{"id":37774,"date":"2026-07-31T09:30:45","date_gmt":"2026-07-31T13:30:45","guid":{"rendered":"https:\/\/www.inuvika.com\/?p=37774"},"modified":"2026-07-31T09:30:45","modified_gmt":"2026-07-31T13:30:45","slug":"soberania-dos-dados-de-saude-alem-do-baa","status":"publish","type":"post","link":"https:\/\/www.inuvika.com\/pt\/healthcare-data-sovereignty-beyond-the-baa\/","title":{"rendered":"Soberania dos dados de sa\u00fade: a pergunta que o contrato com o fornecedor n\u00e3o responde"},"content":{"rendered":"

Pelo CLOUD Act americano, um fornecedor sujeito \u00e0 jurisdi\u00e7\u00e3o dos Estados Unidos pode ser obrigado, por ordem legal americana, a entregar os dados que estejam em sua posse, cust\u00f3dia ou controle, mesmo quando esses dados estiverem armazenados fora dos Estados Unidos. A obriga\u00e7\u00e3o recai sobre o fornecedor, e n\u00e3o sobre a localiza\u00e7\u00e3o do servidor.<\/p>\n

A resid\u00eancia dos dados diz onde est\u00e3o os prontu\u00e1rios. A soberania dos dados diz quais autoridades podem determinar a entrega deles. Por isso um data center no pa\u00eds resolve a primeira quest\u00e3o e deixa a segunda em aberto. Tratando-se de dados referentes \u00e0 sa\u00fade, que o art. 5\u00ba da LGPD classifica como dado pessoal sens\u00edvel, a segunda pesa mais. \u00c9 dela que trata o que vem a seguir.<\/p>\n

Em uma implanta\u00e7\u00e3o de VDI a cadeia costuma ter v\u00e1rios elos: o fabricante do software, o parceiro que hospeda a infraestrutura, a nuvem subjacente, o prestador de suporte. Com cada um deles h\u00e1 um contrato envolvido, e um contrato de tratamento de dados costuma fixar finalidades, medidas de seguran\u00e7a, confidencialidade e comunica\u00e7\u00e3o de incidentes.<\/p>\n

O que ele n\u00e3o registra \u00e9 o pa\u00eds onde cada sociedade est\u00e1 constitu\u00edda, a que ordenamento ela responde, nem se uma autoridade estranha ao contrato pode obrig\u00e1-la a entregar o que det\u00e9m.<\/p>\n

O que o regime de transfer\u00eancia internacional alcan\u00e7a<\/h3>\n

<\/span><\/p>\n

Parte dessa avalia\u00e7\u00e3o j\u00e1 \u00e9 formalizada no Brasil. O art. 33 da LGPD<\/a> s\u00f3 permite a transfer\u00eancia internacional de dados pessoais em hip\u00f3teses determinadas, e as cl\u00e1usulas-padr\u00e3o contratuais aprovadas pela ANPD<\/a> chegam perto da pergunta: exigem que o importador assegure n\u00e3o haver, em seu pa\u00eds, lei que o impe\u00e7a de cumprir o que assinou, e que notifique os pedidos de acesso vindos de autoridades. \u00c9 o que existe de mais pr\u00f3ximo. S\u00f3 que essas obriga\u00e7\u00f5es alcan\u00e7am o importador que recebe uma transfer\u00eancia, e n\u00e3o todo fornecedor da cadeia, e s\u00f3 valem onde h\u00e1 transfer\u00eancia. Uma implanta\u00e7\u00e3o que mant\u00e9m os dados no pa\u00eds, enquanto o fornecedor ou parte da sua cadeia de suporte est\u00e1 no exterior, pode n\u00e3o acionar nada disso.<\/p>\n

Onde isso entra em uma avalia\u00e7\u00e3o de VDI<\/h3>\n

Da\u00ed decorrem tr\u00eas consequ\u00eancias. A primeira \u00e9 uma boa not\u00edcia. As outras duas continuam valendo quando uma decis\u00e3o parece ter encerrado o assunto.<\/p>\n