma limitação da nuvem, mas um convite a organizar bem os papéis internos: a infraestrutura pode ser robusta, mas as configurações, permissões e políticas de acesso dependem de decisões tomadas pela própria empresa.
Checklist de conformidade para LGPD na nuvem
Alguns pontos práticos ajudam a estruturar um programa de conformidade consistente:
- Definir a base legal (art. 7º da LGPD) para cada tratamento de dados pessoais realizado na nuvem.
- Formalizar um contrato ou DPA (acordo de tratamento de dados) com o provedor, incluindo cláusulas sobre transferência internacional quando aplicável.
- Mapear onde os dados pessoais são armazenados e processados, identificando se há transferência para fora do Brasil e para quais países.
- Aplicar criptografia em repouso e em trânsito, com gestão adequada de chaves.
- Configurar MFA e políticas de IAM com privilégio mínimo para acesso aos ambientes de nuvem.
- Manter um plano de resposta a incidentes que preveja comunicação à ANPD e aos titulares, conforme a regulamentação aplicável.
- Revisar periodicamente contratos e cláusulas contratuais à luz de atualizações da ANPD, como a Resolução 19/2024 e a Resolução 32/2026.
Certificações e frameworks para avaliar um provedor de nuvem
Antes de contratar ou revisar um provedor, vale observar certificações e frameworks reconhecidos internacionalmente:
- ISO/IEC 27001:2022, para gestão de segurança da informação de forma geral.
- ISO/IEC 27017:2015, com controles específicos para serviços em nuvem. A segunda edição, ISO/IEC 27017:2026, foi publicada em julho de 2026, mas provedores como a AWS ainda mantêm certificação vigente na versão 2015 enquanto migram.
- ISO/IEC 27018:2019, voltada à proteção de dados pessoais em nuvem pública quando o provedor atua como operador.
- NIST Cybersecurity Framework (CSF) 2.0, publicado em fevereiro de 2024, organizado em seis funções: Governar, Identificar, Proteger, Detectar, Responder e Recuperar.
- CSA Cloud Controls Matrix, referência de mercado para segurança em nuvem, atualmente na versão 4.1, que substituiu a versão 4.0.13 em 2026.
- CIS Benchmarks específicos para AWS e Azure, que ajudam a validar configurações seguras em cada plataforma.
Vale notar que diversos vazamentos de dados divulgados publicamente no Brasil nos últimos anos tiveram como causa configuração incorreta de sistemas em nuvem, não ataques sofisticados. Isso reforça a importância de práticas de CSPM (Cloud Security Posture Management) e de hardening contínuo, complementando as certificações do provedor com uma rotina interna de revisão de configurações.
Conclusão
A LGPD na nuvem não é um obstáculo à adoção de serviços como AWS, Azure ou GCP, mas exige clareza sobre papéis, mecanismos de transferência internacional e configurações de segurança que ficam sob responsabilidade da empresa contratante. Entender a diferença entre controlador e operador, acompanhar as resoluções da ANPD e aplicar um checklist consistente de conformidade ajuda a transformar a nuvem em um ambiente mais seguro e alinhado à lei.
Se sua empresa quer revisar contratos, configurações e processos de conformidade com a LGPD na nuvem, a Cloud Minds Trusted pode ajudar a estruturar esse diagnóstico com uma visão técnica e jurídica integrada. Fale com a nossa equipe para conversar sobre o cenário da sua operação.