O que é o CLOUD Act
O CLOUD Act (Clarifying Lawful Overseas Use of Data Act) é a lei norte-americana, em vigor desde 23 de março de 2018, que obriga provedores de serviços de comunicação e computação sujeitos à jurisdição dos Estados Unidos a entregar dados de clientes em resposta a ordem judicial americana, esteja o dado armazenado onde estiver. A mesma lei criou um segundo mecanismo, de mão inversa: acordos executivos bilaterais que permitem a governos estrangeiros qualificados pedir dados diretamente às empresas americanas, sem passar pelo trâmite tradicional de cooperação jurídica.
No Brasil, o CLOUD Act é o argumento mais usado por quem sustenta que a corrida por data centers em território nacional não entrega, sozinha, soberania sobre os dados. O que determina a jurisdição aplicável não é o endereço do prédio, e sim a nacionalidade corporativa de quem controla a informação.
O CLOUD Act foi aprovado como a Divisão V da Consolidated Appropriations Act, 2018 (Lei Pública 115–141), o pacote orçamentário de US$ 1,3 trilhão sancionado pelo presidente Donald Trump em 23 de março de 2018. O texto havia sido apresentado na Câmara dos Representantes como o projeto H.R. 4943, pelo deputado Doug Collins (Republicano, Geórgia), em 6 de fevereiro de 2018. Não chegou a ser votado isoladamente: foi acoplado ao orçamento e aprovado junto com ele.
A lei altera o Stored Communications Act (SCA), de 1986, que integra o Electronic Communications Privacy Act (ECPA), um arcabouço escrito quando computação em nuvem ainda não existia. As duas mudanças estruturais estão em dispositivos novos. O 18 U.S.C. § 2713 estabelece que o provedor deve preservar e entregar os dados que estejam em sua "posse, custódia ou controle" (possession, custody, or control), dentro ou fora do território americano. O 18 U.S.C. § 2523 autoriza o Poder Executivo a celebrar acordos executivos com governos estrangeiros, dispensando o procedimento de assistência jurídica mútua.
A lei se aplica a provedores de electronic communication service (ECS) e remote computing service (RCS). O critério não é a sede da empresa, mas a presença jurídica ou operacional nos Estados Unidos. Um provedor sediado na Europa com operação americana está igualmente sujeito ao CLOUD Act.
Como surgiu: o caso Microsoft x Estados Unidos
A origem é um caso concreto de 2013. Investigando tráfico de drogas, o FBI obteve um mandado com base no Stored Communications Act exigindo da Microsoft o conteúdo de uma conta de e-mail. A Microsoft entregou os metadados, armazenados nos Estados Unidos, mas se recusou a entregar o conteúdo das mensagens: elas estavam num data center em Dublin, na Irlanda, e a empresa argumentou que o SCA não alcançava dados fora do território americano.
O governo sustentava o oposto. A Microsoft detinha controle pleno sobre o dado e deveria produzi-lo. Em 2016 a Corte de Apelações do Segundo Circuito decidiu a favor da Microsoft. O caso chegou à Suprema Corte como United States v. Microsoft Corp., com sustentação oral em 27 de fevereiro de 2018.
Menos de um mês depois, o Congresso aprovou o CLOUD Act. Com a nova redação do SCA, o Departamento de Justiça obteve um novo mandado e desistiu do anterior. Em 17 de abril de 2018 a Suprema Corte declarou o caso prejudicado (moot) e o devolveu à instância inferior. A questão de fundo nunca foi decidida pela Corte; foi resolvida por lei.
Duas tentativas legislativas anteriores haviam fracassado: o LEADS Act, de 2015, e o International Communications Privacy Act, de 2017, ambos com apoio do senador Orrin Hatch.
O que a lei permite e o que não permite
Para obter o conteúdo de comunicações, o governo americano precisa de um mandado de busca autorizado por juiz federal independente, com demonstração de probable cause de que houve crime e de que a conta especificada contém prova desse crime, além de descrição particularizada do que será apreendido. O CLOUD Act não mudou esse padrão. Mudou apenas a irrelevância da localização física do dado.
A lei também não criou poder de acesso automático ou irrestrito a dados na nuvem, não criou autoridade nova para obrigar provedores a descriptografar comunicações e não se aplica a litígios civis, comerciais ou administrativos nem a fins de inteligência. Provedores só entregam o que têm capacidade técnica de entregar: arquiteturas com criptografia sob chave do cliente, ou sem acesso do operador, limitam materialmente o alcance prático da ordem.
O CLOUD Act acrescentou ainda o 18 U.S.C. § 2703(h), que dá ao provedor, e não ao usuário, o direito de pedir a anulação da ordem quando ela conflita com lei estrangeira. A via é estreita. Exige, cumulativamente, que o titular do dado não seja pessoa americana, que esteja fora dos Estados Unidos e que o conflito seja com a lei de um "governo estrangeiro qualificado", isto é, um país que tenha acordo executivo firmado com os EUA. Para países sem acordo, resta apenas a análise de comity pelo direito costumeiro, sem base legal expressa.
Há também orientação interna relevante. Desde 2017 o Departamento de Justiça instrui promotores a buscar dados diretamente junto à empresa cliente, e não junto ao provedor de nuvem, salvo circunstâncias especiais. Em maio de 2023 o DOJ passou a exigir aprovação prévia do Office of International Affairs quando a prova está sabidamente no exterior.
Os acordos executivos do CLOUD Act
Antes de 2018 o Stored Communications Act funcionava como uma lei de bloqueio. Proibia provedores americanos de entregar conteúdo de comunicações a governos estrangeiros, inclusive quando o governo estrangeiro investigava crime local cometido por cidadão seu, com ordem judicial válida do próprio país. A única via era o tratado de assistência jurídica mútua (MLAT) ou a carta rogatória, com prazos medidos em meses ou anos.
O § 2523 criou uma alternativa. Um país considerado "governo estrangeiro qualificado" pode pedir dados diretamente ao provedor americano, desde que o acordo respeite condições fixadas em lei: restrição a crimes graves, proibição de mirar cidadãos ou residentes americanos, vedação de coleta em massa, exigência de ordens específicas e particularizadas, revisão por autoridade independente e reciprocidade. A qualificação depende de determinação do Procurador-Geral, com concordância do Secretário de Estado, de que o país oferece proteções adequadas a privacidade e liberdades civis. O acordo ainda passa por período de revisão do Congresso.
Oito anos depois da lei, o resultado é modesto:
| País | Assinatura | Vigência |
|---|---|---|
| Reino Unido | 2019 | 3 de outubro de 2022 |
| Austrália | dezembro de 2021 | 31 de janeiro de 2024 |
| Canadá | em negociação | — |
A União Europeia não tem acordo. Há dúvida jurídica sobre se o bloco, como tal, poderia se qualificar: a lei fala em "governo estrangeiro", o que aponta para Estados-membros individualmente, ainda que se discuta um acordo-quadro europeu capaz de padronizar os acordos nacionais. O EU–U.S. Data Privacy Framework, acertado em março de 2022 e implementado pela Ordem Executiva 14086 em outubro de 2022, corre em trilho separado: trata de transferências comerciais de dados, não de acesso por autoridades policiais.
CLOUD Act, GDPR e LGPD: o conflito de leis
O ponto de atrito é direto. O GDPR europeu, no artigo 48, determina que decisão de autoridade judicial ou administrativa de país terceiro só é executável na União Europeia se apoiada em acordo internacional, um MLAT por exemplo. Uma ordem americana isolada, dirigida ao provedor, não satisfaz esse requisito. O provedor multinacional fica entre duas obrigações incompatíveis: descumprir a ordem americana ou violar o GDPR.
Em julho de 2019 o Comitê Europeu de Proteção de Dados (EDPB) e o Supervisor Europeu de Proteção de Dados (EDPS) publicaram avaliação conjunta apontando o conflito. Autoridades nacionais foram além: o comissário alemão de proteção de dados alertou contra o uso da Amazon Web Services para dados sensíveis da polícia federal alemã.
No Brasil não existe dispositivo equivalente ao artigo 48 do GDPR. A LGPD não condiciona o cumprimento de ordem estrangeira à existência de tratado. O que existe é o artigo 11 do Marco Civil da Internet, que impõe a legislação brasileira a qualquer operação de coleta, guarda ou tratamento de dados em que ao menos um dos atos ocorra em território nacional. É uma regra de aplicação da lei brasileira, não uma lei de bloqueio: ela não proíbe expressamente a entrega de dados a autoridade estrangeira.
O que o CLOUD Act significa para o Brasil
O Brasil não tem acordo executivo com os Estados Unidos. A cooperação continua ancorada no MLAT Brasil–EUA, promulgado pelo Decreto 3.810/2001, e na Convenção de Budapeste sobre o Crime Cibernético, promulgada pelo Decreto 11.491, de 12 de abril de 2023. Autoridades dos dois países já discutiram o tema. Representantes do Departamento de Recuperação de Ativos e Cooperação Jurídica Internacional (DRCI) participaram em Washington de reuniões com o Office of International Affairs do DOJ em que o CLOUD Act constou da pauta, mas não há acordo firmado.
A ausência tem uma consequência prática precisa. Como o § 2703(h) só protege titulares de dados situados em países com acordo executivo, um provedor americano intimado a entregar dados de brasileiro armazenados no Brasil não dispõe do remédio legal expresso para contestar a ordem por conflito com a lei brasileira. Resta a doutrina genérica de comity.
O Brasil, por sua vez, afirma poder simétrico. Em 23 de fevereiro de 2023 o Supremo Tribunal Federal julgou a ADC 51, ajuizada pela Assespro Nacional, e decidiu por unanimidade que autoridades brasileiras podem requisitar dados diretamente a provedores estrangeiros com sede ou representação no Brasil, sem obrigatoriamente seguir o MLAT. Relator, o ministro Gilmar Mendes fundamentou a requisição direta no artigo 11 do Marco Civil. Em voto-vista, o ministro Alexandre de Moraes fixou que o MLAT e as cartas rogatórias têm papel complementar, aplicáveis quando for absolutamente impossível a obtenção direta, e registrou que pedidos não podem ser negados sob o argumento de que a sede do provedor está fora do país. É a mesma lógica extraterritorial do CLOUD Act, aplicada na direção oposta.
A administração pública brasileira tratou o risco como problema contratual. Em junho de 2026 o Tribunal de Contas da União, no Acórdão nº 1380/2026 (processo TC 008.857/2025-3, relatoria do ministro Antonio Anastasia), recomendou ao Serpro alterar a cláusula 3.2 de seu contrato com a Amazon Web Services para excluir a possibilidade de acesso ou divulgação de dados em cumprimento a determinações de autoridades estrangeiras. Não sendo possível a exclusão, o contrato deveria deixar explícito que a hipótese se restringe a autoridades brasileiras. O mesmo acórdão determinou que Serpro e Dataprev apresentem, em até 180 dias, plano de redundância geográfica na Nuvem de Governo, com pelo menos dois data centers distintos por fornecedor, e recomendou metodologia padronizada para avaliar requisitos de soberania de cada base de dados migrada.
Esse é o pano de fundo da Nuvem Soberana brasileira. A Nuvem de Governo, construída pelo Ministério da Gestão e da Inovação em Serviços Públicos com Serpro e Dataprev, tem catálogos de serviço disponíveis desde junho de 2025 a mais de 250 órgãos do Executivo federal, com a proposta de manter dados críticos sob jurisdição brasileira, sem transferência internacional nem gestão externa.
Data centers no Brasil: por que localização não é jurisdição
O ciclo de anúncios de data centers no Brasil vem acompanhado do vocabulário da soberania digital, presente também na Política Nacional de Data Centers (PNDC), do MDIC, e no debate sobre o REDATA, o regime especial de incentivos tributários que tramitou como MP 1.318/2025, caducou em fevereiro de 2026 e voltou como o PL 278/2026.
O CLOUD Act é o contra-argumento mais citado. A lei alcança provedores pela presença jurídica nos Estados Unidos, não pelo local do servidor. Um data center construído em Fortaleza, Caucaia ou Barueri e operado por AWS, Google, Microsoft ou Oracle permanece, quanto à empresa que controla os dados, dentro do alcance de uma ordem americana. Construir o prédio aqui muda a data residency. Não muda, sozinho, a jurisdição a que responde quem detém a chave.
Isso não torna o esforço irrelevante; muda o que ele compra. Localização em território nacional determina qual arcabouço jurídico incide sobre a instalação, amplia capacidade de auditoria e fiscalização, reduz latência e retém carga econômica. Mas soberania sobre o dado depende de três camadas distintas: onde o dado está, quem o controla juridicamente e quem tem capacidade técnica de lê-lo. Arquiteturas em que o operador não detém as chaves, com criptografia sob controle do cliente ou ambientes sem acesso do operador, deslocam a questão do direito para a engenharia. Nenhuma ordem judicial obriga a entregar o que a empresa não consegue ler.
A própria AWS, em sua documentação pública sobre o tema, afirma não ter divulgado ao governo americano nenhum conteúdo de cliente corporativo ou governamental armazenado fora dos Estados Unidos desde que passou a reportar a estatística, em 2020.
O caso do Pecém: quando o CLOUD Act não é a lei que importa
O maior projeto de data center anunciado no Brasil, no Complexo do Pecém, no Ceará, mostra por que o CLOUD Act não serve como chave universal. A estrutura tem três camadas societárias distintas. O locatário é a ByteDance/TikTok, de controle chinês. A operadora é a Omnia, ligada ao Pátria Investimentos, capital brasileiro, que constrói e opera prédios, subestações e refrigeração sem ser provedora do serviço de comunicação nem deter os dados do cliente. A energia vem da Casa dos Ventos, com contrato de longo prazo para novos parques eólicos.
Daí saem duas consequências. A primeira é que a operadora brasileira de colocation não é o alvo natural de uma ordem sob o CLOUD Act: ela aluga espaço, energia e refrigeração, e não tem "posse, custódia ou controle" sobre o conteúdo processado nos servidores do locatário. A segunda, mais relevante, é que o vetor jurídico aplicável a um tenant chinês não é primariamente a lei americana.
A Lei de Segurança de Dados da China, de 2021, funciona como espelho invertido do CLOUD Act. Seu artigo 36 proíbe organizações e indivíduos na China de fornecer dados armazenados no país a autoridades judiciais ou policiais estrangeiras sem autorização prévia do governo chinês, uma lei de bloqueio criada em resposta declarada ao alcance extraterritorial de normas como o CLOUD Act. Somada à Lei Nacional de Inteligência de 2017, compõe um regime de acesso estatal próprio. Empresas multinacionais ficam presas entre demandas incompatíveis das duas jurisdições.
Há ainda uma particularidade tributária. O projeto do Pecém foi estruturado sob o regime de Zona de Processamento de Exportação (ZPE), aprovado pelo Conselho Nacional das ZPEs em novembro de 2025 e assegurado por 20 anos, e não sob o REDATA. A ZPE exige operação exportadora: o data center existe, juridicamente, para exportar serviço de processamento à matriz global. Um projeto cuja premissa fiscal é a exportação do processamento ocupa lugar incomum num debate sobre retenção soberana de dados.
Nos Estados Unidos, o desenho societário do TikTok mudou. Em 22 de janeiro de 2026 fechou a joint venture TikTok USDS: Oracle, Silver Lake e MGX com 15% cada, cerca de 30% com investidores pré-existentes da ByteDance e 19,9% retidos pela própria ByteDance, com a Oracle como parceira de segurança encarregada de auditar o acesso a dados de usuários americanos. A solução foi construída sob a lógica do CLOUD Act e da lei americana de desinvestimento, e não se estende às operações da ByteDance fora dos Estados Unidos.
Críticas e defesas
O CLOUD Act foi endossado pelo Departamento de Justiça e pelas grandes empresas de tecnologia, entre elas Microsoft, AWS, Apple e Google, que preferiam uma regra clara a litígios país a país. O argumento central: sem a lei, provedores seguiriam presos entre mandados americanos e leis de bloqueio estrangeiras, e a investigação de crimes graves com prova digital transnacional continuaria refém de um sistema de MLAT reconhecidamente lento.
Do outro lado, Electronic Frontier Foundation, ACLU, Anistia Internacional e Human Rights Watch criticaram o texto. Os pontos: o mecanismo de acordos executivos permite acesso a dados sem revisão judicial americana caso a caso; os titulares não são notificados; e a avaliação de adequação de direitos humanos de um país parceiro cabe ao Executivo, sem crivo judicial. O EDPS apontou a incompatibilidade com o GDPR.
A lei acelerou movimentos de localização de dados em vários países e passou a ser citada como paralelo à Lei Nacional de Inteligência chinesa. A comparação é contestada pelos defensores do CLOUD Act, que apontam a exigência de mandado judicial com probable cause como diferença estrutural.
Perguntas frequentes
O CLOUD Act se aplica só a empresas americanas? Não. Aplica-se a qualquer provedor de serviço de comunicação eletrônica ou de computação remota que opere ou tenha presença jurídica nos Estados Unidos, inclusive um provedor sediado na Europa com operação americana.
Armazenar dados em data center no Brasil protege do CLOUD Act? A localização, isoladamente, não. A lei foi escrita justamente para tornar irrelevante o local de armazenamento quando o dado está sob posse, custódia ou controle de um provedor sujeito à jurisdição americana. O que altera o quadro é o controle jurídico e o controle técnico: quem detém a empresa e quem detém as chaves de criptografia.
O governo americano pode acessar dados de qualquer brasileiro? Não livremente. É preciso mandado de juiz federal americano, com probable cause sobre crime específico e conta especificada. O que a lei retira é a defesa baseada na localização estrangeira do servidor. E, sem acordo executivo Brasil–EUA, o provedor não dispõe do remédio expresso do § 2703(h) para contestar a ordem por conflito com a lei brasileira.
O Brasil pode pedir dados a empresas americanas? Pelo MLAT (Decreto 3.810/2001) e pela Convenção de Budapeste (Decreto 11.491/2023). Internamente, o STF decidiu na ADC 51, em 2023, que autoridades brasileiras podem requisitar dados diretamente a provedores estrangeiros com representação no Brasil, com base no artigo 11 do Marco Civil. Um acordo executivo sob o CLOUD Act, que permitiria pedidos diretos a provedores americanos para crimes graves, não existe.
Qual a diferença entre o CLOUD Act e o Data Privacy Framework? São trilhos distintos. O CLOUD Act trata de acesso a dados por autoridades policiais em investigações criminais. O EU–U.S. Data Privacy Framework trata de transferências comerciais de dados entre a União Europeia e os Estados Unidos.