O debate sobre data centers e LGPD ganhou um novo capítulo com o anúncio do projeto Prisma. A iniciativa prevê distribuir processamento entre diferentes infraestruturas no Brasil. No entanto, hospedar dados em território nacional não basta para cumprir a legislação. Empresas precisam conhecer os responsáveis, os contratos e os caminhos desses dados.
O que o Prisma prevê e o que ainda depende de desenvolvimento
O Ministério das Comunicações anunciou R$ 46,3 milhões para o projeto Prisma em 9 de novembro de 2026. Os recursos vêm do Funttel, com administração da Finep e execução do CPQD.
Segundo o anúncio do Ministério das Comunicações, a plataforma usará inteligência artificial para distribuir processamento entre infraestruturas, incluindo mini data centers. Assim, eficiência, segurança, redução de custos e sustentabilidade aparecem como objetivos do projeto.
Esses objetivos não equivalem a resultados já medidos. Além disso, o anúncio não permite concluir que a rede esteja operacional ou com adesão aberta.
A reportagem do UOL de 6 de novembro de 2026 informa prazo de 36 meses e integração de estruturas existentes. Segundo o veículo, a proposta prevê mover processamento durante a execução e convidar participantes ao longo do projeto.
Portanto, o prazo informado não representa uma data garantida de disponibilidade comercial. Cronograma executivo e regras de adesão ainda dependem de confirmação em documentação primária.
Data centers e LGPD: localização não equivale a conformidade
Soberania digital, localização física e proteção de dados respondem a perguntas diferentes. A primeira envolve autonomia e governança sobre infraestrutura e tecnologia. Já a localização indica onde ficam os equipamentos ou os dados.
A conformidade exige avaliar como os agentes tratam dados pessoais. Por isso, um servidor no Brasil não dispensa segurança, instruções claras e análise dos fluxos de informação.
| Dimensão | Pergunta central | Cuidado prático |
|---|---|---|
| Soberania digital | Quem governa a infraestrutura e suas dependências? | Avaliar autonomia e capacidade de decisão. |
| Localização física | Onde ocorre o armazenamento e o processamento? | Mapear centros principais, cópias e destinos. |
| Proteção de dados | Como os agentes tratam e protegem dados pessoais? | Examinar responsabilidades, segurança e fluxos efetivos. |
Além disso, a LGPD alcança dados pessoais, não qualquer arquivo processado. O uso de IA para distribuir carga também não demonstra treinamento de modelos com o conteúdo recebido.
Ponto de atenção: esta análise apresenta cuidados jurídicos para infraestrutura distribuída. Não certifica a conformidade do Prisma nem atribui falhas ao projeto.
Quem responde quando o processamento muda de data center?
O controlador decide sobre o tratamento de dados pessoais. O operador realiza esse tratamento em nome do controlador. A Lei 13.709/2018, artigo 5º, VI e VII, traz essas definições.
No entanto, o nome no contrato não resolve sozinho a classificação. As atividades reais de cada participante orientam essa análise. Portanto, a empresa deve identificar quem decide e quem executa em cada etapa.
Imagine uma empresa que contrata processamento e permite ao fornecedor redistribuir tarefas entre centros. Nesse caso, convém identificar os destinos autorizados, os participantes envolvidos e os limites das decisões do fornecedor.
Além disso, o artigo 39 exige que o operador siga as instruções do controlador. Cabe ao controlador verificar a observância dessas instruções e das normas. A referência consta do material indicado na pesquisa, disponível no portal do CNJ.
Um incidente gera indenização automática?
Não. Os artigos 42 a 44 da LGPD orientam a análise da responsabilidade civil. Por isso, é necessário examinar dano, violação, relação causal e hipóteses legais aplicáveis.
A solidariedade do operador depende das situações do artigo 42, § 1º, I. Além disso, a análise deve considerar as excludentes do artigo 43.
Assim, atribuir toda falha ao data center ou toda responsabilidade ao contratante simplifica indevidamente o problema. O contrato ajuda a organizar funções, mas não substitui a avaliação dos fatos e da lei.
Contratos: o que avaliar antes de distribuir o processamento
A discussão sobre data centers e LGPD precisa chegar ao contrato e à operação. Por isso, a revisão deve conectar instruções jurídicas aos controles técnicos que permitem cumpri-las.
Os pontos abaixo são recomendações de análise. Não formam uma lista legal obrigatória para toda contratação, nem descrevem controles já implementados pelo Prisma.
- Participantes: identificar fornecedor, subcontratados e funções no tratamento.
- Destinos: definir onde o fornecedor pode processar dados e guardar cópias.
- Instruções: delimitar operações permitidas e condições para mudanças.
- Rastreabilidade: prever registros que permitam reconstruir migrações e acessos.
- Continuidade: avaliar níveis de serviço, restauração e resposta a indisponibilidades.
- Encerramento: tratar devolução ou eliminação dos dados ao fim da relação.
Além disso, convém prever comunicação rápida de incidentes ao controlador. Sem esse alinhamento, a equipe jurídica pode receber informações tarde demais para avaliar suas obrigações.
Quatro etapas para revisar a contratação
Da identificação dos dados à conferência dos controles
Mapear
Identifique dados pessoais, operações e destinos. Assim, a revisão parte do fluxo real.
Definir papéis
Relacione decisões, execução e subcontratação. Em seguida, confira as instruções de tratamento.
Ajustar o contrato
Documente limites, registros e comunicação. Além disso, trate continuidade e encerramento.
Conferir a operação
Examine evidências dos controles. Por fim, revise mudanças nos destinos e participantes.
Segurança, continuidade e comunicação de incidentes
O artigo 46 da LGPD exige medidas técnicas e administrativas de segurança para proteger dados pessoais. O guia da ANPD integra a base dessa orientação.
Por isso, a avaliação pode abranger controles de acesso, criptografia, registros e capacidade de restauração. Nesse sentido, a escolha concreta depende das características do tratamento.
Além disso, mover processamento entre centros exige atenção à continuidade. A empresa deve compreender como o fornecedor recupera operações e mantém evidências quando ocorre uma falha.
Esses cuidados ajudam a avaliar a contratação. Contudo, não autorizam afirmar que uma arquitetura distribuída elimina incidentes ou garante disponibilidade.
Qual é o prazo para comunicar um incidente?
A Resolução CD/ANPD 15/2024, artigos 6º e 9º, disciplina a comunicação à ANPD e aos titulares. Em regra, o controlador tem três dias úteis para comunicar incidentes com risco ou dano relevante.
O prazo começa quando o controlador toma conhecimento de que o incidente afetou dados pessoais. Portanto, a análise não deve esperar automaticamente o encerramento de toda investigação técnica.
No entanto, é necessário observar legislação específica e o prazo em dobro para pequenos agentes elegíveis. O tamanho do data center, isoladamente, não demonstra essa elegibilidade.
Assim, o plano de resposta precisa definir quem recebe o alerta e quem reúne as informações. Também deve permitir avaliar o risco ou dano relevante e os destinatários da comunicação.
Dados no Brasil podem envolver transferência internacional?
O endereço físico do servidor não encerra a análise. A contratação pode envolver agentes no exterior, acessos remotos ou outros fluxos internacionais.
Por isso, a empresa deve mapear quem acessa os dados e como cada operação funciona. A presença de um fornecedor estrangeiro, por si só, não descreve todo o fluxo.
Quando houver transferência internacional, é preciso examinar a hipótese legal de tratamento e o mecanismo válido de transferência. Essa orientação decorre do artigo 33 da LGPD e da Resolução CD/ANPD 19/2024, artigo 9º.
Portanto, a regulamentação admite fluxos internacionais protegidos. Ela não impõe uma obrigação geral de armazenar todos os dados no Brasil.
Na análise de data centers e LGPD, convém incluir suporte técnico, cópias e subcontratação. Dessa forma, o contrato pode refletir os fluxos efetivos, além da localização anunciada para a infraestrutura principal.
Saúde, defesa e segurança pública exigem análise própria
A reportagem do UOL menciona aplicações pretendidas em saúde, defesa, segurança pública, educação e telecomunicações. Contudo, essa previsão não demonstra implantação em cada setor nem resolve suas exigências jurídicas.
Na saúde, a contratação exige análise específica do tratamento de dados sensíveis. Por isso, a avaliação geral de infraestrutura não basta para definir as condições jurídicas de cada operação.
Já o artigo 4º, III e § 1º, da LGPD trata de finalidades exclusivas com regime específico. Elas incluem segurança pública, defesa nacional, segurança do Estado e investigação penal.
Além disso, esse regime deve observar devido processo, princípios gerais de proteção e direitos dos titulares. A referência normativa consta do documento oficial indicado na pesquisa.
Portanto, não se deve estender a exceção a todo tratamento de um órgão público. Compartilhar uma infraestrutura também não transforma todas as operações em atividades exclusivas de defesa ou segurança.
Como empresas de Aracaju e Sergipe podem usar essa análise
Empresas de Aracaju e de outros municípios de Sergipe podem aplicar esses critérios ao revisar serviços de hospedagem e processamento. O ponto de partida é conhecer o fluxo de dados pessoais da própria atividade.
Por exemplo, uma empresa de comércio eletrônico pode reunir contratos, relação de fornecedores e informações sobre armazenamento. Em seguida, deve comparar esses documentos com a operação efetiva.
Além disso, convém envolver quem administra os sistemas e quem acompanha os contratos. Essa revisão conjunta ajuda a identificar dúvidas sobre destinos, acessos e comunicação de falhas.
O recorte local não pressupõe uma instalação do Prisma em Sergipe. Tampouco indica participação de empresas locais no projeto.
Assim, a utilidade prática do anúncio está nas perguntas que ele traz para a contratação. Quem decide sobre os dados? Quem executa as instruções? Como a empresa acompanha mudanças na infraestrutura?
Perguntas frequentes sobre data centers e LGPD
Hospedar dados no Brasil garante conformidade com a LGPD?
Não. A localização não substitui segurança, definição de responsabilidades e avaliação dos fluxos. Por isso, é preciso examinar o tratamento de dados pessoais como um todo.
A rede Prisma já está funcionando?
O anúncio analisado trata do desenvolvimento do projeto. Portanto, não permite afirmar que a rede esteja operacional ou com adesão aberta. O UOL informa prazo de 36 meses.
Quem responde por falhas no data center?
A resposta depende das atividades e das hipóteses legais de responsabilidade. Assim, controlador e operador não recebem uma atribuição automática por qualquer incidente. Portanto, é necessário examinar os fatos.
Usar IA para distribuir processamento significa treinar modelos com os dados?
Não necessariamente. A função anunciada é distribuir processamento. Portanto, ela não permite presumir uso do conteúdo recebido para treinamento de modelos.
Todo incidente precisa de comunicação em três dias úteis?
A regra aborda incidentes com risco ou dano relevante. Além disso, há ressalvas sobre legislação específica e pequenos agentes elegíveis. Por isso, o controlador precisa avaliar a aplicação ao caso.
Orientação jurídica sobre infraestrutura e proteção de dados
A análise de contratos e fluxos de dados depende das particularidades de cada organização. Para informações sobre atendimento em Direito Digital em Aracaju e Sergipe, entre em contato com a equipe.
Informações sobre atendimento
Dr. Andress Amadeus
Advogado especialista em Direito Digital, do Amadeus & Santos Advogados Associados. Conheça o autor.
Este conteúdo tem caráter informativo e não substitui a análise individual de um advogado. Cada caso exige avaliação técnica das suas particularidades. Base normativa e informações do projeto conforme a pesquisa de 9 de novembro de 2026.
