Meus dados de pacientes podem ficar armazenados fora do Brasil? (LGPD e nuvem)
Você contrata um sistema de agenda e prontuário, ou passa a usar uma ferramenta de IA para ajudar a organizar a anotação de sessão, e num certo momento se pergunta: onde esses dados ficam guardados, de verdade? A resposta, para boa parte da infraestrutura de nuvem usada hoje, inclusive por ferramentas brasileiras, é "provavelmente não só no Brasil". Isso é automaticamente uma violação da LGPD? Não. Mas também não é um detalhe irrelevante, porque o dado que você trata é dado de saúde, e a lei trata dado de saúde com um cuidado maior que o de um cadastro comum.
Dado de paciente é dado sensível, sempre
O art. 5º, inciso II da Lei nº 13.709/2018 (LGPD) classifica dado referente à saúde como dado pessoal sensível, ao lado de origem racial, convicção religiosa e orientação sexual. Isso vale para qualquer registro que identifique o paciente: queixa clínica, diagnóstico presuntivo, evolução de sessão. Não importa se esse dado está num caderno, numa planilha ou num sistema de prontuário eletrônico, ele carrega a mesma classificação onde quer que esteja armazenado, inclusive fora do Brasil.
Enviar dado para fora do país não é proibido, mas é regulado
A LGPD não proíbe a transferência internacional de dados pessoais, ela condiciona essa transferência a hipóteses específicas. O Capítulo V da lei, arts. 33 a 36, lista os casos em que enviar dado a um servidor ou fornecedor fora do Brasil é legal: quando o país de destino tem nível de proteção reconhecido como adequado pela Autoridade Nacional de Proteção de Dados (ANPD); quando o controlador oferece garantias por meio de cláusulas-padrão contratuais, normas corporativas globais ou selos e certificados reconhecidos; ou, entre outras hipóteses mais restritas, quando existe consentimento específico e destacado do titular para aquela transferência em particular. Fora dessas hipóteses, a transferência não tem base legal.
O mecanismo que a ANPD colocou de pé: Resolução CD/ANPD nº 19/2024
Em agosto de 2024, a ANPD aprovou o Regulamento de Transferência Internacional de Dados Pessoais por meio da Resolução CD/ANPD nº 19/2024, que detalha como cada uma dessas hipóteses funciona na prática. Ela define quatro mecanismos: decisão de adequação, em que a própria ANPD reconhece formalmente que um país ou organização internacional oferece proteção equivalente à brasileira; cláusulas-padrão contratuais, um texto pré-definido pela ANPD que o fornecedor incorpora ao contrato com quem processa o dado no exterior; cláusulas contratuais específicas, para casos excepcionais em que as cláusulas-padrão comprovadamente não servem, e que dependem de aprovação prévia da própria ANPD; e normas corporativas globais, voltadas a transferências dentro de um mesmo grupo empresarial multinacional.
Até a publicação deste artigo, a ANPD havia reconhecido nível de proteção adequado apenas para a União Europeia e o Espaço Econômico Europeu, por meio da Resolução CD/ANPD nº 32/2026. Para qualquer transferência fora desse universo, na prática, o caminho realista para um fornecedor de médio ou pequeno porte é a cláusula-padrão contratual, cujo prazo de adoção, 12 meses a partir da publicação da Resolução nº 19/2024, já venceu em agosto de 2025.
Dado sensível pede salvaguarda adicional, não uma base legal diferente
Um ponto que vale esclarecer, porque é fácil confundir: a LGPD não cria uma base legal separada e mais rígida para transferência internacional de dado sensível especificamente. As mesmas hipóteses do art. 33 valem independentemente do tipo de dado. O que muda, na prática, é que o texto das cláusulas-padrão aprovadas pela ANPD prevê que, quando a transferência envolve dado sensível, as partes precisam aplicar salvaguardas adicionais, proporcionais ao risco daquele tratamento específico. Ou seja: a exigência legal para transferir é a mesma, mas o padrão de cuidado contratual e técnico esperado sobe quando o dado é, como o de saúde, sensível por definição.
A prática do mercado, inclusive a nossa
Vale falar sobre isso com honestidade, porque é fácil transformar esse assunto em alarmismo, e isso não ajuda ninguém a decidir melhor. Rodar em infraestrutura de nuvem fora do Brasil, como servidores hospedados nos Estados Unidos ou provedores de inteligência artificial internacionais, é prática comum entre ferramentas de tecnologia da saúde no Brasil, não uma exceção isolada de um ou outro fornecedor. Isso inclui recursos de IA usados para ajudar a organizar ou expandir uma anotação de sessão: se uma ferramenta oferece esse tipo de recurso, é provável que, em algum ponto do processo, aquele texto passe por um provedor de IA sediado fora do país, o que também vale para o próprio recurso de expansão de nota do Sessão. Isso não é, por si só, uma prática irregular. O que determina se está ou não em conformidade é se existe um mecanismo reconhecido pela ANPD amparando aquela transferência, não o simples fato de o servidor estar fora do Brasil.
Sobre fiscalização: o prazo para adoção das cláusulas-padrão já passou, e a ANPD sinalizou publicamente que está avançando para uma fase de monitoramento mais ativo sobre transferência internacional, com dado de saúde entre os setores prioritários anunciados para 2026. Até a publicação deste artigo, porém, não há caso de fiscalização público e específico sobre esse cenário disponível para citar. O retrato honesto é: obrigação real, já em vigor, com um regulador de olho, sem um histórico documentado de punição neste ponto específico ainda.
O que perguntar a qualquer fornecedor de nuvem antes de contratar
Essas perguntas são específicas do tema de transferência internacional, e complementam, sem repetir, as perguntas gerais de segurança e controle de acesso que valem para qualquer ferramenta (tratadas no checklist de LGPD para o consultório):
Onde os dados são efetivamente processados, e o fornecedor declara com clareza quais são os subprocessadores envolvidos, incluindo qualquer provedor de IA usado para recursos de redação ou resumo? Se o destino é fora do Brasil e fora da União Europeia e Espaço Econômico Europeu (os únicos reconhecidos como adequados até agora), o fornecedor incorporou as cláusulas-padrão contratuais da ANPD nos contratos com esses subprocessadores? Para dado sensível, existe alguma menção a salvaguardas adicionais, proporcionais ao risco, ou a resposta padrão do fornecedor se limita a "seguimos a LGPD" sem detalhar nada? E qual é, especificamente, a base legal que o fornecedor invoca para essa transferência? Se a resposta for "consentimento", esse consentimento é coletado de forma específica para a transferência internacional, ou está diluído dentro de um termo de uso genérico que ninguém lê?
Um fornecedor sério responde a essas perguntas com clareza, geralmente numa política de privacidade publicada, sem se esconder atrás da resposta genérica de que "os dados estão seguros".
Continue por aqui
Essa é uma peça de um quadro maior sobre como a LGPD trata a relação entre você e qualquer ferramenta que armazena dado de paciente. Se a dúvida for sobre quem responde legalmente quando algo dá errado com um fornecedor, o artigo sobre controlador e operador de dados na LGPD trata exatamente disso. E para o quadro completo de conformidade, do consentimento ao descarte, vale o checklist de LGPD para consultório de psicologia.