O que é a residência dos dados?

Resposta rápida: A residência dos dados é a localização física ou geográfica onde os dados de uma organização são armazenados e tratados. É importante porque a localização pode influenciar as leis, entidades reguladoras e poderes de acesso público aplicáveis. É uma questão relevante na avaliação do GDPR, de fornecedores e da segurança de TI, sem ser o único fator jurídico.

Refere-se ao local onde os dados estão fisicamente armazenados: um país, região ou centro de dados. Quando uma empresa envia documentos para um serviço na nuvem, os servidores estão em um local concreto, com implicações jurídicas. Um contrato em Frankfurt está sujeito a regras europeias, mas também podem aplicar-se outras leis conforme as entidades e o tratamento. Um servidor na Virgínia suscita questões de direito norte-americano, incluindo o CLOUD Act. Os poderes legais podem depender da jurisdição sobre o fornecedor, e não apenas do local do servidor.

Nos setores regulamentados, esta questão é frequentemente um requisito. Reguladores, auditores, clientes e entidades públicas querem saber onde estão exatamente os dados.

Residência, soberania e localização obrigatória dos dados

Estes termos são usados como equivalentes, mas descrevem questões diferentes.

Residência dos dados É a questão factual: onde estão armazenados? Uma organização pode exigir uma geografia específica, por exemplo, a União Europeia, por motivos internos ou contratuais.

Soberania dos dados É a questão jurídica: que leis se aplicam? Além das regras do local de armazenamento, podem aplicar-se leis relacionadas com a sede e a jurisdição do fornecedor. Por isso, uma empresa europeia que utiliza um centro de dados na UE de um fornecedor norte-americano deve avaliar também a soberania. A residência, por si só, não resolve a jurisdição.

Localização obrigatória dos dados São requisitos legais para manter determinados dados em um território, por vezes com restrições às transferências. Países como Rússia e China e outras jurisdições impõem regras a certas categorias; alguns Estados-Membros da UE também têm requisitos específicos para dados de saúde ou públicos. O alcance e as exceções devem ser avaliados em cada caso.

Na prática, muitas PMEs começam pela residência — onde ficam os dados? —, avaliam a soberania — quem pode exigir acesso? — e verificam regras de localização quando sua atividade ou jurisdição exige.

Por que é importante para empresas com requisitos de conformidade?

Três motivos predominam: regulamentação, auditorias e confiança dos clientes.

Regulamentação. O GDPR condiciona as transferências de dados pessoais para fora do Espaço Econômico Europeu aos mecanismos aplicáveis. A decisão Schrems II invalidou o Privacy Shield em 2020. Em 2023, a Comissão adotou uma decisão de adequação para o EU–US Data Privacy Framework, utilizável para destinatários participantes elegíveis; outras transferências podem exigir outros instrumentos. Hospedagem na UE não elimina, por si só, riscos de acesso ou transferências posteriores. O CMS GDPR Enforcement Tracker de 2024 já indicava multas acumuladas superiores a 4,5 bilhões de euros, ilustrando a importância do cumprimento. As avaliações de risco HIPAA, os controles ISO 27001 sobre fornecedores e os requisitos de contratação pública na Europa, Austrália e Canadá também podem exigir análise da localização e dos acessos. Esta avaliação integra a conformidade documental com o GDPR.

Auditorias. As auditorias ISO 27001 e ISO 9001 podem analisar onde estão os documentos controlados, registros e dados pessoais e quem os acessa. Não identificar a região e os compromissos contratuais pode revelar uma falha de controle. A documentação de residência, juntamente com a criptografia e os controles de acesso, integra as evidências necessárias para preparar uma auditoria com organização.

Exigências de clientes e contratos. Os clientes empresariais podem incluir cláusulas de residência nos contratos. Um fabricante que fornece a uma empresa alemã ou um prestador que trabalha com entidades públicas pode encontrar esse requisito no questionário de segurança. Não atendê-lo pode impedir o negócio antes da discussão de preços.

Como avaliar a residência em um sistema documental

Ao avaliar um DMS ou fornecedor de nuvem, faça quatro perguntas:

Onde estão os servidores principais? Peça a região concreta, e não apenas a referência a «infraestrutura global». Confirme-a no contrato ou acordo de tratamento de dados.
Onde estão as cópias de segurança e réplicas? A avaliação fica incompleta se as cópias de segurança estiverem em outra jurisdição. Confirme onde é mantida a redundância e quais são os compromissos aplicáveis.
Qual é a entidade jurídica responsável pelo serviço? Um fornecedor de outra jurisdição pode estar sujeito a leis de acesso estrangeiras, independentemente da localização dos servidores. Algumas organizações europeias preferem fornecedores sediados na Europa por esse motivo, mas devem avaliar toda a cadeia. Peça também a lista de subcontratantes, pois um prestador em outra região pode levantar as mesmas questões.
Que opções existem se os requisitos se tornarem mais exigentes? Algumas organizações de saúde, finanças ou cadeias de fornecimento públicas podem precisar de nuvem dedicada ou de instalação local. Ter essa opção pode evitar a mudança de fornecedor, embora a transição exija planejamento.

A Folderit é uma empresa estoniano-alemã, usa AWS com residência dos dados dos clientes na UE na oferta correspondente e mantém backups triplos em centros separados por mais de 100 quilômetros. Também oferece nuvem dedicada e implantação local para requisitos mais específicos. Confirme a região, os acessos, os backups e os compromissos contratuais da implantação escolhida. Nossa visão geral de segurança descreve os controles. Essas informações permitem aos responsáveis de TI ou conformidade explicar a localização, a jurisdição e a geografia dos backups durante uma avaliação, sem presumir que a hospedagem europeia elimina todos os riscos.

Um critério de seleção desde o início

A residência não é um atributo simples de mudar depois da contratação. Pode reconfigurar permissões e fluxos, mas transferir terabytes de documentos entre jurisdições exige um projeto de migração e avaliação jurídica.

Use-a como filtro inicial, antes de comparar funcionalidades ou preços. Isso reduz o risco de descobrir um problema de jurisdição em uma auditoria ou inspeção. Para PMEs europeias, escolher hospedagem na UE pode simplificar parte da avaliação, mas não dispensa verificar acessos, subcontratados e transferências. Leia também o que significa a conformidade dos dados para sua empresa ao definir os requisitos internos.