O que é a residência dos dados?

Resposta rápida: A residência dos dados é a localização física ou geográfica onde os dados de uma organização são armazenados e tratados. É importante porque a localização pode influenciar as leis, entidades reguladoras e poderes de acesso público aplicáveis. É uma questão relevante na avaliação do RGPD, de fornecedores e da segurança de TI, sem ser o único fator jurídico.

Refere-se ao local onde os dados estão fisicamente armazenados: um país, região ou centro de dados. Quando uma empresa envia documentos para um serviço na nuvem, os servidores estão num local concreto, com implicações jurídicas. Um contrato em Frankfurt está sujeito a regras europeias, mas também podem aplicar-se outras leis conforme as entidades e o tratamento. Um servidor na Virgínia suscita questões de direito norte-americano, incluindo o CLOUD Act. Os poderes legais podem depender da jurisdição sobre o fornecedor, e não apenas do local do servidor.

Nos setores regulamentados, esta questão é frequentemente um requisito. Reguladores, auditores, clientes e entidades públicas querem saber onde estão exatamente os dados.

Residência, soberania e localização obrigatória dos dados

Estes termos são utilizados como equivalentes, mas descrevem questões diferentes.

Residência dos dados É a questão factual: onde estão armazenados? Uma organização pode exigir uma geografia específica, por exemplo, a União Europeia, por motivos internos ou contratuais.

Soberania dos dados É a questão jurídica: que leis se aplicam? Além das regras do local de armazenamento, podem aplicar-se leis relacionadas com a sede e a jurisdição do fornecedor. Por isso, uma empresa europeia que utiliza um centro de dados na UE de um fornecedor norte-americano deve avaliar também a soberania. A residência, por si só, não resolve a jurisdição.

Localização obrigatória dos dados São requisitos legais para manter determinados dados num território, por vezes com restrições às transferências. Países como Rússia e China e outras jurisdições impõem regras a certas categorias; alguns Estados-Membros da UE também têm requisitos específicos para dados de saúde ou públicos. O alcance e as exceções devem ser avaliados em cada caso.

Na prática, muitas PME começam pela residência — onde ficam os dados? —, avaliam a soberania — quem pode exigir acesso? — e verificam regras de localização quando a sua atividade ou jurisdição o exige.

Porque é importante para empresas com requisitos de conformidade?

Três motivos predominam: regulamentação, auditorias e confiança dos clientes.

Regulamentação. O RGPD condiciona as transferências de dados pessoais para fora do Espaço Económico Europeu aos mecanismos aplicáveis. O acórdão Schrems II invalidou o Privacy Shield em 2020. Em 2023, a Comissão adotou uma decisão de adequação para o EU–US Data Privacy Framework, utilizável para destinatários participantes elegíveis; outras transferências podem exigir outros instrumentos. Alojamento na UE não elimina, por si só, riscos de acesso ou transferências posteriores. O CMS GDPR Enforcement Tracker de 2024 já indicava coimas acumuladas superiores a 4,5 mil milhões de euros, ilustrando a importância do cumprimento. As avaliações de risco HIPAA, os controlos ISO 27001 sobre fornecedores e os requisitos de contratação pública na Europa, Austrália e Canadá também podem exigir análise da localização e dos acessos. Esta avaliação integra a conformidade documental com o RGPD.

Auditorias. As auditorias ISO 27001 e ISO 9001 podem analisar onde estão os documentos controlados, registos e dados pessoais e quem lhes acede. Não identificar a região e os compromissos contratuais pode revelar uma falha de controlo. A documentação de residência, juntamente com a encriptação e os controlos de acesso, integra os comprovativos necessários para preparar uma auditoria com organização.

Exigências de clientes e contratos. Os clientes empresariais podem incluir cláusulas de residência nos contratos. Um fabricante que fornece uma empresa alemã ou um prestador que trabalha com entidades públicas pode encontrar esse requisito no questionário de segurança. Não o satisfazer pode impedir o negócio antes da discussão de preços.

Como avaliar a residência num sistema documental

Ao avaliar um DMS ou fornecedor de nuvem, faça quatro perguntas:

1. Onde estão os servidores principais? Peça a região concreta, e não apenas a referência a «infraestrutura global». Confirme-a no contrato ou acordo de tratamento de dados.
2. Onde estão as cópias de segurança e réplicas? A avaliação fica incompleta se as cópias de segurança estiverem noutra jurisdição. Confirme onde é mantida a redundância e quais os compromissos aplicáveis.
3. Qual é a entidade jurídica responsável pelo serviço? Um fornecedor de outra jurisdição pode estar sujeito a leis de acesso estrangeiras, independentemente da localização dos servidores. Algumas organizações europeias preferem fornecedores sediados na Europa por esse motivo, mas devem avaliar toda a cadeia. Peça também a lista de subcontratantes, pois um prestador noutra região pode levantar as mesmas questões.
4. Que opções existem se os requisitos se tornarem mais exigentes? Algumas organizações de saúde, finanças ou cadeias de fornecimento públicas podem precisar de nuvem dedicada ou de instalação local. Dispor desta opção pode evitar a mudança de fornecedor, embora a transição exija planeamento.

A Folderit é uma empresa estónio-alemã, utiliza AWS com residência de dados de clientes na UE na oferta correspondente e mantém cópias de segurança triplas em centros separados por mais de 100 quilómetros. Também disponibiliza nuvem dedicada e instalação local para requisitos mais específicos. Confirme a região, os acessos, as cópias e os compromissos contratuais da implementação escolhida. A nossa visão geral de segurança descreve os controlos. Esta informação permite aos responsáveis de TI ou conformidade explicar a localização, a jurisdição e a geografia das cópias durante uma avaliação, sem presumir que o alojamento europeu elimina todos os riscos.

Um critério de seleção desde o início

A residência não é um atributo simples de mudar depois da contratação. Pode reconfigurar permissões e fluxos, mas transferir terabytes de documentos entre jurisdições exige um projeto de migração e avaliação jurídica.

Utilize-a como filtro inicial, antes de comparar funcionalidades ou preços. Isto reduz o risco de descobrir um problema de jurisdição numa auditoria ou inspeção. Para PME europeias, escolher alojamento na UE pode simplificar parte da avaliação, mas não dispensa verificar acessos, subcontratantes e transferências. Leia também o que significa a conformidade dos dados para a sua empresa ao definir os requisitos internos.