Guardar dados de paciente em servidor no exterior não é proibido: a LGPD lista no art. 33 as situações em que a transferência internacional pode acontecer. O que muda quando o prontuário sai do Brasil não é a lei aplicável, que continua brasileira, e sim a garantia que alguém precisa formalizar antes de o dado atravessar a fronteira. No consultório, esse alguém é você.
Este texto foi conferido em 16 de setembro de 2026 contra os artigos 33 a 36 da Lei nº 13.709/2018, contra o Regulamento anexo à Resolução CD/ANPD nº 19, de 23 de agosto de 2024 e contra a Resolução nº 32, de 26 de janeiro de 2026, da ANPD. Não substitui consulta a advogado diante de um contrato concreto, nem ao seu CRP.
A lei brasileira não para na fronteira
O art. 3º da LGPD diz que a lei se aplica "independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados", desde que a operação seja realizada em território nacional ou que a atividade tenha por objetivo o tratamento de dados de pessoas localizadas no Brasil. Um prontuário de paciente atendido em Belo Horizonte continua sob a LGPD estando o arquivo em São Paulo, em Dublin ou na Virgínia. Servidor fora do país não escapa da lei brasileira nem é ilegalidade automática.
O que está em jogo é a categoria mais protegida da lei. O art. 5º, II, inclui no dado pessoal sensível o "dado referente à saúde ou à vida sexual", e o art. 11 restringe o tratamento desse tipo de dado a um rol fechado de hipóteses. Quem já leu LGPD para psicólogos viu ali por que o psicólogo autônomo é o controlador e o software é o operador. A consequência é direta: a escolha de fornecedor é sua, e o dever de conferir onde o dado mora também.
Guardar dados de paciente em servidor no exterior é permitido, sob condição
O art. 33 da LGPD lista nove casos em que a transferência internacional é permitida. Três interessam à rotina de um consultório:
- Inciso I. Transferência para países ou organismos internacionais que proporcionem grau de proteção adequado ao previsto na lei, reconhecido por decisão da ANPD.
- Inciso II. Quando o controlador oferece e comprova garantias, na forma de cláusulas contratuais específicas, cláusulas-padrão contratuais, normas corporativas globais ou selos, certificados e códigos de conduta regularmente emitidos.
- Inciso VIII. Quando o titular forneceu consentimento específico e em destaque, com informação prévia sobre o caráter internacional da operação, distinguindo claramente essa finalidade das outras.
Os demais incisos tratam de cooperação jurídica internacional, proteção da vida, autorização da ANPD, acordo de cooperação e política pública. O inciso IX remete às hipóteses dos incisos II, V e VI do art. 7º.
O Regulamento da ANPD cobra duas coisas ao mesmo tempo. O art. 9º do Anexo I exige uma hipótese legal do art. 7º ou do art. 11 da LGPD e um mecanismo válido de transferência. Ter base legal para tratar o dado clínico não autoriza, sozinho, mandá-lo para fora.
O que a ANPD chama de transferência internacional, e o que não chama
O art. 3º do Regulamento define transferência como a operação em que um agente "transmite, compartilha ou disponibiliza acesso a dados pessoais a outro agente de tratamento". A palavra decisiva é acesso: não é preciso copiar arquivo para outro país, basta um suporte fora do Brasil conseguir abrir a tela com o prontuário.
Há um caso que a norma deixa de fora. O art. 6º do Regulamento diz que a coleta internacional não caracteriza transferência internacional, e o art. 3º, V, define essa coleta como a que o agente de tratamento localizado no exterior faz direto com o titular. O parágrafo único do art. 6º lembra que a LGPD continua valendo nas hipóteses do art. 3º da lei.
Quem responde pela verificação está no art. 4º do Regulamento: cabe ao controlador conferir se a operação caracteriza transferência internacional, se ela se submete à legislação nacional e se está amparada em hipótese legal e mecanismo válidos. O operador só presta auxílio com as informações de que dispuser.
A União Europeia é hoje o único destino com decisão de adequação
A Resolução nº 32, de 26 de janeiro de 2026, publicada no Diário Oficial da União em 27 de janeiro de 2026 (edição 18, seção 1, página 49), reconheceu a União Europeia como organismo internacional com grau de proteção adequado ao previsto na LGPD. O parágrafo único do art. 1º estende o reconhecimento aos Estados membros do bloco, aos três países da AELC que integram o Espaço Econômico Europeu (Islândia, Liechtenstein e Noruega) e às instituições, órgãos e agências da União Europeia.
Dois limites vêm no próprio texto. O art. 2º afasta a decisão das transferências feitas para fins exclusivos de segurança pública, defesa nacional, segurança do Estado ou investigação e repressão de infrações penais. E o § 1º do art. 4º prevê reavaliação no prazo de quatro anos, contados da entrada em vigor da resolução.
A página da ANPD sobre transferência internacional de dados, consultada em 16 de setembro de 2026, registra que a União Europeia é, até o momento, a única adequação emitida pelo Conselho Diretor.
Servidor nos Estados Unidos: o caminho são as cláusulas-padrão contratuais
As cláusulas-padrão contratuais são o texto que a própria ANPD redigiu e aprovou, no Anexo II da Resolução nº 19/2024, para servir de garantia mínima nas transferências do art. 33, II, "b". Três regras do Regulamento definem como elas funcionam:
- Art. 16, caput. A validade da transferência pressupõe "a adoção integral e sem alteração do texto disponibilizado no Anexo II". Cláusula reescrita pelo jurídico do fornecedor não vale.
- Art. 16, § 1º. Elas podem formar um contrato próprio ou entrar em contrato mais amplo, inclusive por termo aditivo assinado por exportador e importador.
- Art. 16, § 2º. Nenhuma outra disposição do contrato, nem de contratos coligados, pode excluir, modificar ou contrariar o que está nas cláusulas-padrão.
A garantia não termina na assinatura: pelo art. 36 da LGPD, é preciso comunicar à ANPD as alterações nas garantias apresentadas como suficientes na hipótese do art. 33, II.
O prazo já venceu. O parágrafo único do art. 2º da Resolução nº 19/2024 deu 12 meses, contados da publicação, para quem usa cláusulas contratuais incorporar as cláusulas-padrão. A publicação foi em 23 de agosto de 2024, o que põe o fim do prazo em 23 de agosto de 2025. A página da ANPD registra ainda que esse texto foi alterado por retificação de 18 de agosto de 2025.
A ANPD informa que nenhuma cláusula-padrão contratual equivalente foi reconhecida pelo Conselho Diretor até agora: as cláusulas-tipo europeias, sozinhas, não substituem o Anexo II brasileiro.
O que perguntar ao fornecedor antes de aceitar dados de paciente em servidor no exterior
O contrato responde ou não responde. Sete perguntas, todas verificáveis por escrito:
- Em que país fica o servidor de produção, e em que país ficam os backups. São respostas diferentes com frequência, e a segunda é a esquecida.
- Quem acessa os dados de fora do Brasil. Suporte, engenharia, subcontratado de infraestrutura. Acesso conta como transferência, pelo art. 3º, III, do Regulamento.
- Qual inciso do art. 33 ampara a transferência. Se a resposta for "somos adequados à LGPD", a pergunta não foi respondida.
- Se o mecanismo é o inciso II, "b", cadê o anexo assinado. As cláusulas-padrão precisam existir como documento entre exportador e importador, não como parágrafo na política de privacidade.
- O que acontece com transferências posteriores. O art. 2º, I, do Regulamento exige nível de proteção equivalente "inclusive após o término do tratamento e nas hipóteses de transferências posteriores". O subfornecedor do seu fornecedor entra nessa conta.
- Como o acesso por autoridade pública estrangeira é tratado. O § 3º do art. 8º do Regulamento lembra que a não aplicação da LGPD em certas hipóteses não afasta outras normas, em especial as de sigilo das comunicações e de acesso a dados por autoridades públicas.
- Como você recupera tudo no encerramento do contrato. A Resolução CFP nº 06/2019 obriga você a guardar o material por cinco anos, mesmo que o fornecedor acabe. O prazo e o descarte estão em quanto tempo guardar o prontuário psicológico; a lógica de cópias redundantes, em regra 3-2-1 de backup.
A decisão anterior a essa, entre papel e nuvem, é outro assunto e está em prontuário em nuvem ou papel.
A obrigação de transparência que sobra para você
Quando a transferência se apoia em cláusulas-padrão, o Regulamento coloca dois deveres no controlador, ou seja, em você, e não no fornecedor.
Pelo art. 17, você entrega ao titular que pedir a íntegra das cláusulas usadas na transferência, observados os segredos comercial e industrial. O § 1º fixa 15 dias para atender.
O § 2º vai além: manda publicar na internet um documento em português, em linguagem simples e acessível, com no mínimo a forma, a duração e a finalidade específica da transferência, o país de destino, os contatos do controlador, o uso compartilhado de dados, as responsabilidades dos agentes, as medidas de segurança e os direitos do titular. Pelo § 3º, ele pode ficar em página específica ou integrado, de forma destacada, à política de privacidade.
Quem atende online tem dois textos vizinhos: qual videochamada é mais segura trata da chamada em si, e transcrição de sessão por IA, do serviço que faz o áudio sair do país sem ninguém perceber.
O que o CFP exige, e o que ele não exige
A Resolução CFP nº 06/2019 não fixa em que país o material deve ficar. O que ela fixa está no art. 15: os documentos escritos decorrentes da prestação de serviços psicológicos, "bem como todo o material que os fundamentaram, sejam eles em forma física ou digital", devem ser guardados pelo prazo mínimo de cinco anos, e o § 1º atribui a responsabilidade pela guarda ao psicólogo, em conjunto com a instituição em que ocorreu a prestação.
A norma do conselho é indiferente à geografia e rígida quanto ao prazo e ao responsável. Se o fornecedor estrangeiro encerra a operação e você fica sem o material, o problema é seu diante do CRP.
Erros que aparecem na hora errada
- "O fornecedor é brasileiro, então o dado está no Brasil." CNPJ não diz nada sobre datacenter.
- "Tem criptografia, então não é transferência." Criptografia é medida de segurança do art. 46 da LGPD; mecanismo de transferência é o art. 33. Uma não dispensa a outra.
- "O contrato já tem as cláusulas europeias." Até a data desta conferência, a ANPD não reconheceu equivalência de nenhuma cláusula-padrão estrangeira.
- "Ajustamos as cláusulas-padrão ao nosso contrato." O art. 16 do Regulamento exige adoção integral e sem alteração.
- "Peço consentimento e resolvo." O art. 33, VIII, exige consentimento específico, em destaque e distinguindo essa finalidade das outras. Consentimento também pode ser revogado, e aí a transferência perde o amparo.
O art. 52 da LGPD prevê, entre outras sanções, advertência com prazo para correção, multa, publicização da infração, bloqueio e eliminação dos dados objeto da infração.
Perguntas frequentes
Preciso avisar o paciente de que o prontuário fica fora do Brasil?
Quando a transferência se apoia em cláusulas-padrão, sim. O art. 17, § 2º, do Regulamento da ANPD obriga a publicar documento em português informando, entre outros itens, o país de destino dos dados. E o art. 17 dá ao titular o direito de pedir a íntegra das cláusulas, com resposta em 15 dias.
Servidor no exterior é menos seguro que servidor no Brasil?
A norma não trata disso em termos de segurança técnica, e sim de garantias jurídicas. O art. 34 da LGPD lista o que a ANPD avalia para reconhecer adequação: legislação do destino, natureza dos dados, observância dos princípios, medidas de segurança e garantias judiciais e institucionais.
Posso usar uma ferramenta de transcrição com servidor nos Estados Unidos?
Pode, desde que a transferência esteja amparada em um mecanismo do art. 33. Como não existe decisão de adequação para os Estados Unidos, na prática isso significa cláusulas-padrão contratuais firmadas com o fornecedor, na forma do Anexo II da Resolução nº 19/2024.
Quem responde se o fornecedor errar, eu ou ele?
O art. 4º do Regulamento coloca no controlador o dever de verificar o mecanismo. O art. 42 da LGPD prevê responsabilidade do controlador e do operador pelos danos causados, com solidariedade do operador quando ele descumpre a lei ou não segue instruções lícitas. Verificar antes de assinar não dá para terceirizar.
Conteúdo informativo, escrito para apoiar a sua prática. Não substitui a leitura das normas vigentes do CFP nem a orientação do seu conselho regional.