A Lei Geral de Proteção de Dados (LGPD) mudou a forma como empresas brasileiras precisam tratar dados pessoais — e isso inclui, diretamente, onde e como esses dados são armazenados. Se a sua empresa guarda informações de clientes, funcionários ou fornecedores em algum serviço de nuvem, entender o que a LGPD exige nesse ponto não é opcional.
O que a LGPD considera dado pessoal
A lei define como dado pessoal qualquer informação relacionada a uma pessoa natural identificada ou identificável — nome, CPF, e-mail, telefone, endereço, dados de saúde, entre outros. Isso significa que planilhas de clientes, contratos, currículos, notas fiscais com dados de terceiros e até anexos de e-mail podem estar sujeitos à lei, mesmo que estejam "só guardados" em uma pasta na nuvem.
Armazenamento em nuvem não é proibido pela LGPD
Um mal-entendido comum é achar que a LGPD proíbe guardar dados em nuvem, ou exige que tudo fique fisicamente no Brasil. Não é bem assim: a lei permite o uso de armazenamento em nuvem, inclusive fora do país em determinadas condições, desde que a empresa garanta segurança adequada e, no caso de transferência internacional, que o destino ofereça grau de proteção compatível com a LGPD. O ponto central da lei não é "onde", e sim "como" os dados são protegidos e tratados.
Boas práticas para manter conformidade no armazenamento em nuvem
- Criptografia na transferência e, quando possível, em repouso — dados trafegando ou armazenados sem proteção são um risco direto de vazamento.
- Controle de acesso restrito — só quem realmente precisa deveria ter acesso às pastas com dados pessoais, com senhas individuais (nunca compartilhadas entre vários funcionários).
- Registro de quem acessa o quê — em caso de incidente, é preciso conseguir rastrear o que aconteceu.
- Política clara de retenção — não guardar dados pessoais por mais tempo do que o necessário para a finalidade que justificou a coleta.
- Contrato com o provedor de nuvem — formalizando responsabilidades de segurança, já que o provedor atua como operador de dados nesse cenário.
- Plano de resposta a incidentes — saber o que fazer (e a quem comunicar) caso ocorra um vazamento.
Escolhendo um provedor de nuvem pensando em LGPD
Na hora de escolher onde armazenar dados sujeitos à LGPD, vale considerar: o provedor oferece conexões criptografadas por padrão (SFTP, FTPS, WebDAV com HTTPS)? É possível restringir e revogar acessos individualmente? Existe transparência sobre onde os servidores estão localizados? Essas respostas ajudam a construir a documentação de conformidade que a empresa pode precisar apresentar em uma auditoria ou em resposta a um titular de dados exercendo seus direitos.
Importante: isto não é aconselhamento jurídico
Este artigo tem caráter informativo e não substitui a orientação de um advogado ou especialista em proteção de dados, especialmente para decisões específicas sobre transferência internacional de dados, elaboração de políticas de privacidade ou resposta a incidentes.
Como o 11cloud apoia a conformidade
O 11cloud oferece acesso criptografado por padrão (SFTP, FTPS e WebDAV com HTTPS), com credenciais individuais por cliente e controle próprio de senha — características que ajudam a empresa a sustentar boas práticas de segurança no armazenamento de dados pessoais, como parte de uma estratégia mais ampla de conformidade com a LGPD.
