Residência e soberania de dados de saúde
Em poucas palavras
A residência de dados se refere ao lugar físico onde são armazenados; a soberania, a quais leis e autoridades podem decidir sobre eles. Para os dados de saúde a distinção importa, porque guardar dados em um país não impede que a lei de outro alcance quem os custodia. As normas respondem de forma diferente: algumas exigem armazenar em um território e outras permitem transferir com garantias.
- Tipo
- Conceito
- Responsável
- Sem responsável único: conceito ou tecnologia genérica
- Revisado
- 25 de outubro de 2026
Explicação
O que é
Neste glossário usamos três noções relacionadas:
- Residência: onde os dados são armazenados e processados.
- Localização: uma obrigação legal de manter os dados, ou uma cópia, dentro de um território.
- Soberania: quais leis e autoridades podem decidir sobre os dados, incluindo o acesso de governos estrangeiros. Em sentido mais amplo, também a capacidade de uma comunidade de governar os dados que a descrevem.
Não há uma definição oficial única; cada norma regula algumas dessas peças.
Como diferentes jurisdições regulam
| Jurisdição | Norma | Abordagem |
|---|---|---|
| União Europeia | RGPD, cap. V | Sem obrigação geral de localização: permite transferir para fora da UE com decisão de adequação (art. 45.º) ou outras garantias (art. 46.º) |
| União Europeia | EEDS, arts. 86.º e 87.º | Admite que a lei nacional exija armazenar na UE os dados de categorias prioritárias para utilização primária; obriga os organismos responsáveis pelo acesso aos dados de saúde a armazenar e tratar na UE, salvo em países com adequação |
| Brasil | LGPD e Resolução CD/ANPD nº 19/2024 | Transferência internacional com mecanismos como as cláusulas-padrão contratuais |
| Canadá | PIPEDA | Segundo o OPC, não proíbe transferir informações a outra jurisdição para processamento; a organização continua responsável |
| Estados Unidos | CLOUD Act (18 U.S.C. 2713) | Os provedores devem preservar ou revelar dados sob sua posse, custódia ou controle, estejam dentro ou fora do país |
A perspectiva indígena
Os princípios CARE para a governança de dados indígenas, da Global Indigenous Data Alliance, complementam os princípios FAIR com uma orientação centrada nas pessoas e nas finalidades. Foram redigidos em uma oficina realizada em Gaborone (Botsuana) em 8 de novembro de 2018.
Implicações para projetos de saúde
- Documentar onde cada conjunto de dados é armazenado e processado, incluindo as cópias de segurança.
- Verificar qual lei rege o provedor, além da localização dos seus servidores.
- Revisar as bases para transferir: adequação, cláusulas contratuais ou outras garantias.
Equívocos comuns
- Confundir residência com soberania. A CLOUD Act alcança dados fora dos Estados Unidos se o provedor os tiver sob seu controle.
- Achar que o RGPD exige que os dados fiquem na UE. Ele permite transferências com as garantias do capítulo V.
- Generalizar o EEDS. A obrigação do art. 87.º se dirige aos organismos responsáveis pelo acesso aos dados de saúde e a quem trabalha por eles.
Exemplos de uso
O art. 87.º do EEDS obriga os organismos responsáveis pelo acesso aos dados de saúde a armazenar e tratar os dados pessoais na União, salvo em países com decisão de adequação do RGPD.
O art. 86.º do EEDS permite que um Estado-Membro exija por lei que resumos de pacientes, receitas e outras categorias prioritárias para utilização primária sejam armazenados na União.
A Resolução CD/ANPD nº 19/2024 aprovou no Brasil o regulamento de transferência internacional de dados e as cláusulas-padrão contratuais.
Segundo as diretrizes do OPC do Canadá sobre processamento transfronteiriço, a PIPEDA não proíbe transferir dados a outra jurisdição para processamento, mas a organização continua responsável.
A CLOUD Act dos Estados Unidos (2018) exige que provedores revelem dados sob seu controle mesmo que armazenados fora do país.
Os princípios CARE da Global Indigenous Data Alliance complementam os princípios FAIR com uma orientação centrada nas pessoas e nas finalidades dos dados indígenas.
Relação com outros termos
Apoia-se em1
- Proteção de dados de saúdeMédia
As regras de residência e de transferência internacional fazem parte das leis de proteção de dados, como o capítulo V do RGPD.
Dependem deste0
Nenhum termo do glossário depende deste.
Fontes
- EUR-Lex — Regulation (EU) 2016/679 (GDPR), Chapter Veur-lex.europa.eu
- EUR-Lex — Regulation (EU) 2025/327 on the European Health Data Space (Arts. 86–88)eur-lex.europa.eu
- ANPD — Regulamentações da ANPD (Resoluções CD/ANPD 19/2024 e 32/2026)gov.br
- Office of the Privacy Commissioner of Canada — Guidelines for processing personal data across borderspriv.gc.ca
- 18 U.S.C. 2713 — Required preservation and disclosure of communications and records (CLOUD Act, govinfo)govinfo.gov
- Global Indigenous Data Alliance — CARE Principles for Indigenous Data Governancegida-global.org