LGPD e armazenamento em nuvem: guia para empresas

Entenda o que a LGPD pede de quem guarda dados na nuvem: controlador e operador, perguntas ao fornecedor e um checklist simples.

Por Redação Eleven Host · @robson.direitodigital · Atualizado em 17 de outubro de 2026 · 8 min de leitura

A LGPD (Lei 13.709/2018) não proíbe guardar dados na nuvem. Para LGPD e armazenamento em nuvem funcionarem juntos, sua empresa precisa saber quais dados guarda, proteger esses dados e ter um contrato claro com o fornecedor.

O texto abaixo é um guia prático para pequena empresa. Ele é informativo e não substitui orientação jurídica: para o seu caso, consulte um advogado ou profissional de proteção de dados.

O que a lei chama de dado pessoal

O art. 5º da LGPD define dado pessoal como informação relacionada a uma pessoa natural identificada ou identificável. Nome, CPF, e-mail, telefone e endereço entram nessa definição. O mesmo artigo define dado pessoal sensível, categoria que inclui, por exemplo, dado de saúde e dado biométrico, e que pede mais cuidado.

Na prática, o que está na sua pasta de arquivos conta. Planilha de clientes, contrato com CPF, currículo recebido por e-mail, foto de documento e cópia de exame médico de funcionário são dados pessoais. Estar "só guardado" em um serviço de nuvem não tira o arquivo do alcance da lei.

Um bom começo é fazer uma lista simples: quais arquivos têm dados de pessoas, quem os criou, onde estão hoje e por que a empresa precisa deles. Essa lista orienta todo o resto do guia.

Controlador e operador: quem é quem

O art. 5º também define os dois papéis principais. O controlador é quem decide sobre o tratamento dos dados pessoais. O operador é quem trata os dados em nome do controlador. Há ainda o encarregado, pessoa indicada para ser o canal de comunicação entre a empresa, os titulares dos dados e a ANPD, a Autoridade Nacional de Proteção de Dados.

Se a sua empresa decide quais dados de clientes e funcionários coleta e para quê, ela é a controladora. O fornecedor de nuvem que guarda os arquivos por conta dela atua como operador. O enquadramento depende de como o serviço é contratado e usado. Se tiver dúvida sobre o seu enquadramento, leve a pergunta a um profissional.

Nuvem é permitida: o ponto é como os dados são protegidos

A LGPD não diz de forma simples que os dados devem ficar em servidor no Brasil. Ela trata a transferência internacional de dados nos arts. 33 a 36, com hipóteses e condições para que ela aconteça. Por isso, saber em que país ficam os arquivos é uma pergunta legítima ao fornecedor, e a resposta pode mudar o que a sua empresa precisa fazer.

O art. 46 trata das medidas de segurança: os agentes de tratamento devem adotar medidas técnicas e administrativas para proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas de perda, alteração ou vazamento. Isso vale para você e, no que couber, para quem guarda os dados por você.

Para entender melhor o outro lado da conversa, veja também o artigo Número de telefone é dado pessoal? O que diz a LGPD, que mostra um exemplo concreto de dado que pode surpreender.

O que perguntar ao fornecedor de nuvem

As perguntas abaixo servem para qualquer fornecedor de armazenamento, inclusive a Eleven Host. Anote as respostas por escrito e guarde junto do contrato.

• Contrato: existe contrato ou termo de serviço que descreva o tratamento de dados pessoais, as responsabilidades de cada lado e o que acontece se houver incidente?
• Localização: em que país ficam os dados? Há cópias ou serviços de apoio em outros países?
• Criptografia: a conexão é criptografada? Os arquivos guardados também são? Quem controla as chaves?
• Controle de acesso: dá para criar um usuário para cada pessoa, limitar quem vê cada pasta e remover o acesso de quem sai da empresa?
• Registro de acessos: o serviço registra quem acessou ou alterou cada arquivo? Por quanto tempo esse registro fica disponível?
• Exclusão: quando você apaga um arquivo ou encerra o contrato, o que acontece com os dados? Existe prazo e confirmação?
• Cópias de segurança: o fornecedor faz backup dos seus arquivos ou isso é responsabilidade sua?
• Incidentes: como e quando o fornecedor avisa você se algo der errado?

Não existe resposta "certa" única. O objetivo é que a empresa saiba o que está contratando e consiga decidir com informação. Se alguma resposta ficar vaga, peça por escrito e confirme antes de colocar dados pessoais ali.

Tem dúvidas sobre infraestrutura para a sua empresa? Falar com a equipe

O que a Eleven Host informa publicamente sobre o 11Cloud

O 11Cloud é o serviço de armazenamento da Eleven Host. A página pública do serviço informa que o acesso pode ser feito pelo navegador e por SFTP, FTP/FTPS e WebDAV, que as conexões usam criptografia (HTTPS, SFTP e FTPS) e que existem links de compartilhamento. Para saber como começar, veja o Guia do 11Cloud: por onde começar a usar.

Sobre os demais pontos da lista da seção anterior, como local de armazenamento, registro de acessos, criptografia dos arquivos guardados e exclusão, a página pública não traz detalhes. Não presuma. Faça as perguntas no chamado e peça a resposta por escrito, como faria com qualquer outro fornecedor.

Checklist prático para a pequena empresa

1. Liste quais arquivos têm dados pessoais e onde eles estão hoje.
2. Separe o que é dado sensível, como saúde e biometria, e trate com cuidado extra.
3. Guarde só o que a empresa precisa e defina por quanto tempo cada tipo de arquivo será mantido.
4. Dê a cada pessoa um acesso individual, sem senha compartilhada, e libere só as pastas de que ela precisa.
5. Ative a verificação em duas etapas nas contas que oferecerem esse recurso.
6. Remova o acesso de quem saiu da empresa no mesmo dia em que a saída for combinada.
7. Envie arquivos com dados pessoais por canais criptografados e evite anexos soltos em e-mail.
8. Tenha uma cópia de segurança fora do local principal e teste a restauração de tempos em tempos.
9. Guarde o contrato e as respostas do fornecedor em um lugar conhecido por quem cuida do assunto.
10. Defina quem atenderá o cliente que pedir acesso ou exclusão dos dados (função do encarregado; confirme com um profissional se a indicação formal vale para o seu porte).
11. Escreva um plano de resposta a incidente: quem decide, quem avisa e quem corrige.

Para a cópia de segurança, o artigo O Que É Backup Off-Site? Guia Completo e Prático explica a ideia de guardar uma cópia em outro lugar.

Exemplos do dia a dia

Uma clínica pequena guarda exames de pacientes em uma pasta na nuvem. Esses arquivos podem ser dados sensíveis. Antes de usar o serviço, a clínica deve conferir como o acesso é controlado, se existe criptografia e como os arquivos são apagados. Também deve limitar a pasta a quem atende o paciente.

Uma loja virtual exporta toda semana uma planilha de pedidos com nome, endereço e telefone. A planilha vai para a nuvem e o link é enviado ao contador. Aqui o cuidado é com o compartilhamento: o link tem prazo? Quem o recebeu pode repassar? Depois que o contador terminar o trabalho, o link deve ser desativado.

Uma agência de marketing guarda listas de contatos de clientes. Ela é operadora para alguns clientes e controladora dos próprios dados. Nesse caso, vale registrar em contrato o que a agência pode fazer com cada lista e o que acontece com os arquivos quando o serviço acabar.

Se houver um incidente de segurança

O art. 48 da LGPD trata da comunicação de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. A comunicação é feita à ANPD e aos titulares afetados. Os prazos e o formato dependem da regulamentação da ANPD, que pode ser atualizada. Por isso, confira a regulamentação atual da ANPD antes de agir e não use prazo de memória.

O que dá para preparar antes: saber quem na empresa decide, ter o contato do fornecedor à mão, manter o registro de quem acessou os arquivos e ter uma cópia de segurança para restaurar o que foi perdido. Se o problema for em um site, o artigo Segurança para sites: 10 medidas essenciais ajuda a reduzir o risco.

Sobre sanções e multas, valores e critérios também dependem da lei e da regulamentação em vigor. Consulte a ANPD e o seu advogado em vez de confiar em números que circulam na internet.

Precisa de um servidor administrado por você para guardar e tratar dados? Ver planos de VPS

Perguntas frequentes

A LGPD proíbe guardar dados pessoais na nuvem?

Não. A lei exige que o tratamento tenha finalidade e proteção adequada, e traz regras específicas para a transferência internacional (arts. 33 a 36).

Quem responde se o fornecedor de nuvem tiver um problema?

Depende do contrato e do caso. A empresa que decide sobre os dados é a controladora e tem deveres próprios. Peça orientação jurídica para o seu caso.

O que a Eleven Host informa sobre LGPD no 11Cloud?

A página pública do 11Cloud não trata de LGPD, e este guia não afirma nada além dela. Faça as perguntas da seção "O que perguntar ao fornecedor" em um chamado e peça a resposta por escrito.

Preciso de um encarregado na minha empresa?

A lei define o encarregado no art. 5º e trata da indicação pelo controlador no art. 41. Se isso vale para o seu porte, confira a regulamentação atual da ANPD ou fale com um profissional.